Analyse Kritischer Infrastrukturen. Die Methode AKIS

Transkript

1 Analyse Kritischer Infrastrukturen Die Methode AKIS

2 Bundesamt für Sicherheit in der Informationstechnik Postfach Bonn Internet: Bundesamt für Sicherheit in der Informationstechnik 2004 und 2008

3 Inhaltsverzeichnis 1 Einleitung Herausforderung Schutz Kritischer Infrastrukturen Vorbemerkungen zu AKIS Risikoanalyse vs. Kritikalitätsbetrachtung Kritisch und Kritikalität Die Methode AKIS Aufbereitung des kritischen Infrastruktursektors Identifikation der Geschäftsprozesse Kritikalitätsbewertung Untersuchung der IT-Abhängigkeit Korrekturfaktoren Ergebnis der Analyse Fazit...13 Bundesamt für Sicherheit in der Informationstechnik 3

4 Abbildungsverzeichnis Abbildung 1: Arbeitsschritte AKIS...7 Abbildung 2: Sektorstrukturen...8 Abbildung 3: Geschäftsprozess Mineralölversorgung...9 Abbildung 4: Kritikalitätsmatrix - Prozesse...11 Abbildung 5: Vereinfachter Ablauf AKIS...12 Tabellenverzeichnis Tabelle 1: Bewertung der Kritikalität Bundesamt für Sicherheit in der Informationstechnik

5 1 Einleitung 1 Einleitung Sich der Herausforderungen des Schutzes der Kritischen Infrastrukturen bewusst zu werden, ist ein erster wichtiger Schritt. Um wirkungsvolle Maßnahmen zur Verbesserung des Schutzes der Kritischen Infrastrukturen ergreifen zu können, müssen deren Funktionsweise verstanden und die kritischen Prozesse innerhalb der Kritischen Infrastrukturen identifiziert und analysiert sein. Bei dieser Aufgabe unterstützt die im Beitrag beschriebene Methode AKIS. 2 Herausforderung Schutz Kritischer Infrastrukturen Unsere Gesellschaft hängt inzwischen stark von einem reibungslosen Funktionieren der Informationstechnik ab. Dieses ist eine nicht nur unter Experten anerkannte Tatsache. Mit dem Anspruch auf allgegenwärtige Informationsverfügbarkeit und der vertieften wirtschaftlichen Effizienzsteigerung wird die noch stärkere Abstützung auf Informationstechnik sogar bewusst gefördert. Viele Nationen haben Untersuchungen angestellt und Programme aufgelegt, um diese Abhängigkeiten zu analysieren und mögliche Folgen abzuschätzen. In Kooperation mit der Wirtschaft sollen Maßnahmen zum Schutz und zum schnellen Wiederanlauf nach Schadensfällen erarbeitet werden. Dabei wurden auch so genannte Kritische Infrastrukturen identifiziert. Dies sind die Infrastrukturen, von denen die Funktionsfähigkeit der Gesellschaft insbesondere abhängt. Für Deutschland hat die Bundesregierung folgende Definition erarbeitet: Kritische Infrastrukturen sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden. Gemäß dieser Definition werden in Deutschland die Infrastruktursektoren: Transport und Verkehr Energie Gefahrenstoffe Informationstechnik und Telekommunikation Finanz-, Geld- und Versicherungswesen Versorgung Behörden, Verwaltung und Justiz Sonstiges (Medien, Großforschungseinrichtungen, Kulturgut) als Kritische Infrastrukturen bezeichnet. Diese Betrachtung stellt aber nur fest, dass im Falle eines Ausfalls dieser Infrastrukturen gravierende Folgen für die Bevölkerung zu erwarten sind. Es ist noch keine Aussage darüber getroffen, wie es zu einem derartigen Ausfall kommen kann und wie wahrscheinlich dieser ist. Hier setzt die im Jahr 2002 durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) erarbeitete Methode zur Analyse der Kritischen Infrastruktursektoren (AKIS) an. Diese Methode wird im Folgenden dargestellt. Bundesamt für Sicherheit in der Informationstechnik 5

