KRITIS und B3S — Nachweis statt Zertifikat

KRITIS ist keine Norm, und B3S ist kein Zertifizierungsschema. Gemeint sind zwei verschiedene Dinge, die im Sprachgebrauch dauernd zusammenfallen: Betreiber kritischer Infrastrukturen haben gesetzliche Pflichten zur IT-Sicherheit, und ein branchenspezifischer Sicherheitsstandard — kurz B3S — ist eine von mehreren Möglichkeiten, die Erfüllung dieser Pflichten prüfbar zu machen.

Die Pflichten treffen Betreiber von Anlagen, die für die Versorgung der Bevölkerung wesentlich sind und bestimmte Schwellenwerte überschreiten. Betroffen sind die Sektoren Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr sowie Siedlungsabfallentsorgung. Maßgeblich ist dabei die einzelne Anlage, nicht das Unternehmen. Ein Konzern kann eine kritische Anlage betreiben und zwanzig unkritische.

Ein B3S wird nicht vom BSI geschrieben, sondern von den Betreibern einer Branche und ihren Verbänden. Das BSI stellt auf Antrag fest, ob der Standard geeignet ist, den Stand der Technik für diese Branche abzubilden. Diese Eignungsfeststellung ist befristet und muss erneuert werden — ein Punkt, der in der Praxis regelmäßig übersehen wird.

Ein B3S ist dabei kein zweiseitiges Papier. Die Dokumente folgen einem wiederkehrenden Aufbau: Sie beschreiben zunächst den Geltungsbereich und die Anlagenarten der Branche, dann die branchentypische Gefährdungslage, darauf aufbauend die geforderten organisatorischen und technischen Maßnahmen und schließlich Hinweise, woran eine prüfende Stelle die Umsetzung erkennen kann. Der letzte Teil ist für die Vorbereitung der wertvollste, weil dort steht, welche Nachweise erwartet werden. Wer einen B3S nur nach Maßnahmenlisten durchsucht und die Prüfhinweise überspringt, bereitet sich auf das falsche Gespräch vor.

Die Pflichten der Betreiber im Überblick

Die einzelnen Vorschriften sind mit der NIS2-Umsetzung neu geordnet worden; die Paragrafennummern des BSI-Gesetzes haben sich dabei verschoben. Die Mechanik ist geblieben.

Zwei Punkte werden unterschätzt. Erstens die Angriffserkennung: Gefordert ist sie für die Systeme der kritischen Anlage, also häufig für Leit- und Prozesstechnik, in der sich klassische Detektionswerkzeuge nicht ohne Weiteres betreiben lassen. Zweitens die Mängelliste. Sie ist Pflichtbestandteil des Nachweises, nicht dessen Nebenprodukt — das BSI erwartet, aufgedeckte Mängel zu sehen, und kann ihre Beseitigung verlangen.

Warum es kein KRITIS-Zertifikat gibt

Dies ist der häufigste Irrtum in diesem Bereich, und er wird regelmäßig verkauft. Es existiert kein Zertifizierungsschema für KRITIS-Pflichten, keine Akkreditierung für B3S-Prüfungen und keine Stelle, die die Einhaltung des BSI-Gesetzes verbindlich bescheinigen könnte. Wer ein „KRITIS-Zertifikat“ oder eine „B3S-Zertifizierung“ anbietet, verkauft die Bestätigung eines Dienstleisters, kein akkreditiertes Konformitätsdokument.

Nachgewiesen wird gegenüber einer Behörde, nicht gegenüber dem Markt. Das Ergebnis des Verfahrens ist ein Prüfbericht der prüfenden Stelle und ein Nachweisdokument mit der Liste der festgestellten Sicherheitsmängel, das an das BSI übermittelt wird. Adressat ist das Amt. Es gibt kein Logo für die Website und keine Urkunde für die Ausschreibung.

