Der modernisierte IT-Grundschutz: Chancen für den Branchenstandard Dr. Ludger Terhart, Emschergenossenschaft/ Lippeverband Mitglied im

Transkript

1 Der modernisierte IT-Grundschutz: Chancen für den Branchenstandard Dr. Ludger Terhart, Emschergenossenschaft/ Lippeverband Mitglied im Branchenarbeitskreis Wasser/ Abwasser im UP KRITIS Sprecher der DWA Arbeitsgruppe Cyber Sicherheit

2 Emschergenossenschaft Lippeverband (EGLV) Wir bewirtschaften die natürlichen Flussgebiete von Emscher und Lippe Wir arbeiten rund um den Wasserkreislauf Wir sind gemeinsam der größte Abwasserentsorger in der BRD Wir sind Wasserwirtschaftsunternehmen in Form von Körperschaften des öffentlichen Rechts Wir bilden ein Gemeinschaftsunternehmen (Verwaltungsgemeinschaft) seit fast 100 Jahren

3 EGLV: Unser Einzugsgebiet Wasserlauf Entwässerungspumpwerk Kläranlage Pumpwerke Coesfeld VERBANDSGEBIET Dülmen Borken Dorsten Haltern Lüdinghausen Drensteinfurt Ahlen Wesel Dinslaken Oberhausen Bottrop Marl Gelsenkirchen Herten Datteln Recklinghausen Castrop -Rauxel Waltrop Lünen Dortmund Werne Bergkamen Kamen Unna Hamm Bönen Werl Lippborg Soest LIPPE Duisburg Essen RHEIN GENOSSENSCHAFTSGEBIET Bochum Holzwickede Witten Gebiet (km²) Einwohner (Mio.) Einwohner/ km² Lippeverband ,4 427 Emschergenossenschaft 865 2,

4 Integrierte Wasserwirtschaft rund um den Wasserkreislauf Regenwassermanagement Wasserabfluss Reststoffentsorgung Gewässerunterhaltung Hochwasserschutz Renaturierung Abwasserbeseitigung Polderbewirtschaftung

5 Agenda Die DWA und der Branchenstandard Die Herausforderungen Das Konzept Der Stand der Dinge Ausblick

6 Regelsetzende Verbände im Bereich Wasser und Abwasser Wasser: DVGW Deutscher Verein des Gas- und Wasserfaches e.v. Abwasser: DWA Deutsche Vereinigung für Wasserwirtschaft, Abwasser und Abfall e.v

7 Die DWA und der Branchenstandard

8 Agenda Die DWA und der Branchenstandard Die Herausforderungen Das Konzept Der Stand der Dinge Ausblick

9 IT-Sicherheitsgesetz Gesetzliche Verankerung der Branchenstandards [ ] (2) Betreiber Kritischer Infrastrukturen und ihre Branchenverbände können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen nach Absatz 1 vorschlagen. Das Bundesamt stellt auf Antrag fest, ob diese geeignet sind, die Anforderungen nach Absatz 1 zu gewährleisten. Die Feststellung erfolgt 1. im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, 2. im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde

10 Branchenstandard Die Herausforderungen Unternehmensstruktur der Wasser- und Abwasserwirtschaft: Viele kleine, einige mittlere und wenige große Unternehmen Große Spanne in Sachen IT-Know-how Heterogene Anlagen- und IT-Landschaft, historisch in Jahrzehnten gewachsen Digitalisierung der Prozess(leit)technik noch jung, daher nur wenige Sicherheitskonzepte und -systemkomponenten verfügbar Nicht nur Anlagen, sondern auch Leitzentralen an sich können Kritische Infrastruktur sein komplexe IT-Systeme als kritisch eingestuft EGLV/ DWA

11 Kritische Infrastrukturen Kläranlagen KA Ausbaugröße >= EW Nicht berücksichtigt: Über eine Leitzentrale verbundene KA mit in Summe mindestens EW EGLV/ DWA