6 3 Vorbemerkungen zu AKIS 3 Vorbemerkungen zu AKIS 3.1 Risikoanalyse vs. Kritikalitätsbetrachtung Analysen mit dem Ziel, Ausfallwahrscheinlichkeiten sowie mögliche Auswirkungen und Schäden zu identifizieren, fallen typischerweise in das Fachgebiet der Risikoanalyse und des Risikomanagements. Ausgearbeitete Methoden zur Risikoanalyse gibt es viele, sowohl im Bereich IT-Sicherheit wie auch in betriebswirtschaftlichem Kontext. Diese arbeiten häufig mit einer sehr ähnlichen Struktur: Objekte, Bedrohungen, Schwachstellen und Wahrscheinlichkeiten werden katalogisiert und verknüpft. Das Ergebnis sind dann die zu erwartenden Schadenshöhen oder Risikokategorien. Die Anwendung dieser Methoden für Analysen im Bereich der Kritischen Infrastrukturen zeigt sich als wenig zielführend. Für Schäden und Ausfallwahrscheinlichkeiten gibt es derzeit keine aussagekräftigen Statistiken, eine Katalogisierung von Objekten, Schwachstellen und Bedrohung vom Unternehmen bis hin zur volkswirtschaftlichen Ebene scheint schlicht unmöglich. Als Methode wird deshalb eine modifizierte Analyse in Form einer Kritikalitätsbetrachtung angewandt. Ausgangspunkt dabei sind die in den Infrastruktursektoren und Unternehmen ablaufenden Geschäftsprozesse. Diese werden auf sehr hohem Niveau betrachtet. Beispielhafte Geschäftsprozesse sind z. B. im Finanzsektor die Bargeldversorgung der Bevölkerung oder in fast allen Sektoren die Rechnungsstellung. Dabei ist nicht von Interesse, durch wen oder was die Funktionsfähigkeit dieser Prozesse bedroht ist, sondern lediglich, ob der Prozess massiv gestört oder zum Ausfall gebracht werden kann. Es stellt sich also z. B. nicht die Frage, wie der Betrieb eines Rechenzentrums gestört werden kann. Interessant sind vielmehr die Auswirkungen auf den entsprechenden Prozess, für den Fall, dass das Rechenzentrum nicht mehr arbeitet. Durch eine relativ grobe Modellierung der Geschäftsprozesse ist es möglich, objektunabhängig zu arbeiten; es müssen weder Computersysteme aufgelistet noch umfangreiche Schadenskataloge erstellt werden. Betrachtet werden nur die Kernkomponenten der Prozesse. 3.2 Kritisch und Kritikalität Für das weitere Verständnis der Methode ist die Unterscheidung zwischen den Begriffen kritisch und Kritikalität zu verdeutlichen: Als kritisch wird ein Infrastruktursektor bezeichnet, wenn bei dessen Störung schwerwiegende Auswirkungen für die Bevölkerung eintreten. Aber auch ein Geschäftsprozess in einem Unternehmen wird als kritisch bezeichnet, wenn bei dessen Störung existentielle Gefahr für das Unternehmen besteht. Man spricht dann auch von unternehmenskritisch. Kritisch ist immer eine ja/nein- Aussage. Kritikalität ist hingehend eine skalierbare Wertung. Ein Prozess kann z. B. eine hohe oder eine geringe Kritikalität aufweisen. Bewertet wird dabei die Wahrscheinlichkeit und die zu erwartende Auswirkung einer Störung. Die Begriffe kritisch und Kritikalität lassen sich auf verschiedenen Bezugsebenen anwenden. So ist eine Infrastruktur, deren Störung den Bestand eines Unternehmens gefährdet, eine unternehmenskritische Infrastruktur. Ein Prozess mit diesen Eigenschaften ist ein unternehmenskritischer Prozess. 6 Bundesamt für Sicherheit in der Informationstechnik

