VeSiKi – Vernetzte IT-Sicherheit Kritischer Infrastrukturen

Betreibern kritischer Infrastrukturen ist das Bedrohungspotenzial durch Cyberangriffe oft nicht ausreichend bewusst.

Gerade kleine und mittelständische Betreiber, wie Krankenhäuser, Stadt- oder Wasserwerke, können nicht das nötige IT-Sicherheitsniveau erreichen, um solche Angriffe abzuwehren.

Es hat allerdings enorme Auswirkungen auf die Gesellschaft, wenn beispielsweise die medizinische, die Strom- oder Wasserversorgung durch einen IT-Vorfall ausfällt.

VeSiKi sollte mit Hilfe der Ergebnisse aus den Verbundprojekten ein zentrales Regelwerk schaffen, das die Betreiber unterstützt, ihre Sicherheitsvorkehrungen einzuschätzen und effektiv zu verbessern.

Ziel war außerdem, sektorenübergreifende Lösungen zu entwickeln und die Anwendbarkeit von IT-Sicherheit für Kritische Infrastrukturen zu verbessern.

Gemeinsam sollten die Partner ein Referenzmodell zur Vernetzten IT-Sicherheit Kritischer Infrastrukturen entwickeln.

Durch die DKE wurde sichergestellt, dass die Ergebnisse aus den Verbundprojekten in der Normung verstetigt werden. Bestehender Normungsbedarf wurde in die entsprechenden Gremien weitergeleitet.

Die DKE kooperierte dabei über die DKE-Kontaktstelle Informationssicherheit (KSi) mit der Koordinierungsstelle IT-Sicherheit (KITS) in DIN. Ziel war es, die für die deutschen interessierten Kreise relevanten, branchenübergreifenden und branchenspezifischen Standardisierungsaktivitäten auf nationaler, europäischer und internationaler Ebene im Bereich der IT-Sicherheitstechnik zu koordinieren, unter dem Hauptaspekt der Erschließung von Harmonisierungspotenzialen.

Daher etablierte die DKE die Fachgruppe „Normung und Standardisierung“ mit Vertretern aus den einzelnen Verbundprojekten.

Diese Fachgruppe begleitete die Verbundprojekte kontinuierlich zum Thema Normung und Standardisierung, mit dem Ziel, eine gemeinsame Sicht auf die Normung von "IT-Sicherheit für Kritische Infrastrukturen" zu erreichen.

Im Detail wurden in dieser Fachgruppe

• Empfehlungen für neue Normen und Standards erarbeitet,
• Bestehende Normen und Standards in einer IT-Security Normenlandschaft erfasst, anwendbar gemacht und bewertet,
• Vorhandene Lücken in der Normung geschlossen

Betreiber sollen sich in Zukunft sicher sein, die Mindestanforderungen an IT-Sicherheit für ihre Anlagen zu erfüllen.

• Universität der Bundeswehr München (UniBw, Konsortialführer)

Die UniBw ist Verbundkoordinator der Begleitforschung und wird eine Fallstudienreihe zur IT-Sicherheit Kritischer Infrastrukturen durchführen. Außerdem werden Planspiele stattfinden, bei denen die Teilnehmer einen simulierten Cyberangriff auf eine Kritische Infrastruktur durchspielen.

• Friedrich-Alexander-Universität Erlangen-Nürnberg (FAU)

Die FAU stellt eine Open-Innovation-Plattform bereit, über die die Verbundprojekte sich vernetzen und austauschen können.

Die Verbundprojekte können ihre Kompetenzen über Yellow-Pages auf dieser Plattform darstellen. Hierzu werden auch speziell Betreiber Kritischer Infrastrukturen Zugang bekommen.

• Universität Bremen (UBre)

Die Universität Bremen erarbeitet einen Überblick über die Gesetzeslage für IT-Sicherheit Kritischer Infrastrukturen. Auf dieser Basis bietet sie den Verbundprojekten Beratung für die rechtskonforme Gestaltung ihrer Ergebnisse an.

Zudem werden Empfehlungen für die künftige Gesetzgebung zu diesem Thema entwickelt.

Bisher sind folgende Verbundvorhaben gestartet:

• AQUA-IT-Lab Lösungsansätze für kleine und mittlere Betreiber von Kritischen Infrastrukturen
• Cyber-Safe Schutz vor Cyberangriffen für Verkehrsleitzentralen
• INDI Aufdecken von Cyberangriffen durch Anomalieerkennung
• ITS.APT Erweiterung klassischer „Penetration Testing“-Methoden um den Faktor Mensch
• MoSaIK Werkzeuge für die Analyse der IT-Sicherheit für kleine und mittelständische Betreiber
• PortSec IT-Risikomanagement in der Hafentelematik
• PREVENT Entwicklung von Werkzeugen für eine systematische Sicherheitsbewertung von Rechenzentren
• RiskViz Entwicklung einer Suchmaschine zum Auffinden industrieller Kontrollsysteme (ICS) und zur Bewertung der Risiken
• SECMaaS IT-Sicherheit für öffentliche Verwaltungen
• SICIA Verfahren zur Ermittlung des IST-Zustandes der IT-Sicherheit von Anlagen
• SIDATE Konzepte und Werkzeuge für eine schnelle Einschätzung und Verbesserung des vorhandenen Sicherheitsniveaus besonders für kleine und mittlere Betreiberfirmen
• SURF Grundlegende Schutzsysteme für Kritische Infrastrukturen