Was KRITIS-Betreiber beachten und dem BSI melden müssen

Anbieter zum Thema

genua gmbh

IBYKUS AG für Informationstechnologie

GISA GmbH

BISG - Bundesfachverband der IT- Sachverständigen und Gutachter e.V.

Security-Insider: Wann gilt ein Vorfall als „erheblich“?

Eitel: Die jüngere Vergangenheit hat gezeigt, dass Infrastrukturen durchaus Schaden erleiden und Beeinträchtigungen kritischer Prozesse weitreichende soziale und ökonomische Folgen haben können. Die Anschläge in New York (2001), Madrid (2004) oder London (2005), aber auch Katastrophen wie die großen Hochwasser an Elbe und Oder, der Orkan „Kyrill“ (2007) oder die Kraftwerkskatastrophe in Fukushima (2011) machen deutlich, dass das private und das öffentliche Leben von kritischen Infrastrukturen abhängig ist.

In der IT wird unter einer Katastrophe der dauerhafte Ausfall der gesamten Informationstechnik verstanden. Die Auswirkungen haben einen gravierenden Einfluss auf die Funktionsfähigkeit des Unternehmens selbst und damit oftmals auch kritische Auswirkungen auf Kunden und/oder Subunternehmer.

Security-Insider: Greifen wir einmal den Sektor Gesundheitswesen heraus: Können Sie uns einen Einblick geben, welche speziellen Anforderungen Betreiber aus diesem Bereich zu erfüllen haben?

Eitel: Im Datenschutz gelten Gesundheitsdaten als besonders schutzwürdig, liegt es da nicht nahe, dass auch die Gesundheitsversorgung der Bevölkerung einem besonderen Schutz unterliegt? Von den zuvor genannten etwa 2.000 Unternehmen, die dem IT-Sicherheitsgesetz nachkommen müssen, kommt auch ein kleiner Teil aus dem Gesundheitssektor.

Aus meiner Sicht sollten eigentlich alle Kliniken zu den KRITIS-Unternehmen gezählt werden. Nehmen wir eine Klinik mit 600 Betten und mehreren Standorten: Dank vieler Investitionen existiert eine nahezu papierlose Klinik, alles läuft digital auf dem neuesten Stand der Technik ... Eine – mutwillige? – Beschädigung des Klinikinformationssystems führt dann nahezu zwangsläufig zu einem Zusammenbruch aller Prozesse.

Sicherlich kann das Personal die Notfallpatienten behandeln, aber es fehlen Details: Wer liegt in welchem Zimmer, ist woran erkrankt, braucht welche Medikamente und wieviel davon? Kann die OP durchgeführt werden, welche soll überhaupt gemacht werden und was muss an benötigtem Material abgerufen werden? Diese Liste ließe sich endlos weiterführen. Notfallpläne sind oft nicht vollumfänglich vorhanden, und eine Datensicherung wäre bei einem defekten Informationssystem nutzlos.

Hier gilt es, organisatorische Maßnahmen zu ergreifen, die wenigstens die grundlegenden Funktionen erhalten. Mit der Erfahrung aus vielen Jahren IT-, Organisations- und Qualitätsmanagement im Krankenhaus müssen aus meiner Sicht alle Kliniken verstärkt konzeptionelle Vorsorge betreiben und mehr in IT-Sicherheitslösungen investieren. So ist zum Beispiel auch die etwaige Abhängigkeit von anderen Unternehmen von immenser Bedeutung.

Ist beispielsweise der Netzwerkanbieter nach einer Cyberattacke vollständig korrumpiert, fällt die EDV an allen Standorten der Klinik aus. Wenn dann vielleicht die IT ebenfalls noch ausgelagert wurde, steht das Unternehmen still. Jeder IT-Mitarbeiter weiß um den Druck, der durch 24/7-Ansprüche auf ihm lastet; hier die gesetzliche Anforderung zur Umsetzung eines IT-Risikomanagements zu erfüllen, sollte eigentlich allen IT-Abteilungen entgegenkommen.

(ID:43828843)