Schließen Sie die Nachweislücke, bevor die Aufsichtsbehörde sie entdeckt
Betreiber kritischer Infrastrukturen im öffentlichen Sektor, darunter Versorgungsunternehmen, Transport und Wasser, stehen zunehmend vor der Herausforderung, sowohl physische Resilienz als auch Cybersecurity-Anforderungen gleichzeitig zu erfüllen. Ein Betreiber, der als kritische Infrastruktur eingestuft wird, unterliegt in vielen Rechtsräumen auch den Cybersecurity-Anforderungen für essentielle Einrichtungen. Der physische Bereich erhält angemessene Aufmerksamkeit, da er sichtbare, überprüfbare Nachweise liefert. Im Bereich Cybersecurity besteht jedoch häufig Nachholbedarf.
Fragen Sie ein öffentliches Versorgungsunternehmen, ob seine Systeme sicher sind, lautet die Antwort fast immer ja. Bitten Sie um einen Nachweis in Form von Protokollen statt bloßer Zusicherung, schwindet das Selbstvertrauen meist schnell. Dieser Artikel beleuchtet, warum die Nachweislücke im Cyberbereich bei kritischer Infrastruktur im öffentlichen Sektor so verbreitet ist und was nötig ist, um sie zu schließen.
Executive Summary
Betreiber kritischer Infrastrukturen im öffentlichen Sektor stehen vor einer erweiterten Compliance-Fläche: Physische Resilienz und Cybersecurity-Pflichten gelten parallel, weil der Betreiber zugleich als essentielle Einrichtung eingestuft ist. Im Cyberbereich besteht Nachholbedarf, da der erforderliche kontinuierliche, abfragbare Nachweis von Datenzugriffen im Nachhinein schwerer zu erbringen ist. Für IT- und Compliance-Verantwortliche besteht die praktische Priorität darin, die Nachweislücke genau dort zu schließen, wo ein Investitionsrückstand am ehesten entsteht – nämlich bei Pflichten, deren Nichterfüllung erst bei einem Vorfall oder einer Prüfung sichtbar wird.
wichtige Erkenntnisse
- Kritische Infrastrukturen im öffentlichen Sektor unterliegen jetzt gleichzeitig physischen und Cyber-Pflichten.
- Physische Resilienz ist leicht nachzuweisen, da sie sichtbar ist. Cyber-Resilienz lässt sich nicht durch einen Rundgang belegen; Zugriffskontrollen sind nicht durch Begehung prüfbar.
- Vertrauen in Cyber-Resilienz ohne Nachweise ist eine Annahme, kein Beleg. Eine Behörde, die keinen konkreten Nachweis darüber liefern kann, wer worauf zugegriffen hat, verlässt sich auf das Ausbleiben von Vorfällen statt auf nachgewiesene Kontrolle.
- Aufsichtsbehörden erwarten zunehmend kontinuierliche Nachweise, keine einmalige Bewertung. Eine einmal eingereichte Risikoanalyse beantwortet nicht die Fragen einer Aufsicht nach einem tatsächlichen Vorfall.
- Die erforderlichen Nachweise entsprechen denen, die jede essentielle Einrichtung liefern muss – allerdings unter erhöhter öffentlicher Aufmerksamkeit.
Warum Betreiber im öffentlichen Sektor jetzt sowohl physische als auch Cyber-Pflichten haben
Betreiber, die als kritische Infrastruktur gelten, stellen zunehmend fest, dass ihre Einstufung zwei getrennte, parallele Pflichtenkreise auslöst – nicht nur einen.
Physische und Cyber-Resilienz sind als eigenständige Pflichten reguliert
Physische Resilienz-Rahmenwerke konzentrieren sich auf die Aufrechterhaltung essenzieller Dienste bei Katastrophen, Sabotage und physischen Störungen: Registrierung, Risikoanalysen, Schutzmaßnahmen für die Einrichtung selbst. Cybersecurity-Pflichten adressieren ganz andere Risiken: Meldepflichten bei Vorfällen, Risikomanagement von Informationssystemen und Nachweise technischer Sicherheitsmaßnahmen. Eine Behörde kann eine Seite umfassend erfüllen und auf der anderen dennoch angreifbar bleiben.
Die Anforderungen steigen schneller als die Nachweispraxis vieler Behörden
Mit zunehmender Abstimmung zwischen physischen und Cyber-Aufsichtsbehörden wird von Behörden erwartet, nicht nur Kontrollen zu haben, sondern einen konkreten, mit Zeitstempel versehenen Nachweis zu liefern, wie diese Kontrollen im Ereignisfall funktioniert haben. Viele Behörden haben ihre Nachweispraxis für ein niedrigeres Prüfungsniveau aufgebaut.