Was sich stattdessen nachweisen lässt, ist deshalb eine wichtige Unterscheidung:

• Gegenüber dem BSI: die Erfüllung der gesetzlichen Pflichten, über das Nachweisverfahren. Ein angewendeter B3S dient dabei als Prüfgrundlage und erspart die eigene Begründung, was in dieser Branche Stand der Technik ist.
• Gegenüber Kunden, Auftraggebern und Versicherern: ein akkreditiertes Zertifikat nach ISO 27001 — das marktgängige Dokument, das ein Dritter anerkennt. Der Ablauf einer solchen Zertifizierung ist der übliche und wird hier nicht wiederholt.
• Für die Betriebsfortführung: ein Zertifikat nach ISO 22301, das Kontinuitätsplanung und geübte Wiederanlaufverfahren belegt.

Die Kombination ist der Regelfall bei größeren Betreibern: ISO 27001 für die Managementsystemebene und den Markt, ein B3S für die branchenspezifische Auslegung und den gesetzlichen Nachweis. Wichtig bleibt, dass geprüft wird, was das Gesetz verlangt. Der B3S liefert dafür nur den Maßstab — die Pflicht ergibt sich nicht aus ihm.

Für wen sich der Weg über einen B3S lohnt

Für Betreiber oberhalb der Schwellenwerte stellt sich die Frage nach dem Ob nicht. Die Wahl besteht nur darin, ob die Prüfung gegen einen eignungsfestgestellten B3S, gegen ein eigenes Sicherheitskonzept oder gegen ein normbasiertes Managementsystem erfolgt. Wo ein aktueller B3S für die Branche vorliegt, ist er meist der schnellere Weg: Er nennt konkrete Maßnahmen für Anlagen, die eine allgemeine Norm nicht kennt, und die Diskussion über Angemessenheit ist weitgehend vorweggenommen.

Sinnvoll ist die freiwillige Anwendung auch für Betriebe knapp unterhalb der Schwellenwerte. Ein Wasserversorger, der die Grenze in wenigen Jahren erreichen wird, baut besser jetzt gegen den Branchenstandard auf als später unter Termindruck. Er sollte allerdings wissen, dass er dafür kein vorzeigbares Dokument erhält.

Nicht der richtige Weg ist ein B3S für Zulieferer und Dienstleister von Betreibern. Wer Software, Wartung oder Rechenzentrumsleistungen an einen KRITIS-Betreiber liefert, bekommt dessen Anforderungen vertraglich zugestellt und muss sie beantworten. Dafür braucht er ein Dokument, das der Kunde in seiner eigenen Lieferantenbewertung anerkennen kann — und das ist in aller Regel ein ISO-27001-Zertifikat mit einem Geltungsbereich, der die gelieferte Leistung tatsächlich abdeckt.

Wenn es für die eigene Anlagenart keinen eignungsfestgestellten B3S gibt, ist das kein Ausnahmezustand. Die Pflicht bleibt bestehen, nur der Maßstab muss selbst begründet werden. Der übliche Weg führt dann über ein Managementsystem nach ISO 27001 oder die Methodik des IT-Grundschutzes, ergänzt um eine dokumentierte Risikoanalyse für die anlagentechnischen Besonderheiten. Brauchbar ist außerdem der Blick in benachbarte B3S-Dokumente: Ein Standard für eine verwandte Anlagenart ist zwar nicht anwendbar, zeigt aber, welche Gefährdungen und Maßnahmen das BSI in diesem Umfeld als Stand der Technik ansieht. Diese Herleitung gehört schriftlich festgehalten, weil sie im Nachweisverfahren erklärt werden muss.

Wie das Nachweisverfahren abläuft

Der Ablauf ähnelt einer Zertifizierung, unterscheidet sich aber in einem entscheidenden Punkt: Es gibt kein Bestehen und kein Durchfallen.

Geltungsbereich festlegen. Gegenstand ist die kritische Anlage und alles, was für die Erbringung der kritischen Dienstleistung nötig ist — einschließlich der Netze, Steuerungssysteme und Dienstleister, an denen sie hängt. Nicht das Unternehmen, nicht der IT-Betrieb allein.

Prüfende Stelle auswählen. Erforderlich sind Fachkunde in der Informationssicherheit, Kompetenz im Prüfverfahren und Kenntnis der Branche. Die dritte Anforderung ist der Engpass. Ein erfahrener ISO-27001-Auditor ohne Kenntnis von Prozessleittechnik erkennt die relevanten Risiken einer Aufbereitungsanlage nicht.

