Die Katschützer: AG Kritis

@diekatschuetzer haben in ihrem Podcast mit unserem Mitglied @HonkHase über die AG KRITIS und das Cyber-Hilfswerk gesprochen.

In dieser Folge unterhalten wir uns mit Manuel Atug über seine Arbeit in der AG Kritis, über die Arbeit die in das Konzept zum Cyberhilfswerk geflossen ist, was man mitbringen muss um in der AG Kritis mitarbeiten zu können und vieles mehr.

Den vollständigen @diekatschuetzer Podcast „AG Kritis“ mit @HonkHase findet ihr hier:

Hier findet Ihr unser CHW-Konzept:

IT-Sicherheitsgesetz 2.0: Neue Meldepflichten für Unternehmen

BASECAMP hat sich zum aktuellen Entwurf für das IT-Sicherheitsgesetz 2.0 geäußert und dabei auch mehrere unserer wesentlichen Kritikpunkte mit aufgegriffen.

Ein zweiter Kritikpunkt der AG KRITIS richtet sich gegen “die offensichtliche Umgehung des frisch geschaffenen Nationalen Cyberabwehrzentrum (NCAZ) bei erfolgreichen Angriffen auf IT-Systeme”. Den Änderungsplänen zu § 109a TKG zufolge sollen Datenverluste an das Bundeskriminalamt (BKA) gemeldet werden. Diese Meldung sollte stattdessen an das NCAZ erfolgen, fordert die AG KRITIS.

Dern vollständigen Artikel bei BASECAMP findet ihr hier:

Unseren Blogpost zu diesem Thema findet ihr hier:

Kommentierung der Stiftung Neue Verantwortung des IT-SiG2

Die Stiftung Neue Verantwortung hat, ebenso wie wir, eine Kommentierung des vorgeschlagenen IT-Sicherheitsgesetz 2.0 erstellt. In dieser Kommentierung wird das von uns entworfene Konzept eines Cyberhilfswerks empfohlen. Dafür möchten wir uns bedanken!

Empfehlung: Ein Ausbau der MIRTs ist zu unterstützen, da für diese eine breite Fachexpertise – zum Beispiel für die unterschiedlichen Systeme Kritischer Infrastrukturen – bereitgehalten werden muss. Der genannte Ausbau der Teams wäre eine effiziente Investition der im Entwurf insgesamt vorgesehenen Personalressourcen. […] Zudem sollte eine Einbettung des Konzepts des Cyber-Hilfswerks in diesen Plan geprüft werden.

Der lesenswerte Volltext der Kommentierung zum IT-SiG2 ist auf der Website der Stiftung Neue Verantwortung zu finden.

 

Vortrag: Wat tut die AG KRTITIS 94. Netzpolitischer Abend

Unser Mitglied ijon hat auf dem 94. Netzpolitischer Abend der DigiGes die AG KRITIS mit dem Vortrag „Wat tut die AG KRITIS“ vorgestellt.

Dabei wurden die Entstehungsgeschichte als auch die von von Staat oder Wirtschaft unabhängige und ehrenamtlich agierenden AG KRITIS vorgestellt. Das Ziel der Arbeitsgruppe, einzig und allein die Versorgungssicherheit der Bevölkerung zu erhöhen wurde dazu auch dargestellt. Darüber hinaus hat ijon noch aufgezeigt, dass die AG zivilgesellschaftlich und ehrenamtlich Konzepte und Ideen zum Katastrophenschutz der Bevölkerung entwickelt.

 

Twitterfrage zu Bestrebungen in Richtung Zertifizierung oder Anforderungen bei IT & OT

Während des Vortrags auf dem 94. netzpolitischen Abend der Digitalen Gesellschaft erreichte uns diese Frage auf Twitter:

Die Beantwortung passt nicht in 260 Zeichen, deswegen haben wir hier kurz gebloggt. Vielen Dank an unser Mitglied Clarity für das spontane Verfassen des Beitrags.

KRITIS-Betreiber sind jetzt schon dazu angehalten, Sicherheitsmaßnahmen nach „Stand der Technik“ umzusetzen – das kann auch die ausschließliche Verwendung von (ggf. zertifizierten) Geräten von vertrauenswürdigen Herstellern umfassen. Dies ist jedoch noch nicht bei jeder kritischen Infrastruktur umgesetzt.

Einzelne Branchen verfügten bereits vor der KRITIS-Gesetzgebung über eigene Zertifizierungsverfahren, um Geräte zu prüfen; oft gibt es auch Standards und Normen, die sich mit KRITIS-Regulatorik zumindest überschneiden (beispielsweise standardisierte Signalsicherung für Ampeln, die Konflikt-Grün verhindert o.ä.). Auch für #SCADA bzw. #IoT-Geräte im Industrieumfeld gibt es einschlägige Normen wie die DIN EN IEC 62443-Reihe, welche technische Anforderungen an ebenddiese Geräte stellen. Auch offizielle Stellen empfehlen beispielsweise die Nutzung dieser Norm.

Im neuen Entwurf zur Resortabstimmung des IT-Sicherheitsgesetzes 2.0 gibt es den Paragraph 9b „Untersagung des Einsatzes kritischer Komponenten nicht vertrauenswürdiger Hersteller“, welcher aber eher auf Backdoors (dein zweiter Tweet) abzielt. Laut dem Entwurf soll (a) der Einbau von kritischen Komponenten beim @BMI_Bund angezeigt werden (b) der Hersteller einer solchen Komponente eine Garantieerklärung über die „Backdoorfreiheit“ abgeben und (c) das BMI den Einbau bestimmter Komponenten verbieten können, wenn der Lieferant nicht vertrauenswürdig ist. Die Probleme daran haben wir in unserer Stellungnahme verlinkt.

Konkrete technische Anforderungen (zum ersten Tweet) gibt es in den Gesetzen, abseits der Stand-der-Technik-Verpflichtung, nicht.