Warum physische Nachweise einfach und Cyber-Nachweise schwierig sind
Die Asymmetrie zwischen beiden Pflichten liegt darin, dass der eine Bereich Nachweise von Natur aus erzeugt, während der andere gezielte Systemgestaltung erfordert, um überhaupt Nachweise zu liefern.
Den Zaun kann man abgehen, das Zugriffsprotokoll nicht
Physische Sicherheitsmaßnahmen kann ein Prüfer direkt vor Ort begutachten. Ob der Zugriff auf operative Systeme tatsächlich wie behauptet kontrolliert, überwacht und protokolliert wurde, lässt sich nur anhand von Aufzeichnungen belegen – und diese existieren nur, wenn die Systeme kontinuierliche Protokollierung unterstützen.
Das Ausbleiben eines Vorfalls ist kein Nachweis für Kontrolle
Viele Behörden sehen das Fehlen von Vorfällen stillschweigend als Ersatz für nachgewiesene Kontrolle. Das bricht zusammen, sobald es zu einem Vorfall oder einer Prüfung kommt.
Was nötig ist, um die Cyber-Nachweislücke zu schließen
Die Lücke lässt sich schließen, indem die Systeme, die sensible operative Daten verarbeiten, tatsächlich die Nachweise erzeugen, die die Richtlinie fordert.
Kontinuierliche Protokollierung in allen Systemen mit sensiblen Daten
Durchgängige, vollständige Protokollierung über alle Kanäle, die operative Daten verarbeiten, macht aus einer Vorfalluntersuchung das gezielte Abrufen von Aufzeichnungen statt das Rekonstruieren von Vermutungen.
Nachweise müssen vorliegen, bevor die Aufsicht fragt – nicht erst danach
Eine Aufsichtsbehörde, die einen Vorfall untersucht, stellt konkrete Fragen: Welche Daten wurden abgerufen, von wem, mit welcher Berechtigung, und welche Kontrollen waren aktiv? Eine Behörde, die sofort antworten kann, ist in einer völlig anderen Position als eine, die erklären muss, warum es keine Aufzeichnungen gibt.
Den Nachweis erbringen, bevor er gebraucht wird
Die praktische Priorität für Betreiber im öffentlichen Sektor ist es, die Cyber-Pflichten mit derselben Sorgfalt zu prüfen wie die physische Resilienz: Sicherstellen, dass die Protokollierung kontinuierlich und vollständig ist, dass sie schnell abgefragt werden kann und dass sie die Anforderungen einer Aufsichtsbehörde tatsächlich erfüllt.
Wie eine Data Control Plane die erforderlichen Nachweise liefert
Die Kiteworks Data Control Plane setzt datenorientierte zero-trust-Kontrollen für jede Aktion über alle Kanäle hinweg ein und erfasst jede einzelne in einem fälschungssicheren, uneingeschränkten Audit-Trail, der direkt in SIEM-Tools eingespeist wird. So erhalten Behörden einen kontinuierlichen, abfragbaren Nachweis darüber, was mit sensiblen Daten wann und unter wessen Autorisierung geschehen ist. Single-Tenant-Bereitstellung, On-Premises, in einer selbst gehosteten Cloud-Umgebung oder als dedizierte gehostete Instanz bedeutet, dass diese Nachweisbasis unter der eigenen Kontrolle der Behörde bleibt.
Behörden, die ihre Cyber-Nachweispraxis testen möchten, können eine individuelle Demo vereinbaren, um zu sehen, wie kontinuierliche, kanalübergreifende Audit-Nachweise für ihre eigene kritische Infrastruktur funktionieren.
Häufig gestellte Fragen
Betreiber, die als kritische Infrastruktur eingestuft sind, unterliegen zwei parallelen Pflichtenkreisen: Physische Resilienz-Rahmenwerke konzentrieren sich auf die Aufrechterhaltung bei Katastrophen und Sabotage, während Cybersecurity-Anforderungen für essentielle Einrichtungen Meldepflichten, Risikomanagement und Nachweise technischer Kontrollen umfassen.
Physische Maßnahmen können Prüfer direkt vor Ort durch Begehung und Sichtkontrolle verifizieren, während Cyber-Zugriffskontrollen und Datenverarbeitung nur durch kontinuierliche, mit Zeitstempel versehene Aufzeichnungen belegt werden können, die gezielt in die Systeme integriert sein müssen.
Diese Herangehensweise bricht bei einem tatsächlichen Vorfall oder einer Prüfung zusammen, da Behörden dann keinen konkreten Nachweis darüber liefern können, wer auf welche Daten mit welcher Berechtigung zugegriffen hat – und somit keine Kontrolle belegen können.
Durch kontinuierliche Protokollierung in allen Systemen mit sensiblen Daten, rechtzeitige und abfragbare Nachweise sowie den Einsatz von Lösungen wie einer Data Control Plane, die fälschungssichere Audit-Trails jeder Aktion für den sofortigen Abruf bereitstellt.