Prüfung durchführen und Mängel dokumentieren. Geprüft wird gegen das Gesetz, mit dem B3S als Maßstab. Festgestellte Sicherheitsmängel kommen in die Liste — vollständig.

Nachweis übermitteln. Das BSI kann Nachfragen stellen, ergänzende Unterlagen anfordern und die Beseitigung von Mängeln verlangen. Anders als eine Hauptabweichung im Zertifizierungsaudit blockiert ein Mangel nicht das Ergebnis, sondern erzeugt eine Verpflichtung.

Der Vorlauf wird regelmäßig unterschätzt. Zwischen der Entscheidung für einen B3S und einer prüfbaren Umsetzung liegen bei einem gewachsenen Betrieb selten weniger als zwölf Monate, und der größere Teil davon entfällt nicht auf Technik. Netzpläne stimmen nicht mit der Realität überein, Asset-Listen für die Leittechnik existieren nur in den Köpfen der Instandhaltung, Verträge mit Anlagenherstellern liegen in der Beschaffung und enthalten nichts zu Fernwartungszugängen. Diese Grundlagen zu schaffen ist die eigentliche Arbeit. Sinnvoll ist deshalb eine Vorprüfung durch die spätere prüfende Stelle oder ein internes Audit gegen den B3S, lange bevor der Nachweistermin näher rückt.

Woran die Umsetzung scheitert

Der Geltungsbereich endet an der Büro-IT. Das vorhandene ISMS deckt Verwaltung, Clients und Server ab. Die Leittechnik, an der die Versorgung tatsächlich hängt, war nie Gegenstand einer Schutzbedarfsfeststellung. Das ist der häufigste und teuerste Fehler.

Die Angriffserkennung existiert nur im Netz der Verwaltung. Log-Erfassung und Auswertung laufen für die IT, die Prozessnetze sind aus Verfügbarkeitssorge ausgenommen worden — ohne dass eine kompensierende Maßnahme dokumentiert wäre.

Die Eignungsfeststellung des genutzten B3S ist abgelaufen. Geprüft wurde gegen eine Fassung, für die keine gültige Feststellung des BSI mehr vorliegt. Der Aufwand ist dann nicht verloren, aber der Nachweis wackelt.

Die Mängelliste soll kurz sein. Die Geschäftsführung möchte Feststellungen aus dem Bericht halten. Das kehrt die Logik des Verfahrens um: Eine Liste ohne Mängel wirkt bei der Behörde nicht souverän, sondern unvollständig geprüft.

Die Kontaktstelle ist ein Funktionspostfach. Gefordert ist Erreichbarkeit, auch außerhalb der Bürozeiten. Ein Verteiler, den am Wochenende niemand liest, erfüllt das nicht.

Dienstleister sind nicht eingebunden. Fernwartungszugänge des Anlagenherstellers, Cloud-Dienste in der Betriebsführung, ausgelagerter Netzbetrieb: Ohne vertragliche Regelung zu Zugriffen, Meldewegen und Prüfrechten fehlt der Nachweis für einen Teil der Anlage, den Sie nicht selbst betreiben.

Die Selbsteinstufung ist Jahre alt. Kapazitäten sind gewachsen, ein Standort ist zugekauft worden, Schwellenwerte wurden angepasst. Wer die Prüfung nicht wiederholt, merkt erst im Ernstfall, dass er pflichtig geworden ist.

Die Meldeschwelle ist nie festgelegt worden. Was eine erhebliche Störung ist, entscheidet im Zweifel der Bereitschaftsdienst um drei Uhr nachts. Ohne vorab definierte Kriterien und ohne geübten Meldeweg wird entweder zu spät gemeldet oder gar nicht.

Abgrenzung zu verwandten Regelwerken

Die praktische Konsequenz ist immer dieselbe: Trennen Sie sauber zwischen dem, was Sie der Behörde schulden, und dem, was Sie dem Markt zeigen wollen. Das Erste ist ein Verfahren mit einer Mängelliste, das Zweite ein Zertifikat. Wer beides in ein Projekt wirft, baut ein System, das für keinen der beiden Zwecke passt.