7 3 Vorbemerkungen zu AKIS Wie wirkt sich aber der Ausfall eines unternehmenskritischen Prozesses auf den Sektor oder gar die gesamte Gesellschaft aus? Dazu sind gesonderte Betrachtungen notwendig. Der Ausfall (der Dienstleistungen) eines Unternehmens kann für die Gesellschaft irrelevant sein. Er kann aber auch auf dieser Bezugsebene zu massiven Beeinträchtigungen führen, wenn das betrachtete Unternehmen z. B. einen großen Marktanteil im Sektor inne hat oder gar alleiniger Anbieter ist. Dementsprechend sind die einzelnen Begriffe auch für die Bezugsebenen Sektor und Gesellschaft definiert. Dabei ist zu erwarten, dass es zwar ein Vielzahl von unternehmenskritischen Prozessen gibt, aber nur wenige sektorkritische Prozesse. Da der Ausfall eines vollständigen Sektors im Allgemeinen aber auch für die Gesellschaft ein massives Problem darstellt, wird die Anzahl der sektorkritischen und der gesellschaftskritischen Prozesse fast identisch sein. Nach diesen Begriffserläuterungen sollte auch die sich durch die gesamte Methode hindurchziehende Leitfrage nachvollziehbar sein: Was sind die kritischen Prozesse der kritischen Infrastruktursektoren und welche Kritikalität weisen sie auf? 4 Die Methode AKIS Die Methode AKIS bezieht sich immer auf die Analyse eines einzelnen Sektors. Der grobe Ablauf ist in Abbildung 1 dargestellt. Erstellen Sektorüberblick / Aufteilung in Branchen Identifikation der Prozesse Kritikalitätsbewertung Untersuchung IT-Abhängigkeit Korrekturen: - sektorinterne Handhabung - subjektive Wahrnehmung Kritikalitätsmatrix Abbildung 1: Arbeitsschritte AKIS Es gilt zunächst, einen Überblick über den Sektor zu gewinnen und diesen geeignet weiter zu unterteilen. Anschließend sind die kritischen Prozesse zu identifizieren und bezüglich ihrer Kritikalität zu bewerten. Die Prozesse mit bedeutender und hoher Kritikalität werden dann weiter auf ihre IT- Abhängigkeit untersucht. Nach einer abschließenden Betrachtung, u. a. wie denn der Sektor bereits mit diesen kritischen Prozessen umgeht, entsteht als Ergebnis der Untersuchung eine sogenannte Kritikalitätsmatrix. Die einzelnen, oben nur angerissenen Arbeitsschritte werden im Folgenden detaillierter beschrieben. Bundesamt für Sicherheit in der Informationstechnik 7

