Störfallrecht in der Praxis

1 28./29.10.2021 in Köln

1.1 28.10.2021 um 12.00 Uhr: Update Informations-Sicherheit

• Randbedingungen u. a. durch die Störfallverordnung
• Aktuelle Herausforderungen zu KAS-51
• Ausblicke und Entwicklungen Cyber-Security
• Checklisten und Nutzwertanalysen

1.1.1 Randbedingungen u. a. durch die Störfallverordnung

[[File:20211026 Sprachgebrauch mR.png|700px|link=]]<br />

• Sprachgebrauch

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

• Prozess-Steuerung

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

• Angriffspunkte

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

• Die richtigen Daten

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

• Verteidiger Dilemma

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

• Störfall-Verordnung

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

1.1.2 Aktuelle Herausforderungen zu KAS-51

• Entwicklung Maßnahmen

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

• Ergänzende Bemerkungen

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

• Schadsoftware verstehen

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

1.1.3 Ausblicke und Entwicklungen Cyber-Security

• BSI-Standards

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

• Allianz Risk Barometer

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

• BSI Lagebericht

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

• Wirtschaftsschutz

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

• BSI Newsletter

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

1.1.4 Checklisten und Nutzwertanalysen

Checkliste zur ersten Orientierung

Nr	Maßnahmen	Durchführung
	Information Security Dilemma	Der Verteidiger muss alle Zugänge schützen. Dem Angreifer ‚‘‘‘genügt 1 Zugang‘‘‘.
	Problem: Vernetzung	0: ursprünglich reines lokales Netzwerk mit wenigen offsite Komponenten. 1: Unternehmen mit Kunden, Lieferanten, Partnern (und ggf. untereinander) verbunden.
1	Außenkommunikation	Sind Sie in der Außenkommunikation zurückhaltend, was Details Ihrer Schutzmaßnahmen betrifft.
2	Awareness	Führen Sie regelmäßig Awareness-Trainings durch, unterstützt durch "interne" Spear Fishing Angriffe. Werden Sie alle Security- und Privacy-Spezialisten. Führen Sie interne Tests durch.
3	Backups	Prüfen und validieren Sie die Backup-Prozesse. Backups werden regelmäßig erstellt und an Alternativ-Standorten gelagert. Regelmäßig werden die Restore-Prozesse getestet.
4	Begriffsdefinition	Erstellen/Updaten Sie Ihr Firmen-Glossar mit Quellen-Bezug und -Zeitstempel und stellen Sie es zentral zur Verfügung.
5	Beschaffungsplanung	Bei Neu- und Ersatzbeschaffungen muss immer der Information Security Impact (ISI) bewertet und berücksichtigt werden.
6	Erfahrungs-Austausch	Tauschen Sie "im Verband" Erfahrungen aus.
7	Härten (engl. Hardening)	"Härten“ bedeutet die Entfernung aller Softwarebestandteile und Funktionen, die zur Erfüllung der vorgesehenen Aufgabe durch das Programm nicht zwingend notwendig sind. Oftmals gelingt einem Angreifer der Einbruch in einen Server durch den Missbrauch eines Programms, das auf diesem Server gar nicht installiert sein müsste. Nichtbenutzte Ports sind zu schließen. Ggf. werden sogar einzelne, nicht benötigte „Befehle“ (die zugehörigen Betriebssystemroutinen) entfernt.
8	Inhouse Consulting	Involvieren Sie Ihre Mitarbeiter durch Anreizsystem, ggf. serous game, Wettbewerb, Preise vergeben. Animieren Sie Ihre Mitarbeiter, Firmen-Schwachstellen zu benennen.
9	Kommunikation	Kommunizieren Sie mit Geschäftspartnern verschlüsselt.
10	Maßnahmen	Durchführung
1	Maßnahmen	Durchführung
2	Maßnahmen	Durchführung
3	Maßnahmen	Durchführung
4	Maßnahmen	Durchführung
5	Maßnahmen	Durchführung
6	Maßnahmen	Durchführung
7	Maßnahmen	Durchführung
8	Maßnahmen	Durchführung
9	Maßnahmen	Durchführung
10	Maßnahmen	Durchführung
1	Maßnahmen	Durchführung
2	Maßnahmen	Durchführung
3	Maßnahmen	Durchführung
4	Maßnahmen	Durchführung
5	Maßnahmen	Durchführung
6	Maßnahmen	Durchführung
7	Maßnahmen	Durchführung
8	Maßnahmen	Durchführung
9	Maßnahmen	Durchführung
10	Maßnahmen	Durchführung

