Liebe Leserinnen und Leser,
An Weihnachten geht gelegentlich der eine oder andere Wunsch in Erfüllung, das wissen wir seit frühester Kindheit. Der Wunsch, möglichst weit aus dem Fokus des IT-Sicherheitsgesetzes zu sein, gehört aber nicht zu denen, die zu diesem Fest erfüllt wurden. Doch wie sieht dieses Gesetz für uns denn konkret aus?
Das IT-Sicherheitsgesetz, oder genauer gesagt, die KRITIS-Verordnung 2.0 bezeichnet die Segmente der Wirtschaft bzw. der Verwaltungen, die unter den Geltungsbereich fallen. Für uns und unsere Kunden ist hier die Gruppe der Betreiber von Schienennetzen und Stellwerken im ÖSPV sowie der Betreiber von Leitzentralen des ÖSPV interessant. Weiter eingeschränkt wird der Geltungsbereich durch einen Schwellenwert - 125 Mio. Fahrgastfahrten sind hier als Größenordnung genannt.
Ein weiterer Aspekt ist durch die Definition kritischer Komponenten bezeichnet. Kritische Komponenten sind von besonderer Bedeutung für die Funktionsfähigkeit kritischer Infrastruktur.
Das IT-Sicherheitsgesetz gibt also einen doch recht deutlichen Rahmen vor, aus dem Unternehmen erkennen können, ob sie durch die Gesetzesnovelle unter Handlungszwang geraten oder nicht.
Die gute Nachricht: wir sind nicht dabei. Glück gehabt.
Können wir uns jetzt zurücklehnen? Wir und die meisten unserer Kunden fallen ja nicht unter diesen Rahmen. Und auch die wenigen Ausnahmen unter unseren Kunden, die von der KRITIS-Verordnung 2.0 erfasst werden, bekommen von uns keine kritischen Komponenten.
Aber es ist ja nicht das Gesetz, das man fürchten sollte …
Die Novelle ist entstanden, weil es handfeste Bedrohungen und diverse Angriffe auf beliebige IT-Systeme gegeben hat und weil die gelebten Sicherheitsstandards meist nicht geeignet sind, diesen realen Bedrohungen ausreichend Schutz und Abwehr entgegenzusetzen. Vielfach sind unser Wissen und unsere Erfahrung nicht ausreichend, um sich des Bedrohungspotentials überhaupt bewusst zu sein.
Das im Hinterkopf, müssen wir uns ganz andere Fragen stellen: mogeln wir uns nicht aus der Verantwortung, wenn wir das Thema IT-Sicherheitsgesetz und seine Forderungen ignorieren und haben wir nicht auch auf diesem Gebiet Verpflichtungen gegenüber unseren Kunden?
Diese Fragen müssen wir eindeutig mit JA beantworten. Wir haben Verantwortung und wir haben Verpflichtungen. Wir bieten unseren Kunden Lösungen an, die als Nebeneffekt dazu führen, dass bestimmte Teile der Infrastruktur im www unvermeidlich exponiert werden. Wir schaffen und verwenden Schnittstellen, die für die digitale Vernetzung unerlässlich sind, zugleich aber auch zusätzliche Angriffsflächen bieten. Wenn wir uns als kompetenten Dienstleister verstehen wollen, müssen wir vollständige Lösungen bieten. Dazu gehört auch der Sicherheitsaspekt.
Wir möchten Ihnen nachfolgend eine Lösung vorstellen, mit der wir Schnittstellen schützen können, die üblicherweise nicht im Fokus von Netzwerkadministratoren, Firewalls, Antivirus-Lösungen, etc. stehen. Gute Unterhaltung mit der weiteren Lektüre wünscht Ihnen …
Matthias Lydike
Geschäftsführer
