Wirksamkeitsprüfung von Sicherheitsmaßnahmen

Was ist die Wirksamkeitsprüfung von Sicherheitsmaßnahmen?

Im Anwendungsbereich des § 30 BSIG ist die Wirksamkeitsprüfung das durch Konzepte und Verfahren strukturierte Bewerten, ob Risikomanagementmaßnahmen im Bereich der IT-Sicherheit tatsächlich wirksam sind.

Technische Einordnung: Die Prüfung ist von der bloßen Feststellung zu unterscheiden, dass eine Maßnahme eingerichtet wurde.

Rechtliche Reichweite: Die gesetzliche Aussage gilt für besonders wichtige und wichtige Einrichtungen, soweit § 30 BSIG auf sie anwendbar ist.

Der Normwortlaut

(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen nach Satz 1 sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.

(2) Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Maßnahmen müssen zumindest Folgendes umfassen: […] 6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik,

§ 30 Absatz 1 und Absatz 2 Satz 1 sowie Satz 2 Eingangssatz und Nummer 6 BSIG, amtlicher Normtext.

Normtext und Reichweite: „Verpflichtet“ und „müssen“ kennzeichnen den gesetzlichen Kern. „Sollen“ gilt sowohl für die Einhaltung des Stands der Technik als auch für die Berücksichtigung der einschlägigen europäischen und internationalen Normen. Die Absätze 3 bis 5 enthalten zusätzlich Vorrang- und Präzisierungsregeln für einschlägiges EU-Durchführungsrecht und nationale Rechtsverordnungen.

Für wen gilt die Anforderung?

Sie gilt für besonders wichtige und wichtige Einrichtungen nach § 28 BSIG und grundsätzlich über § 29 Absatz 2 BSIG auch für Einrichtungen der Bundesverwaltung. Die konkrete Einordnung hängt von Einrichtungsart, Tätigkeit und gegebenenfalls den gesetzlichen Mitarbeiter-, Umsatz- und Bilanzsummenmerkmalen ab. Sachlich geht es um die für die Dienste genutzten informationstechnischen Systeme, Komponenten und Prozesse sowie die darauf bezogenen Risikomanagementmaßnahmen.

Wann wird die Wirksamkeitsbewertung erforderlich?

Rechtlicher Auslöser ist die Anwendbarkeit des § 30 BSIG, nicht erst ein Sicherheitsvorfall oder ein bestimmter Testtermin. Die Konzepte und Verfahren müssen Bestandteil der vorgeschriebenen Risikomanagementmaßnahmen sein. Ihre Ausgestaltung richtet sich insbesondere nach Risikoexposition, Einrichtungsgröße, Umsetzungskosten sowie Eintrittswahrscheinlichkeit, Schwere und gesellschaftlichen und wirtschaftlichen Auswirkungen möglicher Sicherheitsvorfälle.

Was wird technisch bewertet?

Autoritative technische Einordnung: Bewertet wird, ob Maßnahmen die festgelegten Sicherheitsziele erreichen, vor relevanten Gefährdungen schützen und den ermittelten Schutzbedarf abdecken. Das geht über eine reine Umsetzungs- oder Existenzkontrolle hinaus.

Der BSI-Standard 200-1 nennt als mögliche Prüfmittel unter anderem die Auswertung von Sicherheitsvorfällen, Mitarbeiterbefragungen und Penetrationstests. Diese Beispiele sind technische Orientierung und keine Erweiterung des gesetzlichen Adressatenkreises.

Wie oft muss geprüft werden?

§ 30 Absatz 2 Satz 2 Nummer 6 BSIG bestimmt weder eine allgemeine Prüffrist noch eine feste Frequenz oder einen numerischen Schwellenwert. Nach der technischen BSI-Einordnung soll regelmäßig und bei relevanten Änderungen geprüft werden; ein starres allgemeines Intervall folgt daraus nicht. Vorrangige EU-Durchführungsrechtsakte oder konkretisierende Rechtsverordnungen können besondere Anforderungen vorgeben.

Welche Ausnahmen und Spezialregime gelten?

Die Reichweite wird zunächst durch § 28 Absätze 5 und 6 sowie § 29 Absatz 3 BSIG begrenzt. § 28 Absatz 5 schließt bei Betreibern öffentlicher Telekommunikationsnetze und Anbietern öffentlich zugänglicher Telekommunikationsdienste sowie bei den dort bezeichneten energierechtlich regulierten Tätigkeiten die Anwendung des § 30 nur für den jeweils von der Bereichsregel erfassten Tätigkeitsbereich aus. Andere Tätigkeiten derselben Einrichtung bleiben erfasst, wenn sie eigenständig die Voraussetzungen des § 28 erfüllen; auch die in Absatz 5 ausdrücklich zurückgenommenen Fälle, insbesondere Betreiber kritischer Anlagen, fallen nicht unter den Ausschluss.

