Was sind besonders wichtige Einrichtungen?
Auf Basis der obigen Ausführungen und der Ausführungen aus dem ersten Teil sind verschiedene Unterstützungsprozesse von diesen beiden Paragrafen betroffen:
- Beschaffung
- Schwachstellenmanagement
- Dienstleistersteuerung
- Betrieb
- Business Continuity Management
- Risikoanalyse
Das Schwachstellenmanagement sollte nun auch die Entwicklungspläne der Hersteller einbeziehen und die Reaktionszeiten bewerten. Eine enge Kommunikation sowohl mit dem Hersteller als auch mit den zuständigen Behörden ist essenziell, um auf Sicherheitsrisiken schnell reagieren zu können.
Die Dienstleistersteuerung sollte nicht nur die Kritikalität der Dienstleister bewerten, das heißt, den Einfluss des Dienstleisters auf die kritische Dienstleistung, sondern auch regelmäßig alle relevanten Behörden abfragen, um sicherzustellen, dass Informationen zur Vertrauenswürdigkeit des Herstellers aktuell bleiben. Darüber hinaus gilt es zu prüfen, ob und in welchem Maße die Garantieerklärungen nicht eingehalten werden konnten. Unter Berücksichtigung der weiteren Anforderungen des § 30 BSIG_neu muss diese Betrachtung entlang der gesamten Lieferkette ausgeweitet werden. Dienstleister sind entsprechend zu verpflichten, diese Kriterien zu erfüllen.
Der Betrieb sollte Konzepte produktoffen planen, um das Risiko eines sogenannten Vendor-Lock-Ins zu minimieren. Angesichts der potenziellen Auswirkungen neuer regulatorischer Vorgaben ist es wichtig, Migrationskonzepte im Voraus zu erstellen und zu erproben, sodass im Ernstfall nicht unnötig viel Zeit verstreicht und betroffene Komponenten zu weitreichenden Schäden führen. Grundsätzlich ist für solche Migrationen ein gewisses Budget zurückzuhalten, insbesondere wenn die Gesetzesanforderungen streng ausgelegt werden.
Die Zusammenarbeit mit den Behörden (BSI und BMI) hat sich in der Vergangenheit oft als produktiv und lösungsorientiert erwiesen. Der regelmäßige Austausch und die enge Abstimmung mit den zuständigen Sektorbetreuern sind daher sehr empfehlenswert, um frühzeitig praktikable Ansätze zur Erfüllung der neuen Anforderungen zu entwickeln und umzusetzen. Diese Zusammenarbeit kann auch dazu genutzt werden, um der oben genannten Anpassungen der Risikoanalyse entsprechende Bewertungsgrundlagen hinzuzufügen. Frühzeitige, valide und umfassende Bewertungen können durch das BSI erstellt und im Kontext herangezogen werden.