8 4 Die Methode AKIS 4.1 Aufbereitung des kritischen Infrastruktursektors Im ersten Arbeitsschritt sind zwei wesentliche Leistungen zu erbringen. Erstens ist der zu untersuchende Sektor geeignet darzustellen. Dabei soll z. B. verständlich gemacht werden, wie der Sektor funktioniert, welche besonderen Einflussgrößen es gibt, welche Bedeutung der Sektor für die Volkswirtschaft hat und welches die führenden Unternehmen im Sektor sind. Des Weiteren sind viele Sektoren nicht als Ganzes sinnvoll zu analysieren. So sind z. B. im Sektor Transport und Verkehr sowohl der Straßenverkehr wie auch die Luftfahrt enthalten, also zwei Branchen mit völlig unterschiedlichen Strukturen und Anforderungen. Der zu untersuchende Sektor ist deshalb weiter zu strukturieren. Dazu bieten sich verschiedene Modelle an, die je nach Sektor unterschiedlich gut geeignet sind. Abbildung 2 zeigt eine generische Darstellung möglicher Sektorstrukturen. Kritische Infrastrukturen Sektor 1 Sektor 2 Sektor 3 Sektor... Branche A Dienstl. A Produkt A Branche A Branche B Dienstl. B Produkt B Dienstl. B Branche C Dienstl. C Produkt C Produkt C Branche... Dienstl... Produkt Abbildung 2: Sektorstrukturen Die Gesamtheit der Kritischen Infrastrukturen lässt sich in einzelne Infrastruktursektoren - wie z. B. Telekommunikation oder Energie - unterteilen. Diese Sektoren können dann weiter untergliedert werden, z. B. in Branchen - das wäre bei Transport und Verkehr dann Luftfahrt, Schifffahrt, Straße und Schiene - in Dienstleistungen - diese Unterteilung bietet sich u. a. bei Telekommunikation an (u.a. Festnetz-Sprachdienste, Mobile Sprachdienste, Breitbandkabeldienste) - oder ganz allgemein in Produkte. Welche dieser Möglichkeiten geeignet und zielführend ist, hängt dabei vom jeweiligen Sektor ab. Kombinationen der verschiedenen Unterteilungsarten sind grundsätzlich möglich. 4.2 Identifikation der Geschäftsprozesse Nach der erfolgten Strukturierung sind die für die Branchen / Dienstleistungen / Produkte relevanten Geschäftsprozesse zu identifizieren und zu definieren. Diese sollen dann im Weiteren in Hinblick auf ihre Kritikalität beurteilt werden. Dieser Schritt ist für die gesamte Analyse wichtig. Prozesse, die hier nicht berücksichtigt werden, finden auch bei der Kritikalitätsbeurteilung keine Beachtung. Wird hingegen bei der Prozessdefinition auf zu niedrigem Niveau und zu detailliert gearbeitet, hat dies zur Folge, dass eine Vielzahl von Prozessen identifiziert wird und damit die Gefahr besteht, den Blick für das Wesentliche zu verlieren. Darüber hinaus steigt der Arbeitsaufwand enorm. Zur Identifikation der Prozesse stehen verschiedene Hilfsmittel bereit. Insbesondere bei Sektoren mit hoher volkswirtschaftlicher Bedeutung liefert die Wissenschaft bereits ausgearbeitete Prozessmodelle. Diese sind durch Expertenbefragungen geeignet zu ergänzen. Bei anderen Sektoren, hier 8 Bundesamt für Sicherheit in der Informationstechnik

9 4 Die Methode AKIS sind die Sektoren Notfall- und Rettungswesen sowie Behörden und Verwaltung gute Beispiele, stehen in der Regel nur Experten als Quellen zur Verfügung. Mit Experten sind hier Vertreter aus Unternehmen oder Behörden der einzelnen Branchen gemeint, die aktiv an den Prozessen mitwirken und somit unmittelbar aus ihrer beruflichen Erfahrung berichten können. Die Expertenbefragungen sind je nach Branche unterschiedlich zu gestalten. In einigen Branchen liefern Workshops schnelle und gute Ergebnisse, in anderen Branchen sind weiterführende Informationen - wichtig insbesondere bei der Kritikalitätsbewertung - nur in Einzelinterviews zu erhalten. Die glaubhafte Zusage des vertrauensvollen Umgangs mit den erhaltenen Informationen ist ein wesentlicher Erfolgsfaktor für die Analyse. Die identifizierten Prozesse sind grob zu beschreiben. Da die einzelnen Prozesse in den verschiedenen Unternehmen meist unterschiedlich realisiert sind, in der Methode aber eine sektorübergreifende Betrachtung angestrebt wird, ist eine detaillierte, wissenschaftlich gründliche Definition hier nicht zielführend. Als Beispiel für einen wie oben beschriebenen Prozess ist in der folgenden Abbildung 3 die Mineralölversorgung aus dem Sektor Energie dargestellt. Der Geschäftsprozess Mineralölversorgung lässt sich zunächst in nur vier Schritten darstellen. Erwarten die Experten bei einem Prozessschritt besondere Kritikalitäten, können die einzelnen Prozessschritte wie in Abbildung 3 bei Transport und Vertrieb dargestellt weiter detailliert werden. 4.3 Kritikalitätsbewertung Abbildung 3: Geschäftsprozess Mineralölversorgung Die Geschäftsprozesse sind dann in Hinblick auf ihre Kritikalität zu beurteilen. Die Leitfrage hierzu lautet: Was passiert, wenn eine Komponente im Prozess ausfällt und wie wahrscheinlich ist dieses? Bundesamt für Sicherheit in der Informationstechnik 9

