Agenda:

• Kritische Anlagen und gesetzliche Anforderungen

  • Bedeutung kritischer Anlagen und kritischer Dienstleistungen

  • Versorgungssicherheit, Bedrohungslage und Resilienz

  • Überblick über die KRITIS-Regulierung und gesetzliche Anforderungen für Betreiber kritischer Anlagen

  • BSIG und KRITIS-Dachgesetz

  • Europäischer Kontext mit NIS-2- und CER-Richtlinie

  • Anforderungen an Informationssicherheit und Prüfwesen

  • Stand der Technik und Systeme zur Angriffserkennung

  • Branchenspezifische Sicherheitsstandards (B3S)

  • Nachweispflichten nach § 39 BSIG

  • Informations- und Meldewesen sowie Anwendungsbereich des BSIG

• Rechtsverordnung und Identifizierung 

  • Betroffenheitsanalyse

  • Grundlagen der KRITIS-Regulierung

  • dentifizierung als Betreiber kritischer Anlagen

  • Durchführung einer Schwellenwertanalyse

  • Herausforderungen bei der Identifizierung

  • Beispielhafte Schwellenwert-Evaluierung

  • Informationsquellen für Betreiber und Prüfer

  • BSI™-Veröffentlichungen und Orientierungshilfen

• Die Prüfungsvorbereitung

  • Rollen und Verantwortlichkeiten innerhalb einer KRITIS-Prüfung

  • Anforderungen an Auditoren und Prüfteams

  • Prüfgrundlagen mit und ohne B3S

  • Annahme und Vorbereitung eines Prüfmandats

  • Einführung in das Phasenmodell

  • Strukturierter Ablauf einer KRITIS-Prüfung

  • Risiken bei einer nicht sachgerechten Anwendung des Phasenmodells

  • Praktische Übungen und Diskussionen

• Die Grundlagenprüfung 

  • Validierung der Prüfgrundlage

  • Validierung des Geltungsbereichs

  • Umfang, Beschreibung und Darstellung des Geltungsbereichs

  • Referenzprozess zur Validierung

  • KRITIS-Risikomanagement

  • Bewertung und Validierung von Risikoanalysen

  • Asset-basierte Risikoanalyse

  • Ableitung des Prüfungsumfangs

  • Erstellung eines Prüfplans

  • Praktische Übungen zur Validierung und Prüfplanung

• Angemessenheits- und Wirksamkeitsprüfung 

  • Vertiefung des Phasenmodells

  • Angemessenheitsprüfung und Wirksamkeitsprüfung

  • Mehrjahresplanung und Mehrjahresprüfkonzept

  • Auswahl und Validierung von Grundgesamtheiten

  • Stichprobenauswahl und Stichprobengröße

  • Herleitung relevanter Themenfelder

  • Abgrenzung von Maßnahmen und Kontrollen

  • Ableitung von Prüfhandlungen aus Gefährdungen

  • Bewertung des Stands der Technik

  • Dokumentation von Prüfhandlungen

  • Mögliche fachliche Schwerpunkte: Sicherheitsorganisation, Asset Management, Aufrechterhaltung des Betriebs, Informationssicherheitsvorfallsmanagement, Angriffserkennung und Protokollierung, Dienstleistermanagement, Schulungen und OT-Sicherheit

• Ergebnisse und Nachweise

  • Grundlagen der Nachweiseinreichung

  • Anforderungen an Nachweisdokumente

  • Bewertung und Dokumentation von Sicherheitsmängeln

  • Erstellung von Mängellisten

  • Anforderungen an Umsetzungspläne

  • Aufbau und Inhalt des Prüfberichts

  • Berücksichtigung vorhandener Attestierungen und Zertifizierungen

  • ISO/IEC 27001 und SOC-Berichte im Rahmen der KRITIS-Prüfung

  • Nachvollziehbarkeit der Prüfergebnisse

  • Nachforderungen des BSI™

  • Praktische Übungen zu Mängellisten und Prüfberichten

Ziele:

Nach Abschluss des Trainings SC590 KRITIS-Auditor nach § 39 Absatz 2 BSIG können Sie:

• die Bedeutung kritischer Anlagen und die wesentlichen gesetzlichen Anforderungen erläutern,

• die KRITIS-Regulierung und deren Bedeutung für Prüfungen einordnen,

• Betroffenheit und Identifizierung kritischer Anlagen nachvollziehen und Schwellenwertanalysen beurteilen,

• Rollen und Verantwortlichkeiten innerhalb einer KRITIS-Prüfung einordnen,

• geeignete Prüfgrundlagen beurteilen und das BSI™-Phasenmodell für KRITIS-Prüfungen anwenden,

• Prüfgrundlagen und Geltungsbereiche validieren,

• das KRITIS-Risikomanagement und Risikoanalysen beurteilen,

• einen strukturierten Prüfplan erstellen,

• Angemessenheit und Wirksamkeit von Sicherheitsmaßnahmen prüfen,

• Grundgesamtheiten und Stichproben sachgerecht auswählen,

• Prüfhandlungen durchführen und nachvollziehbar dokumentieren,

• Prüfungsergebnisse und Sicherheitsmängel bewerten,

• vorhandene Zertifizierungen und Attestierungen hinsichtlich ihrer Verwendbarkeit beurteilen sowie

• Prüfberichte, Mängellisten und Nachweisdokumente sachgerecht erstellen.

