IT-Sicherheit

Was ist IT-Sicherheit?

Das BSI-Gesetz definiert „Sicherheit in der Informationstechnik“ als die Einhaltung bestimmter Sicherheitsstandards, die die Verfügbarkeit, Integrität oder Vertraulichkeit von Informationen betreffen, durch Sicherheitsvorkehrungen in informationstechnischen Systemen, Komponenten oder Prozessen oder bei der Anwendung informationstechnischer Systeme, Komponenten oder Prozesse. Informationstechnik ist dabei nach demselben Gesetz ein technisches Mittel zur Verarbeitung von Informationen. Informationen können nach dem BSI-Standard 200-1 auf Papier, in IT-Systemen oder auch in den Köpfen der Benutzer gespeichert sein; die IT-Sicherheit betrifft als Teilmenge der Informationssicherheit die elektronisch gespeicherten und verarbeiteten Informationen.

IT-Sicherheit betrifft bei einem Versicherer beispielsweise Bestandsführungssysteme und Kundenportale: Nach dem BSI-Gesetz geht es um die Einhaltung von Sicherheitsstandards, die die Verfügbarkeit, Integrität oder Vertraulichkeit von Informationen betreffen, durch Sicherheitsvorkehrungen in informationstechnischen Systemen, Komponenten oder Prozessen oder bei der Anwendung informationstechnischer Systeme, Komponenten oder Prozesse. Das Aktionsfeld der klassischen IT-Sicherheit wird nach dem BSI-Standard 200-1 unter dem Begriff „Cyber-Sicherheit“ auf den gesamten Cyber-Raum ausgeweitet, der sämtliche mit dem Internet und vergleichbaren Netzen verbundene Informationstechnik umfasst. Der BSI-Standard 200-1 hält den Begriff der Informationssicherheit gegenüber IT-Sicherheit für umfassender und besser geeignet. Die NIS-2-Richtlinie verweist für Cybersicherheit auf Artikel 2 Nummer 1 der Verordnung (EU) 2019/881.

Wie wird IT-Sicherheit umgesetzt?

Umgesetzt wird IT-Sicherheit durch Sicherheitsvorkehrungen in informationstechnischen Systemen, Komponenten oder Prozessen oder bei der Anwendung dieser Systeme, Komponenten oder Prozesse, wie es das BSI-Gesetz beschreibt. Nach Artikel 21 Absatz 1 der NIS-2-Richtlinie stellen die Mitgliedstaaten sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen. Die Richtlinie nennt als Maßstab ein Sicherheitsniveau, das dem bestehenden Risiko angemessen ist, unter Berücksichtigung des Stands der Technik und gegebenenfalls der einschlägigen europäischen und internationalen Normen sowie der Kosten der Umsetzung.

Der IT-Grundschutz betrachtet nach dem IT-Grundschutz-Kompendium die drei Grundwerte der Informationssicherheit: Vertraulichkeit, Verfügbarkeit und Integrität. Das ISO-27001-Zertifikat auf der Basis von IT-Grundschutz bietet nach dem BSI-Standard 200-2 Unternehmen und Behörden die Möglichkeit, ihre Bemühungen um Informationssicherheit transparent zu machen. Dies kann nach dem BSI-Standard 200-2 sowohl gegenüber Kunden als auch gegenüber Geschäftspartnern als Qualitätsmerkmal dienen.

IT-Sicherheit im Vergleich

Schutzgegenstand der IT-Sicherheit sind elektronisch gespeicherte Informationen und deren Verarbeitung; sie ist eine Teilmenge der Informationssicherheit (BSI-Standard 200-1). Die Informationssicherheit bezieht sich auf Informationen jeglicher Art und Herkunft, auch auf Papier oder in den Köpfen der Benutzer, und ist nach dem BSI-Standard 200-1 umfassender und besser geeignet.

Bei der Cybersicherheit umfasst der Cyber-Raum sämtliche mit dem Internet und vergleichbaren Netzen verbundene Informationstechnik samt darauf basierender Kommunikation, Anwendungen, Prozessen und verarbeiteter Informationen; unter Cyber-Sicherheit wird das Aktionsfeld der klassischen IT-Sicherheit auf den gesamten Cyber-Raum ausgeweitet (BSI-Standard 200-1). NIS-2 verweist für Cybersicherheit auf Artikel 2 Nummer 1 der Verordnung (EU) 2019/881. Datensicherheit betrifft Daten hinsichtlich gegebener Anforderungen an deren Vertraulichkeit, Verfügbarkeit und Integrität; „Informationssicherheit“ ist nach dem IT-Grundschutz-Kompendium ein modernerer Begriff dafür.

Schutz im Ernstfall

Vorbeugen

• Für wesentliche und wichtige Einrichtungen im Sinne der NIS-2-Richtlinie: geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme zu beherrschen, die sie für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen (Artikel 21 Absatz 1 der NIS-2-Richtlinie).
• Das Sicherheitsniveau am bestehenden Risiko ausrichten, unter Berücksichtigung des Stands der Technik, gegebenenfalls der einschlägigen europäischen und internationalen Normen sowie der Kosten der Umsetzung.
• Als Ausgangspunkt die drei Grundwerte Vertraulichkeit, Verfügbarkeit und Integrität betrachten, wie es der IT-Grundschutz tut.