-> Inhaltsverzeichnis (dieses Störfallrecht Ressourcen-Wikis)

• Nutzwertanalyse

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

• 2-Faktor Authentifizierung

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

• Zero Trust

-> Inhaltsverzeichnis (dieses Ressourcen-Wikis)

1.2 Ressourcen zum Vortrag

Internet-Links und -Downloads, welche im Vortrag angesprochen werden:

Nr	Referenz-Link	Stichwort aus Präsentation	Inhalt
1	Download	Der Werbeblock …	PDF, 10 Seiten: BSI beschreibt unter "EMPFEHLUNG: IT IM UNTERNEHMEN": "Sicherer Einsatz von Jitsi Meet" "Die bestmöglichen Rahmenbedingungen für umfassende IT-Sicherheit können erzielt werden, wenn das Videokonferenzsystem auf eigenen Systemen betrieben oder individuell bereitgestellt wird und so die volle Kontrolle und Hoheit über die Daten erhalten bleibt."
2	Link	Der Werbeblock …	Sucht und zeigt die aktuellen AKIS-Veranstaltungen im VDI-Veranstaltungsverzeichnis.
3	Link	Bitte glauben Sie nicht mir …	Buddha:"Glaube nur das, was Du selbst als wahr erkannt hast."
4	Download	Störfall-Verordnung	Zwölfte Verordnung zur Durchführung des Bundes-Immissionsschutzgesetzes (Störfall-Verordnung - 12. BImSchV): Begriffsbestimmungen, Verbindung zu KAS-51 und KAS-55
5	Download	Entwicklung „Maßnahmen gegen Eingriffe Unbefugter“	KAS-51 vom 14.11.2019: Leitfaden "Maßnahmen gegen Eingriffe Unbefugter"
6	Link	Ergänzende Bemerkungen	"Cyberangriffe auf Störfallanlagen"; Beitrag von Prof. Dr. Hans-Jürgen Müggenborg im "Handbuch Industrie 4.0: Recht, Technik, Gesellschaft"
7	Download	Separation	The 61508 Association: A document to aid the demonstration of Independence between Control & Safety
8	Link	BSI-Standard 200-1	Managementsysteme für Informationssicherheit (ISMS) Der im Rahmen der IT-Grundschutz-Modernisierung aktualisierte BSI-Standard 200-1 definiert allgemeine Anforderungen an ein Managementsystem für Informationssicherheit (ISMS). Er ist weiterhin kompatibel zum ISO-Standard 27001 und berücksichtigt die Empfehlungen der anderen ISO-Standards wie beispielsweise ISO 27002. Die leicht verständliche und systematische Anleitung zum Aufbau eines ISMS ist dabei unabhängig von der eingesetzten Methode. Die Struktur des Standards 200-1 ist so konzipiert, dass sie zur IT-Grundschutz-Vorgehensweise kompatibel ist.
9	Link	BSI-Standard 200-2	IT-Grundschutz-Methodik Der neue Standard bildet die Basis der bewährten BSI-Methodik zum Aufbau eines soliden Informationssicherheitsmanagements (ISMS). Er etabliert drei neue Vorgehensweisen bei der Umsetzung des IT-Grundschutzes: Die Basis-Absicherung liefert einen Einstieg zur Initiierung eines ISMS. Mit der Standard-Absicherung kann ein kompletter Sicherheitsprozess implementiert werden. Diese Absicherung entspricht weiterhin dem BSI-Standard 100-2 und ist kompatibel zur ISO 27001-Zertifizierung. Die Kern-Absicherung ist eine Vorgehensweise zum Einsteig in ein ISMS, bei der zunächst ein kleiner Teil eines größeren Informationsverbundes betrachtet wird.
10	Link	BSI-Standard 200-3	Risikomanagement Im BSI-Standard 200-3 sind erstmals alle risikobezogenen Arbeitsschritte bei der Umsetzung des IT-Grundschutzes gebündelt dargestellt. Der Vorteil für die Anwender ist ein deutlich reduzierter Aufwand, um ein angestrebtes Sicherheitsniveau zu erreichen. Der Standard bietet sich an, wenn Unternehmen oder Behörden bereits erfolgreich mit der IT-Grundschutz-Methodik arbeiten und möglichst direkt eine Risikoanalyse an die IT-Grundschutz-Analyse anschließen möchten. Die Risikoanalyse aus dem bisherigen BSI-Standard 100-3 wurde in ein vereinfachtes Gefährdungsmodell überführt.