Zielgruppe:

• Auditoren und Mitarbeiter prüfender Stellen,

• angehende KRITIS-Auditoren,

• KRITIS-Betreiber und KRITIS-Verantwortliche,

• Informationssicherheits- und ISMS-Verantwortliche,

• KRITIS-Berater,

• Mitglieder von Prüfteams,

• Fachverantwortliche, die an KRITIS-Prüfungen beteiligt sind,

• Fachaufsichten sowie

• KRITIS-Neueinsteiger, die sich umfassend mit KRITIS-Prüfungen und dem Nachweisverfahren nach § 39 BSIG beschäftigen möchten.

Voraussetzungen:

Für die Teilnahme an der Schulung SC590 KRITIS-Auditor nach § 39 Absatz 2 BSIG bestehen nach dem BSI™-Schulungskonzept keine formalen Zulassungsvoraussetzungen.

Grundkenntnisse in folgenden Bereichen sind jedoch von Vorteil:

• Auditierung und Prüfverfahren

• Informationssicherheit

• Regulierung kritischer Anlagen

Für Teilnehmer, die anschließend die Personenzertifizierung zum KRITIS-Auditor durch das BSI™ anstreben, gelten zusätzliche Anforderungen an Ausbildung und Berufserfahrung. Diese sind im gesonderten BSI™-Programm zur Personenzertifizierung geregelt.

Beschreibung:

Betreiber kritischer Anlagen müssen die Umsetzung der gesetzlichen Anforderungen an die Informationssicherheit regelmäßig durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen. Für die sachgerechte Durchführung solcher KRITIS-Prüfungen benötigen Auditoren neben fundierten Kenntnissen der gesetzlichen und regulatorischen Grundlagen insbesondere eine strukturierte Prüfmethodik und ein umfassendes Verständnis der Anforderungen an Prüfgrundlage, Geltungsbereich, Risikomanagement, Prüfhandlungen und Nachweisführung.

Im Training SC590 KRITIS-Auditor nach § 39 Absatz 2 BSIG erwerben Sie die erforderliche Prüfkompetenz, um KRITIS-Prüfungen entsprechend dem Schulungskonzept des Bundesamts für Sicherheit in der Informationstechnik (BSI™) systematisch vorzubereiten, durchzuführen und zu dokumentieren.

Sie befassen sich zunächst mit den gesetzlichen Grundlagen, der KRITIS-Regulierung und der Identifizierung kritischer Anlagen. Anschließend lernen Sie Rollen und Verantwortlichkeiten innerhalb einer KRITIS-Prüfung sowie das vom BSI™ zugrunde gelegte Phasenmodell kennen.

Darauf aufbauend validieren Sie Prüfgrundlagen, Geltungsbereiche und das KRITIS-Risikomanagement und erstellen Prüfpläne. Sie lernen, die Angemessenheit und Wirksamkeit von Sicherheitsmaßnahmen zu beurteilen, Grundgesamtheiten und Stichproben auszuwählen sowie Prüfhandlungen nachvollziehbar durchzuführen und zu dokumentieren.

Abschließend beschäftigen Sie sich mit den Anforderungen an Prüfberichte, Mängellisten, Umsetzungspläne und Nachweisdokumente sowie mit der Nachweiseinreichung beim BSI™. Praxisorientierte Übungen, Gruppenarbeiten und Diskussionen unterstützen die Anwendung der vermittelten Prüfmethodik auf konkrete Prüfungssituationen.

Sonstiges:

BSI™-Personenzertifizierung

Die Schulung SC590: KRITIS-Auditor nach § 39 Absatz 2 BSIG dient als Voraussetzung und Vorbereitung auf die anschließende Personenzertifizierung zum KRITIS-Auditor durch das BSI™. Nach vollständiger Teilnahme erhalten Sie eine Teilnahmebescheinigung, die eine Zulassungsvoraussetzung für die Personenzertifizierung beim BSI™ darstellt.

Darüber hinaus müssen die vom BSI™ geforderten Voraussetzungen hinsichtlich Ausbildung und Berufserfahrung nachgewiesen werden. Nach Prüfung der Zulassungsvoraussetzungen kann die Prüfung zum KRITIS-Auditor beim BSI™ abgelegt werden.

Die Personenzertifizierung ist insbesondere für Auditoren relevant, die im Prüfteam die Funktion der Teamleitung bei Nachweisen von Betreibern kritischer Anlagen nach § 39 Absatz 1 BSIG übernehmen.