§ 28 Absatz 6 nimmt Finanzunternehmen aus, soweit für sie die dort bezeichneten unionsrechtlichen Spezialvorschriften zur digitalen operationalen Resilienz gelten. Ebenfalls ausgenommen sind die gesetzlich bezeichneten Betreiber und Anbieter der Telematikinfrastruktur, soweit deren spezialgesetzliche Sicherheitsvorgaben greifen. Die Ausschlüsse erstrecken sich nicht auf weitere, davon unabhängige Tätigkeiten, über die die Einrichtung nach § 28 erfasst ist. § 29 Absatz 3 nimmt Einrichtungen der Bundesverwaltung insoweit aus, als sie Tätigkeiten in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung einschließlich der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten ausüben; andere Verwaltungstätigkeiten sind dadurch nicht automatisch ausgenommen.

Ein Ausnahmebescheid nach § 37 BSIG ist kein allgemeiner Härtefall. Er kommt nur für die dort bezeichneten besonders wichtigen oder wichtigen Einrichtungen in Betracht, soweit sie Tätigkeiten in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung einschließlich der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten ausüben oder ausschließlich Dienste für Einrichtungen der Bundesverwaltung mit solchen Tätigkeiten erbringen. Die Ausnahme ist auf diese Tätigkeiten oder Dienste begrenzt und setzt insbesondere voraus, dass die IT-Sicherheit anderweitig gewährleistet und beaufsichtigt wird. Für Vertrauensdiensteanbieter ist sie ausgeschlossen.

Daneben hat der in § 30 Absatz 3 bezeichnete EU-Durchführungsrechtsakt für DNS-Diensteanbieter, Top Level Domain Name Registries, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Anbieter von Online-Marktplätzen, Online-Suchmaschinen, Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter Vorrang. Bei späteren Durchführungsrechtsakten besteht der Vorrang nach Absatz 4 nur, soweit Anforderungen einander entgegenstehen. Sind EU-Bestimmungen nicht abschließend, können Anforderungen nach Absatz 5 durch Rechtsverordnung präzisiert und erweitert werden.

Häufige Fehlannahmen

„Eingerichtet bedeutet wirksam.“ Nein. Bewertet wird, ob die Maßnahme die festgelegten Sicherheitsziele erreicht, vor relevanten Gefährdungen schützt und den ermittelten Schutzbedarf abdeckt, nicht nur, ob sie vorhanden ist.
„Erst ein Sicherheitsvorfall löst die Prüfung aus.“ Nein. Auslöser ist die Anwendbarkeit des § 30 BSIG.
„Das Gesetz verlangt eine jährliche Prüfung.“ Nein. § 30 nennt keine allgemeine feste Frequenz; besondere Regelungen können jedoch konkretere Anforderungen enthalten.
„§ 30 gilt ausnahmslos für jede wichtige Einrichtung.“ Nein. Bereichsausnahmen, Bundesausnahmen, mögliche Ausnahmebescheide und vorrangiges EU-Recht müssen gesondert geprüft werden.
„Ein Penetrationstest genügt immer.“ Nein. Er ist nur ein mögliches Prüfmittel; Methode und Umfang müssen zur festgelegten Zielsetzung und zur Risikolage passen.

Was die Geschäftsleitung tun sollte

Gesetzlicher Kern: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Dazu zählen die erforderlichen Konzepte und Verfahren zur Wirksamkeitsbewertung.

Empfehlung: Die erforderlichen Konzepte und Verfahren zur Wirksamkeitsbewertung in die Umsetzung der Risikomanagementmaßnahmen einbeziehen.
Empfehlung: Diese Konzepte und Verfahren sowie die Ergebnisse der Wirksamkeitsbewertung in die Überwachung der Maßnahmen einbeziehen.
Empfehlung: Die Einhaltung der Verpflichtung nach § 30 Absatz 1 Satz 1 BSIG durch die Einrichtung dokumentieren.
Empfehlung: Prüfmethoden und Berichtswege risikobasiert festlegen.

Die konkreten Prüfmethoden und Berichtswege sind keine eigenständigen, ausdrücklich im Gesetz benannten Geschäftsleitungspflichten, sondern risikobasierte Umsetzungsentscheidungen.

Für die Geschäftsleitung

Entscheidend sind drei Punkte: Zuerst ist die Anwendbarkeit einschließlich Ausnahmen und Spezialregimen zu klären. Dann ist festzulegen, wie die tatsächliche Schutzwirkung der Maßnahmen risikobasiert bewertet wird. Schließlich muss die Einrichtung die Einhaltung der Verpflichtung nach § 30 Absatz 1 Satz 1 BSIG dokumentieren; Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die nach § 30 BSIG zu ergreifenden Maßnahmen gemäß § 38 Absatz 1 BSIG umsetzen und deren Umsetzung überwachen. Prüfmethoden und Berichtswege sind risikobasiert festzulegen.