11	Link	BSI-Standard 200-4	Business Continuity Management (Community Draft) Im IT-Grundschutz ist das Thema Business Continuity Management (BCM) bereits seit Jahren fest verankert und bietet mit dem bisherigen BSI-Standard 100-4 zum Notfallmanagement eine fundierte Hilfestellung. Die fortlaufenden Entwicklungen und Erfahrungen in den Bereichen BCM, Notfallmanagement und (IT-)Krisenmanagement sowie mit den angrenzenden BSI-Standards zur Informationssicherheit haben jedoch den Bedarf aufgezeigt, den BSI Standard 100-4 grundsätzlich zu modernisieren.
12	Link	10th Allianz Risk Barometer	Zehnte Umfrage der Allianz Global Corporate & Specialty: Betriebsunterbrechung, Pandemie-Ausbruch und Cyber-Vorfälle sind die drei wichtigsten Geschäftsrisiken für 2021 – sowohl in Deutschland als auch weltweit.
13	Download	BSI: Die Lage der IT-Sicherheit in Deutschland 2021	Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beobachtet die Gefährdungslage der IT-Sicherheit in Deutschland kontinuierlich. Der vorliegende Bericht bezieht sich auf den Zeitraum vom 1. Juni 2020 bis 31. Mai 2021 (Berichtszeitraum). Die IT-Sicherheitslage in Deutschland insgesamt war im aktuellen Berichtszeitraum angespannt bis kritisch. Dies war zum einen auf die Ausweitung der bekannten cyberkriminellen Lösegelderpressungen hin zu ergänzenden Schweigegelderpressungen (sogenannte Double Extortion) und Schutzgelderpressungen zurückzuführen. Zum anderen traten im aktuellen Berichtszeitraum jedoch auch Vorfälle auf, die eine Wirkung über die jeweils betroffenen Opfer hinaus entfalteten.
14	Link	Bitkom Studie "Wirtschaftsschutz 2021" vorgestellt	Durch Diebstahl, Spionage und Sabotage entsteht der deutschen Wirtschaft jährlich ein Gesamtschaden von 223 Milliarden Euro. Dies ist das Ergebnis der von Bitkom-Präsident Achim Berg und dem Vizepräsidenten des Bundesamtes für Verfassungsschutz, Sinan Selen, am 5.08.2021 vorgestellten Studie "Wirtschaftsschutz 2021".
15	Link	BSI-Standard 200-4: Hilfsmittel	Der modernisierte BSI-Standard 200-4 bietet verschiedene Hilfsmittel und Dokumentvorlagen an, die die Anwenderinnen und Anwender darin unterstützen sollen, die beschriebenen Prozesse und Methoden im BCM effektiv umzusetzen. Die Hilfsmittel richten sich primär an Anwenderinnen und Anwender, die ein BCMS nach BSI-Standard 200-4 aufbauen oder aufgebaut haben, können jedoch teilweise losgelöst vom BSI-Standard 200-4 eingesetzt werden. Die nachfolgenden Listen geben eine Übersicht über die bisher fertig gestellten Hilfsmittel.
16	Link	BSI-Newsletter bestellen	Holen Sie sich die Top-News in Ihr Postfach! Der Standardlösung-Newsletter versorgt Sie mit den aktuellsten Informationen.
17	Link	BSI: 10 Tipps zur Cyber-Sicherheit für Unternehmen	Auch in kleinen und mittelgroßen Unternehmen schreitet die Digitalisierung rasant voran und eröffnet gerade diesen ganz neue Chancen. Doch unzureichend geschützte Systeme bieten Cyber-Kriminellen viele Möglichkeiten, sensible Daten auszuspähen und Geräte oder Prozesse zu sabotieren. Hinzu kommt, dass ein Unternehmen alle seine potenziellen Schwachpunkte absichern muss – denn einem Angreifer genügt es, eine einzige ausfindig zu machen. Daher ist ein umfassendes Sicherheitskonzept so wichtig.
99