10 4 Die Methode AKIS Eine Abstützung auf Historie und Statistiken ist dabei kaum möglich. Dazu liegen zum Glück zu wenige Daten vor. Die Stromversorgung bricht nicht regelmäßig zusammen und es wird hoffentlich nie so viele Terroranschläge geben, dass eine statistische Auswertung sinnvoll ist. Als wesentliche Informationsquelle stehen daher auch hier wieder die Experten im Vordergrund. Wichtig ist die Einschätzung der Experten, ob die weitreichende Störung eines Prozesses denkbar ist, was dazu führen könnte und welche Auswirkung die Störung dann haben würde. Nach Möglichkeit sind mehrere Experten zu jedem Prozess zu befragen. So können die subjektiven Einschätzungen konsolidiert werden. Um die Einschätzungen vergleichbar zu machen die Analyseergebnisse sollen nach Möglichkeit eine Vergleichbarkeit zwischen den einzelnen Sektoren ermöglichen sind sowohl für die zu erwartenden Auswirkungen, wie auch für die geschätzten Ausfallwahrscheinlichkeiten mehrstufige Skalen vorzugeben. Fünf Stufen erscheinen dabei noch hinreichend differenziert, ohne zu grob zu klassifizieren: z. B. für die Schäden von unbedeutend bis katastrophal, für die Ausfallwahrscheinlichkeiten von sehr selten bis fast sicher. Die Bedeutung und Größenordnung der einzelnen Stufen können den Experten / Interviewpartnern anhand von Fallbeispielen und Szenarien vermittelt werden. Eine konkrete Festlegung auf Zahlenwerte sollte dabei bewusst unterbleiben. Hiermit würde eine nicht gegebene Vergleichbarkeit suggeriert werden (z. B. werden an die Ausfallsicherheit von Kernkraftwerken andere Ansprüche gestellt als an die einer Gepäckabfertigung auf einem Flughafen). Aus der Kombination Auswirkung und Ausfallwahrscheinlichkeit ergibt sich dann die Kritikalität des Prozesses (siehe Tabelle 1). Auswirkung / Schadenshöhe unbedeutend gering mäßig groß katastrophal Ausfall- Wahrscheinlichkeit fast sicher bedeutend bedeutend hoch hoch hoch wahrscheinlich mittel bedeutend bedeutend hoch hoch möglich gering mittel bedeutend hoch hoch unwahrscheinlich gering gering mittel bedeutend hoch sehr selten gering gering mittel bedeutend bedeutend Tabelle 1: Bewertung der Kritikalität Nach diesem Schema und nach erfolgter Auswertung der Befragungen (siehe z. B. Abbildung 4) lassen sich die einzelnen Prozesse dann in die Kritikalitätsmatrix einordnen. Dieses geschieht zunächst auf der Bezugsebene Unternehmen. Bei der Befragung der Experten sind auch deren Einschätzung über die Auswirkung des Prozessausfalls für den Sektor aufzunehmen. Wie schon dargestellt, sind die wenigsten unternehmenskritischen Prozesse auch sektorkritisch. Dieses hängt aber auch stark von der Branchenstruktur ab. Wird eine Branche untersucht, die von einem oder wenigen Unternehmen dominiert wird, sind die unternehmenskritischen Prozesse dieser Unternehmen eher sektorkritisch. 10 Bundesamt für Sicherheit in der Informationstechnik

