Beschreibt allgemein die Fähigkeiten und Maßnahmen, um einen Cyberangriff erfolgreich abzuwehren oder diesen zu bewältigen.

Im Rahmen der Dimension Resilienz wird hierbei ein Überblick zur aktuellen Gefährdungslage erstellt, auf Grundlage der Analyse folgender Cyberbedrohungen und deren spezifischen Messgrößen: Reifegrade pro KRITIS-Sektor.

Reifegrade pro KRITIS-Sektor

• Noch nicht alle KRITIS-Betreiber schützen sich ausreichend gut vor Angriffen oder Störungen.
• Insgesamt leichte Verbesserung des Zustands.
• Größerer Nachholbedarf im Bereich „Systeme zur Angriffserkennung (SzA)“.

Sachverhalt

Betreiber Kritischer Infrastrukturen sind gemäß § 8a Abs. 3 BSIG dazu verpflichtet, den angemessenen Schutz ihrer IT gegenüber dem BSI regelmäßig nachzuweisen. Hierfür werden Prüfungen durch unabhängige Prüfstellen durchgeführt und das Ergebnis an das BSI übermittelt. In diesem Rahmen ist auch eine Reifegradbestimmung von ISMS, BCMS und den Systemen zur Angriffserkennung (SzA) durchzuführen.

Die Bewertungsskala der Reifegrade von ISMS und BCMS reicht hierbei von 1 – 5. Die Bewertung der Reifegrade im Rahmen der Nachweiserbringung erfolgt durch die prüfende Stelle auf Grundlage einer subjektiven Wahrnehmung des Gesamteindrucks während der Prüfung. Im Rahmen der Nachweisprüfung durch das BSI werden diese Einschätzungen plausibilisiert.

Die folgende Übersicht zeigt die im Rahmen der letzten zwei Jahre ermittelten durchschnittlichen Reifegrade pro KRITIS-Sektor:

Bewertung

Die Auswertung der beim BSI eingereichten Nachweisunterlagen von KRITIS-Betreibern zeigt, dass noch nicht alle KRITIS-Betreiber ein ausreichendes IT-Sicherheitsniveau erreicht haben.

Es wird deutlich, dass es bzgl. der Resilienz und dem Sicherheitsniveau wesentliche Unterschiede zwischen den einzelnen KRITIS-Sektoren gibt. Das BSI wird die Entwicklung weiterhin beobachten und zusammen mit den KRITIS-Betreibern an einer Erhöhung der Reifegrade arbeiten.

Maßnahmenempfehlungen

Das BSI wird die Entwicklung weiterhin beobachten und zusammen mit den KRITIS-Betreibern an einer Erhöhung der Reifegrade arbeiten. Hierfür ist insbesondere eine Abstellung der noch bestehenden IT-Sicherheitsmängel, sowie die Umsetzung entsprechender IT-Sicherheitsstandards vordringlich erforderlich.