1.3 Weitere Ressourcen

Internet-Links und -Downloads, welche ebenfalls interessant sein könnten:

Nr	Referenz-Link	Stichwort	Organisation	Inhalt
1	Download	Der Sicherheitsbericht nach Störfall-Verordnung	KAS/BMU	Diese Handlungshilfe befasst sich mit dem Sicherheitsbericht nach § 9 der Störfall-Ver-ordnung (Störfall-VO) [1] und resultiert aus den im Landesamt für Natur, Umwelt und Verbraucherschutz Nordrhein-Westfalen (LANUV NRW) [2] seit 1986 gesammelten Erfahrungen mit der Störfall-VO besonders bei der Begutachtung und Prüfung von Sicherheitsanalysen und Sicherheitsberichten. Sie enthält Informationen zum Anwendungsbereich des § 9 der Störfall-VO in der Fassung vom 13.01.2017, zuletzt geändert am 15.03.2017. Außerdem werden Anforderungen an die Inhalte von Sicherheitsberichten formuliert, und es wird auf bei der Prüfung und Begutachtung von Sicherheitsberichten festgestellte Mängel hingewiesen. In Kapitel 4 befinden sich außerdem Verknüpfungen zu themenbezogener Literatur.
2	Download	Inhalte eines Sicherheitsberichts	KAS/BMU	Beispiel eines Sicherheitsberichts-Verzeichnis der Firma RSE
3	Download	Externe Notfallpläne	IdF NRW	Darstellung einer Handlungsempfehlung auf Basis der gesetzlichen Grundlagen.
4	Download	Musterkonzept für die Notfallplanung	LANUV NRW	Die Notfallplanung bzw. Alarm- und Gefahrenabwehrplanung ist ein wesentliches Vorsorgeinstrument zur Begrenzung von Störfallauswirkungen und gehört zu den erweiterten Pflichten im Sinne von Artikel 12 der Seveso-III-Richtlinie.
5	Download	Darstellung des Sicherheitsmanagementsystems im Sicherheitsbericht	LANUV NRW	Ziel dieses Arbeitsblattes ist es, sowohl Form als auch Inhalt einer möglichen Darstellung des Sicherheitsmanagementsystems (SMS) im Sicherheitsbericht (SB) zu beschreiben, die zum einen ein plausibles Nachvollziehen des im Betriebsbereich vorhandenen SMS ermöglicht und zum anderen eine angemessene Grundlage für eine Überprüfung darstellt.
6	Link	Partner beim Schutz Kritischer Infrastrukturen	BBK/BMI	Der Schutz Kritischer Infrastrukturen ist aufgrund der Komplexität und Breite des Themas eine vernetzte Aufgabe, die durch unterschiedliche Stellen auf verschiedenen Ebenen wahrgenommen wird.
7	Link	UP Kritis	BBK/BMI	Öffentlich-Private Partnerschaft zum Schutz Kritischer Infrastrukturen in Deutschland
8	Link	Video: ZDFinfo Doku Blackout Deutschland ohne Strom	ZDF	Blackout - Deutschland ohne Strom [Doku Deutsch 2015] Droht uns die totale Vernetzung und sind wir gegen Cyber-Attacken gewappnet?
9	Link	VdS 10000 Informationssicherheitsmanagementsystem für kleine und mittlere Unternehmen (KMU), Anforderungen	VdS	Die vorliegenden Richtlinien legen Mindestanforderungen an die Informationssicherheit fest und beschreiben ein auf kleine und mittlere Unternehmen (KMU) zugeschnittenes Informationssicherheitsmanagementsystem (ISMS).
10	Download	VDI/VDE 2180 (Inhaltsverzeichnis) Funktionale Sicherheit in der Prozessindustrie - Einführung, Begriffe, Konzeption	VDI/VDE	Diese Richtlinie basiert auf DIN EN 61511 (VDE 0810) und gilt für Anlagen der Prozessindustrie, z.B. der chemischen und petrochemischen Industrie. Sie stellt eine bewährte Möglichkeit dar, die Anforderungen der 12. BImSchV (Störfallverordnung) an PLT-Einrichtungen mit Sicherheitsfunktion umzusetzen. Anlagen der Prozessindustrie sind vorzugsweise mit Nicht-PLT-Einrichtungen abzusichern. PLT-Sicherheitseinrichtungen kommen dann zum Einsatz, wenn andere Maßnahmen nicht anwendbar, nicht ausreichend oder bei vergleichbarer Risikoreduzierung nicht wirtschaftlich sind.