11 4 Die Methode AKIS Ausfallwahrscheinlichkeit Prozesse: 1 Prozess 1 2 Prozess 2 fast sicher Prozess 3 Prozess 4 wahrscheinlich Prozess 5 Prozess 6 7 Prozess 7 möglich Prozess 8 unwahrscheinlich sehr selten Kritikalität: hoch bedeutend mittel gering Als Datengrundlage können hierbei sowohl die bereits gefertigten Prozessbeschreibungen, insbesondere aber wieder Expertenbefragungen dienen. Der Grad der IT-Abhängigkeit wird dann grob skaliert, hier im Beispiel in den Stufen niedrig, mittel und hoch. Die Prozesse mit IT-Abhän unbedeutend gering mäßig groß katastrophal Abbildung 4: Kritikalitätsmatrix - Prozesse Unternehmenskritische Prozesse in Branchen mit einem gleichberechtigten Wettbewerb zwischen einer Vielzahl von Unternehmen sind für den Sektor meist unkritisch. Es wird aber bei dem Wechsel der Bezugsebenen Unternehmen - Sektor immer eine für den Sektor günstige Verschiebung der Kritikalitäten geben. Projiziert man dieses Bild dann auf die gesellschaftliche Ebene, ist nochmals eine Verschiebung möglich, diese wird aber keinesfalls stark ausfallen. Schließlich besagt ja die Definition Kritische Infrastruktur, dass der Ausfall des Sektors nachhaltige Auswirkungen auf das Gemeinwohl haben wird. Wenn also Prozesse identifiziert werden, die zwar die Dienstleistungen des Sektors gefährden, für die Gesellschaft aber eine deutlich geringere Kritikalität aufweisen, gibt es Unstimmigkeiten in der logischen Kette. Nach der bisherigen Darstellung werden sämtliche Prozesse bezüglich ihrer Kritikalität für die Bezugsebenen Unternehmen, Sektor und Gesellschaft beurteilt. Wenn aber die oben angestellten Annahmen zulässig sind, kann das Vorgehen effizienter gestaltet werden: Prozesse mit erkannter geringer oder mittlerer Kritikalität können in den folgenden Bezugsebenen nicht die Stufe bedeutend oder hoch erreichen. Sie können unmittelbar vernachlässigt werden. In den dann folgenden Schritten sind nur die Prozesse mit bedeutender oder hoher Kritikalität weiter zu verfolgen (siehe auch Abbildung 5). 4.4 Untersuchung der IT-Abhängigkeit Schadenshöhe Vorrangiges Ziel von AKIS ist es aber nicht, die Prozesse mit hoher Kritikalität zu identifizieren. Dies ist nur die notwendige Vorarbeit, um dann Art und Umfang der IT-Abhängigkeit der Prozesse und damit der untersuchten Sektoren festzustellen (siehe Abbildung 5). Um auch hier den Arbeitsaufwand in einem akzeptablen Rahmen zu halten, wird die Untersuchung der IT-Abhängigkeit auf die Prozesse mit bedeutender und hoher Kritikalität auf gesellschaftlicher Ebene beschränkt. Bundesamt für Sicherheit in der Informationstechnik 11

