KRITIS-Konformität beginnt mit einer fundierten Gefahren- und Risikoanalyse
Ist mein Unternehmen KRITIS-relevant? Andreas Dannöhl zeigt, wie Sie Klarheit gewinnen und in die Umsetzung starten.
Herr Dannöhl, das Thema KRITIS gewinnt an Brisanz. Welche Fragen werden Ihnen als Experten bei Bosch Building Technologies am häufigsten gestellt?
Andreas Dannöhl: Am Anfang steht oft die Frage: Sind wir überhaupt KRITIS-relevant? Gerade im Mittelstand gibt es hier noch Unsicherheiten. Vor allem weniger offensichtliche Sektoren wie die Lebensmittelindustrie oder technische Zulieferer von Infrastruktur-Betreibern fühlen sich oft nicht angesprochen.
Das heißt, hier ist noch Aufklärungsarbeit zu leisten?
Dannöhl: Auf jeden Fall, insbesondere bei den kleineren Unternehmen, die Teil einer größeren Versorgungskette sind. Denn jede Kette ist nur so stark wie ihr schwächstes Glied.
Welche Unterstützung können Sie leisten?
Dannöhl: Wir stellen zunächst fest, ob ein Unternehmen von der KRITS-Gesetzgebung betroffen ist. Der Einstieg erfolgt über ein Gespräch vor Ort beim Unternehmen. Völlig unverbindlich.
Und was ist der nächste Schritt, wenn das Unternehmen KRITIS-relevant ist?
Dannöhl: Dann folgt eine ausführliche Analysephase. Sie besteht aus einer Gefahren- und Risikoanalyse und bildet die Grundlage für die spätere Erstellung eines richtlinienkonformen Schutzkonzepts.
Können Sie diese Analysephase etwas genauer beschreiben?
Dannöhl: Die Analysephase basiert auf einem dreistufigen, methodischen Prozess. Sie beginnt mit einer detaillierten Gefahren- und Schwachstellenanalyse, die Bedrohungsszenarien und Täterprofile anhand von Standort, Technik und Organisation identifiziert. Danach werden diese Risiken nach Eintrittswahrscheinlichkeit und Schadensausmaß bewertet und als priorisierte Risiko-Matrix dargestellt. Das Ergebnis ist ein an die ISO 31000 angelehntes Lastenheft, das konkrete bauliche, technische und organisatorische Sicherungsmaßnahmen definiert.
Wie werden die Analyseergebnisse in konkrete Maßnahmen umgesetzt?
Dannöhl: Wir erstellen ein richtlinienkonformes Schutzkonzept, das Unternehmen als Anleitung dient, um KRITIS-konform zu werden. Darin sind alle Schutzmaßnahmen aufeinander abgestimmt. Danach folgt dann die Umsetzung.
Bosch Building Technologies verfügt über langjährige Expertise in der physischen Absicherung komplexer Infrastrukturen, beispielsweise mit Perimeterschutz. Denken Sie das Thema Cybersicherheit mit?
Dannöhl: Die Cybersicherheit ist inzwischen eng mit der physischen Sicherheit verzahnt. Zum Beispiel hat jede Überwachungskamera auch Softwarekomponenten, die mit anderen Systemen im Unternehmen vernetzt sind.
Das heißt, Sie sind auch Spezialisten für die NIS2-Verordnung, die das Thema Cybersicherheit gesetzlich regelt?
Dannöhl: Beim Schutz von Netz- und Informationssystemen arbeiten wir mit unserem erfahrenen Kooperationspartner T Security zusammen. Das Tochterunternehmen der Deutschen Telekom übernimmt auf Wunsch die NIS2-Beratung und prüft unter anderem das IT-Sicherheitsmanagementsystem beim Kunden.
Heißt das, Ihre Risikoanalysen umfassen ab jetzt immer KRITIS und NIS2?
Dannöhl: Nicht unbedingt, der Kunde hat hier die freie Wahl. Er kann nur eine Analyse der physischen Sicherheit vornehmen lassen, oder nur den Bereich Cybersicherheit abdecken, oder beides im Paket. Es war uns wichtig, das Angebot so flexibel wie möglich zu gestalten. Im Endeffekt geht es vor allem darum, die von KRITIS und NIS2 betroffenen Unternehmen bei allen Schritten eng zu begleiten.
Noch eine praktische Frage: Was raten Sie Unternehmen, die wissen wollen, ob ihre Organisation KRITIS-relevant ist?
Dannöhl: Unser wichtigster Rat ist, nicht länger zu warten. Analyse und Umsetzung brauchen Zeit, und die haben wir angesichts der derzeitigen Gefährdungen nicht. Deshalb ist es existenziell, möglichst schnell zu wissen, ob man überhaupt vom Thema KRITIS betroffen ist und welche Maßnahmen in diesem Fall für eine höhere Resilienz getroffen werden müssen.
Weitere Informationen zur Gefahren- und Risikoanalyse sind auf der Website von Bosch Building Technologies verfügbar.
