Lasen Sie Ihr System zur Angriffserkennung (SzA) auditieren
Übersicht
Was ist Ihr System zur Angriffserkennung (SzA)?
Nach dem Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (kurz „BSIG“) müssen regulierte Betreiber beim Bundesamt für Sicherheit in der Informationstechnik (kurz „BSI“) alle zwei Jahre ihre Nachweise gemäß § 8a Absatz 3 BSIG einreichen. Dies sind die Betreiber sogenannter kritischer Infrastrukturen, die für die Versorgung der Bevölkerung mit lebenswichtigen Ressourcen und Dienstleistungen verantwortlich sind.
Auch Betreiber von Energieversorgungsnetzen und solchen Energieanlagen, die nach der Rechtsverordnung als sog. „Kritische Infrastruktur“ gelten, haben gemäß § 11 Absatz 1f EnWG dem BSI erstmalig am 1. Mai 2023 und danach alle zwei Jahre die Erfüllung der Anforderungen nach § 11 Absatz 1e EnWG nachzuweisen.
Für Betreiber von Energieversorgungsnetzen und Energieanlagen, die von der KRITIS-Regulierung gemäß BSI-Gesetz ausgenommen sind, gelten die Anforderungen für Systeme zur Angriffserkennung parallel gemäß § 11 Absatz 1e und 1f EnWG.
Dies bedeutet: Nicht nur KRITIS-Unternehmen sind von dieser Anforderung betroffen, sondern durch § 11 Absatz 1d EnWG auch alle Netzbetreiber (Strom- und Gasnetz - siehe IT-Sicherheitskatalog gemäß § 11 Abs. 1a EnWG) sowie Anlagenbetreiber (siehe IT-Sicherheitskatalog gemäß § 11 Abs. 1b EnWG), die nicht explizit unter die KRITIS-Verordnung fallen.
Der Nachweis des ordnungsgemäßen Einsatzes der Systeme zur Angriffserkennung ist gegenüber dem BSI vorzulegen. Dies umfasst ebenfalls die Übermittlung der Ergebnisse der durchgeführten Audits, Prüfungen oder Zertifizierungen der Systeme zur Angriffserkennung einschließlich der dabei aufgedeckten Sicherheitsmängel.
Die RSM Certification GmbH führt solche Prüfungen durch, so dass Sie einen Nachweis gegenüber dem BSI haben.
Vorteile einer Nachweisprüfung
Ablauf einer Nachweisprüfung
Grundlage der Prüfung stellt die „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“ (Version 1.0 vom 26. September 2022) inklusive der Bausteine
- OPS.1.1.5 Protokollierung,
- DER.1 Detektion von sicherheitsrelevanten Ereignissen sowie
- DER.2.1: Behandlung von Sicherheitsvorfällen
aus dem IT-Grundschutz-Kompendium des BSI dar.
Die Prüfung der RSM Certification GmbH unterteilt sich in die folgenden Phasen:
- Dokumentenprüfung
- Prüfung der Dokumentation des SzA
- Beurteilung der grundsätzlichen Anforderungserfüllung
- Beurteilung, ob eine Funktionsfähigkeitsprüfung der SzA zielführend durchgeführt werden kann
- Prüfung des Mappings zur Umsetzung der Anforderungen der „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“
- Funktionsfähigkeitsprüfung/ Wirksamkeitsprüfung
- Prüfung der tatsächlichen Umsetzung und Beurteilung der Wirksamkeit und Einhaltung der geforderten Maßnahmen
- Dokumentation und Übergabe der notwendigen Unterlagen für das BSI
Ihr Weg zu einem Nachweis Ihres implementierten SzA
- Anfrage stellen und optional kurzfristig einen Kennenlern-Termin per Videosession vereinbaren
- Ausfüllen unserer Basisdaten als Grundlage für ein erstes Verständnis Ihres Unternehmens sowie zur Berechnung des Auditzeitaufwandes
- Auftragserteilung an RSM Certification GmbH und gemeinsame Abstimmung der weiteren Schritte (u. a. Terminplanung)
- Durchführung der Dokumentenprüfung
- Durchführung der Wirksamkeitsprüfung
- Fachliche Prüfung der Unterlagen des Auditors/ der Auditoren durch die RSM Certification GmbH
- Übergabe der Auditdokumentation sowie der notwendigen Unterlagen für das BSI