12 4 Die Methode AKIS gigkeit hoch laufen nach dieser Skalierung ohne IT-Unterstützung nicht oder nur noch sehr eingeschränkt ab. Prozesse Kritikalität für Unternehmen niedrig / mittel bedeutend / hoch Prozesse Kritikalität für Sektor niedrig / mittel bedeutend/ hoch Prozesse Kritikalität für Gesellschaft niedrig / mittel bedeutend/ hoch Prozesse Grad der IT-Abhängigkeit niedrig mittel hoch 4.5 Korrekturfaktoren Zum Schluss der Methodenbeschreibung sind noch zwei Faktoren anzusprechen, die Einfluss auf die Kritikalitätsmatrix nehmen können. Als Erstes sind die bereits vorhandenen sektorinternen Mechanismen zu nennen: Einzelne Sektoren haben bereits erkannt, dass die Funktionsfähigkeit des gesamten Sektors von bestimmten Prozessen abhängt und auch entsprechende Schutzmaßnahmen ergriffen. Diese Maßnahmen erstrecken sich sowohl auf den präventiven wie auch auf den reaktiven Bereich. Insbesondere Maßnahmen, welche die Auswirkungen bei Störungen beschränken und einen schnellen Wiederanlauf sicherstellen, haben Einfluss auf die Kritikalität der einzelnen Prozesse. Des Weiteren wurden die vorliegenden Ergebnisse aus den subjektiven Eindrücken der Sektorexperten gewonnen. Jetzt kann aber (nach persönlicher Meinung der Autoren) in Deutschland durchaus von einem hohen Anspruchsdenken bezüglich der Versorgungssicherheit von Infrastrukturdienstleistungen ausgegangen werden. Auswirkungen auf die Bevölkerung, die in Deutschland bereits als nennenswert oder groß angesehen werden, sind in anderen Länder unbedeutend und an der Tagesordnung. Unter Berücksichtigung der beiden genannten Faktoren ist die abschließende Kritikalitätsmatrix gegebenenfalls leicht zu modifizieren. Die Kritikalität sinkt dann nochmals. 5 Ergebnis der Analyse Abbildung 5: Vereinfachter Ablauf AKIS Wurde jeder kritische Infrastruktursektor dieser Analyse unterzogen, liegen zum Abschluss folgende Ergebnisse vor: Ein Überblick, wie die einzelnen Sektoren funktionieren, welche Bedeutung sie für die Volkswirtschaft haben und wie sie für die Kritikalitätsanalyse geeignet zu strukturieren sind; 12 Bundesamt für Sicherheit in der Informationstechnik

13 Generische Beschreibungen der wichtigen Geschäftsprozesse; 5 Ergebnis der Analyse Für jeden Sektor eine Kritikalitätsmatrix für die gesellschaftliche Ebene; die Prozesse mit bedeutender und hoher Kritikalität sind identifiziert; Die IT-Abhängigkeit dieser Prozesse und damit auch der Sektoren ist erkannt. Aufgrund des Analyseansatzes entstehen noch weitere Ergebnisse, die zwar nicht unbedingt im Fokus der Untersuchung liegen, aber doch sehr interessant sind: Neben IT-Abhängigkeiten und -Gefährdungen werden, resultierend aus dem prozessorientierten Untersuchungsansatz, auch konventionelle Gefährdungen herausgearbeitet; Weiterer und vertiefender Untersuchungsbedarf wird identifiziert (wird z. B. im Laufe der Expertengespräche erarbeitet); Sektorvertreter werden sensibilisiert (u. a. als Randeffekt der Workshops und Interviews). 6 Fazit Die mittels der geschilderten Analyse erarbeiteten Erkenntnisse über die Kritischen Infrastrukturen sind weder hinreichend detailliert, um als Grundlage für konkrete Maßnahmen zu dienen, noch rechtfertigen sie den Absolutheitsanspruch, jeden kritischen Prozess erkannt zu haben. AKIS ermöglicht es aber, schnell einen Eindruck über die IT-Abhängigkeit der Kritischen Infrastrukturen zu gewinnen und damit eine gute Wissensbasis zu schaffen, um die Zuverlässigkeit unserer Infrastrukturen durch gemeinsame und zielgerichtete Arbeit zwischen Staat und Wirtschaft auch in Zukunft zu erhalten. Bundesamt für Sicherheit in der Informationstechnik 13