Aus dem Verband | Veröffentlicht am 10.12.2021
Gemeinsam IT- und Cyber- sicherheit erreichen
Die Digitalisierung und Vernetzung aller Lebensbereiche eröffnet große ökonomische und wirtschaftliche Chancen, hat aber auch zahlreiche Risiken. GENiAl sprach darüber mit Silas Kämpchen, Senior IT-Berater von der AWADO Wirtschaftsprüfungsgesellschaft Steuerberatungsgesellschaft, die ihre Mandanten mit Beratungsangeboten unterstützt.
Die Cyberangriffe vor allem in der Wirtschaft nehmen zu. Wer ist besonders davon betroffen?
Silas Kämpchen: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat kürzlich den jährlichen Bericht zur Bedrohungslage der IT-Sicherheit in Deutschland 2021 veröffentlicht. Das BSI stuft die Bedrohungslage insgesamt als angespannt bis kritisch ein. Aus dem Bericht kann abgeleitet werden, dass fast alle Unternehmen und Institutionen durch Cyberangriffe bedroht sind.
Einem erhöhten Risiko ausgesetzt sind naturgemäß staatliche Stellen, Betreiber von kritischen Infrastrukturen sowie Unternehmen von besonderem öffentlichem Interesse. Hierunter fallen unter anderem Unternehmen und Institutionen der Strom- und Wasserversorgung, des Gesundheitswesens, der IT-, Finanz- und Versicherungsbranche, des Verkehrs- und Transportwesens bis hin zur Telekommunikation und dem Ernährungssektor. Fallen Unternehmen oder Institutionen dieser Sektoren ganz oder teilweise aus, so kann dies weitreichende Folgen für Wirtschaft, Staat und Gesellschaft haben – nicht zu vernachlässigen der erhebliche wirtschaftliche Schaden, den ein Cyberangriff verursachen kann.
Wie kann sich eine Institution oder ein Unternehmen gegen diese Angriffe schützen?
Gegen Cyberangriff hilft nur ein ganzheitlicher Ansatz, so wie es der Gesetzgeber im kürzlich in Kraft getretenen IT-Sicherheitsgesetz (IT-SiG 2.0) vorgibt. Die gesetzlichen Anforderungen bieten, bei bewusster und ganzheitlicher Umsetzung, ein angemessenes Schutzniveau. Insbesondere zu nennen ist ein wirksames Managementsystem für die Informationssicherheit (ISMS).
Was beinhaltet das neue Sicherheitsgesetz für deutsche Institutionen und Unternehmen?
Eine neue Anforderung des Gesetzgebers für die Betreiber kritischer Infrastrukturen ist die Einrichtung eines „Security Incident & Event Management“(SIEM)-Systems, um aus Sicht des Gesetzgebers ein Managementsystem für die Informationssicherheit wirksam zu betreiben. Eine weitere Ergänzung ist, dass mögliche Geldbußen drastisch steigen, ähnlich der Strafregelungen der DSGVO. Grobe Verstöße können nun mit Geldbußen von bis zu 20 Millionen Euro geahndet werden. Außerdem wurden neue Sektoren aufgenommen, das sind sogenannte Unternehmen von besonderem öffentlichem Interesse mit einer besonders großen volkswirtschaftlichen Bedeutung sowie der Sektor der Siedlungsabfallentsorgung.
Seit dem 1. November gilt weiterhin für die Betreiber kritischer Infrastrukturen die zusätzliche Anforderung, dass für Lieferanten von kritischen Systemkomponenten eine Erklärung über die Vertrauenswürdigkeit (Garantieerklärung) des jeweiligen Herstellers einzuholen ist. Somit müssen kritische Systemkomponenten vor dem Einsatz vom BSI genehmigt werden oder über ein BSI-Sicherheitskennzeichen verfügen. Mit diesen und weiteren Anforderungen legt der Gesetzgeber die Latte für betroffene Unternehmen hoch und reagiert damit auf die aktuelle Bedrohungslage. Weiterhin verschärft er mögliche Bußgelder bei groben Verstößen oder einer Zuwiderhandlung gegen direkte Anweisungen des BSI.
Wie unterstützt dabei die AWADO Wirtschaftsprüfungsgesellschaft Steuerberatungsgesellschaft?
Wir als AWADO können unsere Mandanten mit Beratungsleistungen bei der Optimierung eines Managementsystems für die Informationssicherheit unterstützen. Unabhängig davon, ob unser Mandant als Betreiber kritischer Infrastrukturen gilt, ist ein effektives ISMS Grundvoraussetzung für die Resilienz gegen Cyberangriffe und ein klarer Wettbewerbsfaktor.
Betreiber kritischer Infrastrukturen können wir weiterhin durch Prüfungsleistungen zur Erbringung des Pflichtnachweises gegenüber dem BSI unterstützen. Hierbei setzen wir auf den vom BSI und dem Institut für Wirtschaftsprüfer (IDW) entwickelten Prüfungsstandard IDW PH 9.860.2 „Prüfung bei Betreibern kritischer Infrastrukturen“. Durch unseren Ansatz können wir dem Betreiber einer kritischen Infrastruktur nicht nur die Sicherheit geben, alle rechtlichen Anforderungen zu erfüllen. Er erhält auch die Bestätigung, dass sein ISMS über ein angemessenes Schutzniveau gegen Cyberangriffe verfügt. Natürlich bieten unsere Spezialist*innen das vollständige Spektrum von Prüfungs- und Beratungsleistungen im Kontext von IT- und Informationssicherheit an.
Sabine Bömmer
