Vorbereitung und Begleitung der KRITIS Sicherheitsüberprüfung
Ausgangslage: Im Rahmen der KRITIS-Verordnung müssen definierte Mindestanforderungen an die Informationssicherheit erfüllt und im Rahmen einer Nachweisprüfung alle 2 Jahre gegenüber unabhängigen Prüfern nachgewiesen werden.
Problem: Die §8a-Prüfung 2021 verlief ad-hoc, ohne Vorbereitungen und mit Eskalationen über den Konzernvorstand. Zahlreiche Artefakte lagen nicht oder in unzureichender Qualität vor.
Bedarf: Fachbereichsübergreifende Vorbereitung und Begleitung der §8a-Prüfung 2023 zur Verhinderung von Eskalationen und unnötigen Feststellungen.
Ausarbeitung der Projektplanung und Sicherstellung der notwendigen Projektressourcen
Durchführung einer Roadshow zur Information der relevanten Stakeholder zentral und in der Fläche
Erarbeitung Geltungsbereichsdokument und Netzstrukturplan
Identifizierung übergreifender Vorgaben
Monitoring der Durchführung zentraler Risikoassessments
Durchführung Vor-Ort-Prüfung (Wirksamkeitsprüfung)
Ausarbeitung Informationsbereitstellung auf Basis der in Fachbereichen durchgeführten Risikoassessments
Planung und Durchführung Prüfungsinterviews
Abstimmung Mängel und Maßnahmen und Einreichung beim BSI
Frühzeitige Information und Einbindung aller relevanten Stakeholder
Aktualisiertes Geltungsbereichsdokument (inkl. Herleitung) und Netzstrukturplan sowie qualitativ hochwertige Informationsbereitstellung
Regelmäßige Information der beteiligten Stakeholder zum Zwischenstand der Artefaktzulieferung aus dem Fachbereich
Fristgerechte Einreichung des Prüfberichts inkl. qualitativ hochwertiger Feststellungen und passgenauer Maßnahmen
Keinerlei Eskalationen seitens der Prüfer
"Mit dem Geltungsbereichsdokument und der Prüfungsvorbereitung wurde ein echter Sprung nach vorne gemacht."
Das Vorgehen ist geeignet für Betreiber kritischer Infrastrukturen, die eine §8a-Prüfung nach BSI-Gesetz vorbereiten müssen und aus vergangenen Prüfungszyklen wissen, dass ad-hoc-Vorbereitung zu Eskalationen und Qualitätsmängeln führt. Relevant ist es immer dann, wenn viele Fachbereiche als Zulieferer eingebunden werden müssen und eine zentrale Koordination fehlt, die Fristen, Artefaktqualität und Stakeholderinformation sicherstellt.