Ihr Weg zu einem zertifiziertem SMGWA (Kopie)
Anfrage stellen und optional kurzfristig einen Kennenlern-Termin per Videosession vereinbaren
Angebotserstellung
Ausfüllen unserer Basisdaten als Grundlage für ein erstes Verständnis Ihres Unternehmens sowie zur Angebotserstellung
Auftragserteilung an RSM Certification GmbH und gemeinsame Abstimmung der weiteren Schritte (u. a. Terminplanung)
Nur bei einer Erstzertifizierung: Um ein besseres Verständnis Ihrer Organisation und Ihres ISMS zu erhalten führen wir dies in der Regel in einem gemeinsamen Remote-Termin durch. Ziel: Feststellung der Zertifizierungsreife
Durchführung des Stage 2-Audits / Rezertifizierungsaudits, der Wirksamkeitsprüfung Ihres ISMS
Fachliche Prüfung der Unterlagen des Auditors / der Auditoren und Treffen der Zertifizierungsentscheidung durch die RSM Certification GmbH
Ausstellung des Zertifikates
Übergabe des Auditberichtes, des Zertifikates sowie des Zertifizierungssiegels
Überprüfung der kontinuierlichen Weiterentwickelung des ISMS im Rahmen der Überwachungsaudits
Zertifizierung durch die RSM Certification GmbH
Sie möchten sich durch uns zertifizieren lassen? Nehmen Sie gern unverbindlich Kontakt zu uns auf.
Unverbindlich Kontakt aufnehmen
FAQ – Die wichtigsten Fragen beantwortet
In unseren FAQ’s finden Sie weitere Antworten auf häufig gestellte Fragen – seien es allgemeine Fragen oder zu spezifischen Verfahren. Sofern die Antworten für Sie nicht ausreichend sind, melden Sie sich gern bei uns.
Für die SzA-Thematik hat das BSI ebenfalls eine FAQ-Seite eingerichtet.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gibt ein sechsstufiges Umsetzungsgradmodell in der „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“ (OH-SzA) vor. Mit diesem Modell sollen die implementierten technischen und organisatorischen Maßnahmen in Bezug auf die Qualität der eingesetzten Systeme gemäß § 8a Abs. 1a BSIG bzw. § 11 Abs. 1e EnWG bewertet werden.
Das Modell orientiert sich an den definierten Anforderungen der OH-SzA und somit am IT-Grundschutz des BSI. Es werden somit sog. MUSS-, SOLLTE- und KANN-Anforderungen für die Bereiche Detektion, Protokollierung und Reaktion definiert. Wurden beispielsweise alle MUSS-Anforderungen erfüllt und wurde sich idealerweise mit den SOLLTE Anforderungen bereits beschäftigt, so entspricht dies dem Umsetzungsgrad 3.
Grundsätzlich sollte ein Umsetzungsgrad der Stufe 4 (alle MUSS-Anforderungen sind erfüllt, alle SOLLTE-Anforderungen sind erfüllt außer sie wurden stichhaltig und nachvollziehbar ausgeschlossen) erreicht werden, um die Anforderungen nach § 8a Abs. 1a BSIG bzw. § 11 Abs. 1e EnWG zu erfüllen.
Ja, Sie können eine SzA-Prüfung bspw. im Rahmen einer Prüfung nach dem IT-Sicherheitskatalog gemäß § 11 Abs. 1a EnWG kombiniert durchführen lassen.
Sprechen Sie uns auf Ihr Vorhaben gern an, wir prüfen die Möglichkeiten, die sich ergeben.
Der Umfang der SzA-Prüfung ist in der „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“, welche vom BSI veröffentlicht wurde, festgelegt. Der zeitliche Umfang ist abhängig von der Komplexität Ihrer jeweiligen Umgebung.
Für eine vernünftige und verbindliche Planbarkeit auf allen Seiten wünschen wir uns eine Vorlaufzeit von ca. drei Monaten. Durch Verschiebungen von Audits können sich aber auch immer wieder kurzfristiger Möglichkeiten ergeben, doch noch ein Audit durchzuführen.
Daher nehmen Sie gern direkt Kontakt mit uns auf, um Ihr Anliegen persönlich zu besprechen.