Neue Möglichkeiten der Nachweiserbringung gegenüber dem BSI

​veröffentlicht am 30. September 2022

Betreiber kritischer Infrastrukturen müssen alle zwei Jahre Nachweise über die Erfüllung des aktuellen Stands der Technik in Bezug auf IT-Systeme, Komponenten und Prozesse an das Bundesamt für Sicherheit in der Informationstechnik (BSI) übermitteln. Ziel ist die Sicherstellung der kritischen Dienstleistung (z.B. stationäre Krankenversorgung, Lebensmittel, Kommunikation) in dem jeweiligen Unternehmen.

Zum Nachweis der Umsetzung führt eine (externe) prüfende Stelle eine Prüfung auf Basis eines Branchenspezifischen Sicherheitsstandards (B3S) oder alternativer Grundlagen (z.B. Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 BSIG umzusetzenden Maßnahmen) durch und erstellt Nachweisformulare sowie eine Mängelliste. Im Anschluss muss der Kritis-Betreiber die Mängelliste zusammen mit einem Maßnahmenplan für die Behebung der Mängel an das BSI einreichen.

In der Vergangenheit standen hierfür nur der Postweg oder verschlüsselte E-Mails zur Verfügung. Da es bei der Verschlüsselung von E-Mails häufig zu Problemen kommt, z.B. auf Grund von unterschiedlichen Standards oder dass eine Verschlüsselung im Unternehmen nicht vorhanden ist, blieb vielen Unternehmen oft nur der Postweg. Aufgrund der Sensibilität der übermittelten Mängelliste wäre ein unverschlüsselter Versand per E-Mail aus Sicherheitsgründen keine Option. Und leider ist auch die Übermittlung per Post nicht immer zuverlässig, denn die Sendungen können verloren gehen.

Im Rahmen der nächsten Kritis-Nachweiserbringung steht nun eine weitere Lösung zur Verfügung: Zukünftig können Nachweise durch die Kritis-Betreiber über das Verwaltungsportal Bund beim BSI eingereicht werden. Die Kritis-Betreiber authentifizieren sich hierfür mit dem bundesweit einheitlichen ELSTER-Unternehmenskonto und können sensible Daten sicher an das BSI übermitteln.