12 Agenda Die DWA und der Branchenstandard Die Herausforderungen Das Konzept Der Stand der Dinge Ausblick

13 Branchenstandard Anforderungen Berücksichtigung der als Kritische Infrastrukturen eingestuften Anlagen(typen) zur Wasserver- bzw. Abwasserentsorgung Eignung für unterschiedlichste technische Ausprägungen der Prozess(leit)systeme und sonstigen IT-Systeme Hersteller- und systemneutrale Beschreibung der Maßnahmen Verständlich für die Betreiber (eindeutige Ableitung der zu beachtenden Grundsätze und der zu ergreifenden Maßnahmen) Integration in bestehende Regelwerke (DVGW, DWA) Einfach an den jeweiligen Stand der Technik und die Erkenntnisse des BSI anzupassen EGLV/ DWA

14 Herangehensweise der AWWA *) Security Guidance for the Water Sector *) American Water Works Association

15 Branchenstandard Grundlagen Branchenstandard IT-Sicherheitsgesetz Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz (BSI-Kritisverordnung BSI-KritisV) Orientierungshilfe zu Inhalten und Anforderungen an branchenspezifische Sicherheitsstandards (B3S) gemäß 8a (2) BSIG Verankerung DVGW-Regelwerk (Wasser), DWA-Regelwerk(Abwasser) EGLV/ DWA

16 Branchenstandard Grundlagen Organisation, Management BSI Standards DIN ISO/IEC 27001: ; ISIS12 IT-Systeme, Maßnahmen BSI IT-Grundschutzkataloge BSI ICS Security Kompendium

17 Branchenstandard Arbeitsthesen Es werden Einrichtungen sowohl der Wasserver- als auch der Abwasserentsorgung betrachtet. Der Standard kann unabhängig davon angewendet werden, ob eine Einrichtung Kritische Infrastruktur ist oder nicht. Es erfolgt keine Unterscheidung nach Größe der Einrichtungen, sondern nach Ausprägung der implementierten IT-Infrastruktur. Der Branchenstandard gliedert sich in zwei Ebenen: Die Verankerung im Regelwerk (z.b. Merkblatt). Der Maßnahmenkatalog ( Leitfaden, auf den das Regelwerk verweist).

18 Branchenstandard Das Konzept Einstieg über verständlich beschriebene Anwendungsfälle einfacher Zugang zu den erforderlichen Schutzmaßnahmen Basis für den Branchenstandard: BSI-Grundschutz-Kataloge, ICS-Security Kompendium (Zukünftig: Der modernisierte IT-Grundschutz) einfache, zeitnahe Anpassung an aktuelle Entwicklungen minimaler Pflegeaufwand für die Maßnahmenbeschreibungen Entspricht dem neuen Konzept des BSI-Grundschutz Einfache Auditierung durch anlagenspezifischen Maßnahmenkatalog Kompatibel zu den Vorgaben der DIN ISO/IEC Kann auch bei Anwendung der 27K-Normen genutzt werden (z.b. in Verbundunternehmen)

19 Agenda Die DWA und der Branchenstandard Die Herausforderungen Das Konzept Der Stand der Dinge Ausblick

20 Branchenstandard Anwendungsfälle - Gefährdungen EGLV/ DWA

21 Branchenstandard Anwendungsfälle - Maßnahmen EGLV/ DWA

22 Branchenstandard Anwendungsfälle Referenz zum ICS Security Kompendium EGLV/ DWA

23 Branchenstandard Anwendungsfälle Referenz zur DIN ISO/IEC EGLV/ DWA

24 Agenda Die DWA und der Branchenstandard Die Herausforderungen Das Konzept Der Stand der Dinge Ausblick

25 Branchenstandard Ausblick Abschluss der Arbeiten am Leitfaden bis Mitte Juni 2016 (DVGW, DWA) Vorlage und Abstimmung im Branchenarbeitskreis Wasser/ Abwasser Vorlage und Abstimmung mit dem BSI und BBK Ggf. Überarbeitung aufgrund der Ergebnisse in der Abstimmung mit dem BSI und BBK Antrag auf Anerkennung des Branchenstandards durch das BSI Parallel: Erarbeitung des Merkblatts

26 Vielen Dank für Ihre Aufmerksamkeit! Dr. Ludger Terhart Geschäftsbereich Technische Services Abteilungsleiter Informationstechnologien EMSCHERGENOSSENSCHAFT/LIPPEVERBAND Kronprinzenstraße Essen Telefon Telefax