11	Download	Umsetzungsplan KRITIS	BSI/BMI	Gegenüber 2007 hat sich insbesondere die IT-Bedrohungslage massiv verschärft. Die Bundesregierung hat darauf reagiert, indem sie die Strategien und Konzepte zum Schutz der Kritischen Infrastrukturen weiterentwickelt und an die aktuellen Gegebenheiten angepasst hat.
12	Download	Schutz Kritischer Infrastrukturen – Risiko- und Krisenmanagement Leitfaden für Unternehmen und Behörden	BMI	Der Leitfaden stellt ein Managementkonzept für solche Einrichtungen vor, die von staatlicher Seite als Kritische Infrastrukturen bezeichnet werden. Das Konzept unterstützt die Betreiber Kritischer Infrastrukturen bei der strukturierten Ermittlung von Risiken, der darauf basierenden Umsetzung vorbeugender Maßnahmen sowie dem effektiven und effizienten Umgang mit Krisen. Kritische Infrastrukturen werden als „Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden“ verstanden.
13	Download	IT-Sicherheit für Kritische Infrastrukturen – State of the Art	BMBF	Ergebnisse des Förderschwerpunkts IT-Sicherheit für Kritische Infrastrukturen IST, KRITIS des BMBF
14	Download	Monitor 2.0 IT-Sicherheit Kritischer Infrastrukturen	BMBF	"Bemerkenswert ist, dass die am häufigsten genannte Ursache für den Erfolg von Cyberangriffen das Fehlverhalten von Mitarbeitern ist."
15	Download	Klärung und Erweiterung des KRITIS-Vokabulars	BBK/BMI	Abgrenzung der Begriffe „kritisch“ und „systemrelevant“ im KRITIS-Kontext und Abgrenzung der Begriffe „Kritische Infrastruktur“ und „Kritische Infrastruktur im Sinne von BSIG/ BSI-KritisV“.
16	Download	Whitepaper Anforderungen an sichere Steuerungs- und Telekommunikationssysteme	BDEW	Das vorliegende Dokument definiert grundsätzliche Sicherheitsanforderungen für Steuerungsund Telekommunikationssysteme für die Prozesssteuerung in der Energieversorgung und gibt Ausführungshinweise zu deren Umsetzung. Hierzu werden von Fachexperten zusammengestellte, aktuelle und branchenspezifische Empfehlungen zur Sicherstellung der Informationssicherheit aufgeführt. Das Whitepaper definiert Anforderungen an Einzelkomponenten und für aus diesen Komponenten zusammengesetzte Systeme und Anwendungen. Ergänzend werden auch Sicherheitsanforderungen an Wartungsprozesse, Projektorganisation und Entwicklungsprozesse behandelt.
17	Download	Anforderungen an netzwerk-fähige Industriekomponenten	BSI/BMI	Speicher-programmierbare Steuerungen (SPS) und ähnliche industriell genutzte, netzwerkfähige Komponenten verfügen zunehmend über Dienste, die auch bei Serversystemen zu finden sind. Zusätzlich zu diesen Standarddiensten gibt es bei solchen Geräten eine Reihe von Prinzipien zu beachten, um als Hersteller ein sicheres Produkt anbieten zu können. Dieses Dokument gibt Herstellern einen Überblick über die zentralen Best Practices für solche Komponenten. In Ergänzung hierzu stellt das BSI einen Leitfaden für Hersteller von Industriekomponenten zur Verfügung, der bei dem Aufbau von Produkttests und Sicherheitsanalysen unterstützen soll.
99

-> Inhaltsverzeichnis (dieses Störfallrecht Ressourcen-Wikis)