NIS Programm

Beschreibung des Ziels

Durch seinen unverzichtbaren Beitrag zur gesamtstaatlichen Umsetzung des NISG und der damit einhergehenden Erhöhung des Sicherheitsniveaus von Netz- und Informationssystemen festigt das BMI seine Position als das Cyber Sicherheits-Ministerium Österreichs.
Die Strategie „Freiheit und Sicherheit 2019“ sieht die „Implementierung des Programms zur Umsetzung des Netz- und Informationssystemsicherheitsgesetzes (NISG) im BMI“ als eines der Leuchtturmprojekte der strategischen Stoßrichtung digitale Sicherheit vor.

Kennzahlen und Meilensteine des Ziels

Datenquelle: Aufzeichnungen des BM.I

Datenquelle: Aufzeichnungen des BM.I

Datenquelle: Aufzeichnungen des BMI, Umfrage

Datenquelle: Aufzeichnungen BM.I

Datenquelle: Aufzeichnungen BM.I

Meilenstein 1: Team Prävention und Behandlung von Sicherheitsvorfällen

Ausgangszustand 2020:

Im BMI ist kein dezidiert für die Prävention und Behandlung von Sicherheitsvorfällen eingerichtetes Team vorhanden.

Zielzustand 2024:

Ein personell voll ausgestattetes CSIRT im BMI ist eingerichtet und hat den Betrieb aufgenommen.

Istzustand 2024:

Die Planstellen sind zum Teil besetzt. Maßnahmen für Personalrecruiting (interne/externe Ausschreibungen) werden laufend durchgeführt.

Datenquelle:
Aufzeichnungen BM.I

Zielerreichungsgrad des Meilensteins:

teilweise erreicht

Meilenstein 2: Koordinierungsstrukturen für Sicherheitsvorfälle

Ausgangszustand 2020:

Um angemessen auf Sicherheitsvorfälle im Bereich der Netz- und Informationssystemsicherheit zu reagieren, bestehen derzeit keine gesetzlich festgelegten Organisations- und Koordinierungsstrukturen.

Zielzustand 2024:

Neue Koordinierungsstrukturen schaffen einen geeigneten Rahmen um angemessen auf Sicherheitsvorfälle zu reagieren. Dabei werden Meldungen über Sicherheitsvorfälle und aktuelle Bedrohungslagen gesamtstaatlich analysiert und regelmäßig Lagebilder erstellt. Die NIS Behörden SPOC und MESA sind eingerichtet. Gleichzeitig sind eine professionelle Struktur und geeignete Tools für ein Meldeanalysesystem geschaffen.

Istzustand 2024:

Eine Geschäftsordnung wurde verfügt; standardisierte Handlungsanweisungen (SOP) wurden erstellt und werden laufend evaluiert; im Meldeanalysesystem ist die Operationalisierung eines Unterstützungstools ausständig;

Datenquelle:
Aufzeichnungen BM.I

Zielerreichungsgrad des Meilensteins:

überwiegend erreicht

Meilenstein 3: Sicherheitsarchitektur der Netz- und Informationssysteme

Ausgangszustand 2020:

Die Sicherheitsarchitektur der Netz- und Informationssysteme ist ggf. an den Schutzbedarf der vom BMI betriebenen wichtigen Dienste anzupassen.

Zielzustand 2024:

Die Sicherheitsarchitektur entspricht dem Stand der Technik und dem Schutzbedarf der betriebenen wichtigen Dienste.

Istzustand 2024:

Umgesetzt wurden die Leitungsverschlüsselung im Backbone Netzwerk, der Aufbau einer gesicherten Umgebung für Netzwerk Management Systeme sowie die Etablierung einer Zugangssicherung (Port Security Maßnahmen) im Netzwerk des Bundesministerium für Inneres. Die Voraussetzungen für weitere Maßnahmen im Bereich der Netzwerksegmentierung wurden geschaffen. Weiterführende Umsetzungsmaßnahmen wie zB. die Netzwerksegmentierung und bundesweiter Rollout der Port Security werden im Rahmen der Linienverantwortung und geltenden Prozessstrukturen abgewickelt werden.

Datenquelle:
Aufzeichnungen BM.I

Zielerreichungsgrad des Meilensteins:

überwiegend erreicht

Meilenstein 4: BMI-CSIRT

Ausgangszustand 2020:

Die bestehenden personellen Strukturen und Ressourcen zur Gewährleistung eines hohen Niveaus an Netzwerksicherheit, wie es die Aufgabenstellungen des BMI als Sicherheitsbehörde und zentrale Registerbehörde erforderlich machen, sind unzureichend.

Zielzustand 2024:

Das BMI-CSIRT ist eingerichtet, die Prozesse für das systematisches Treffen von Sicherheitsvorkehrungen sowie die Behandlung von Sicherheitsvorfällen sind eingerichtet und die notwendigen technischen und personellen Ressourcen stehen zur Verfügung.

Istzustand 2024:

Das BMI-CSIRT hat mit personeller Teilbesetzung den Betrieb aufgenommen. Die technischen Ressourcen wurden gem. Projektauftrag umgesetzt.

Datenquelle:
Aufzeichnungen BM.I

Zielerreichungsgrad des Meilensteins:

überwiegend erreicht

Beschreibung der Ziel-Maßnahme

Um die notwendigen Planstellen und deren budgetäre Bedeckung sowie das benötigte Sachbudget bereitzustellen zu können, ist sowohl die Bereitschaft des BMF, des BKA und des Nationalrates erforderlich. Zusätzlich ist es ebenso notwendig, für diese Planstellen das notwendige qualifizierte Personal zu finden. IKT-Fachpersonal und insbesondere Cyber Sicherheitsexperten sind eine rare Personalressource für die es einen wachsenden Bedarf in der Verwaltung und der Wirtschaft gibt.

Zielerreichungsgrad der Ziel-Maßnahme:

teilweise erreicht

Beschreibung der Ziel-Maßnahme

Zur Entwicklung der Kommunikationsziele sowie der laufenden internen und externen Öffentlichkeitsarbeit wird ein Projekt „Programmkommunikation“ beauftragt.

Zielerreichungsgrad der Ziel-Maßnahme:

teilweise erreicht

Beschreibung der Ziel-Maßnahme

Am Ende der Projektarbeiten sollen die Etablierung der Meldesammelstelle, die vollständige Definition und die technische Implementierung der Meldungen und der Meldewege, sowie die Realisierung des Meldeanalysesystems zur Verfügung stehen.

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Um im Sinne der Umsetzung der NIS – Richtlinie die Kommunikation nach außen (= europäischer Kontext) gewährleisten zu können, muss ein SPOC (Single Point of Contact) im BMI eingerichtet werden. II/.BVT/5.3 übernimmt diese Aufgabe und übermittelt oder empfängt im Anlassfall spezifische Informationen über sichere Kommunikationskanäle an entsprechende Stellen in den Mitgliedstaaten und der Europäischen Union.

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Im Rahmen des NISG werden Betreibern wesentlicher Dienste verpflichtend Audits/Prüfungen vorgeschrieben.
Bedingt durch diese Anforderung werden im Rahmen des Projekts die folgenden Arbeitspakete benötigt. Die Befugnisse und Tätigkeiten der II/.BVT/5-3 NIS im Rahmen der Prüfungen/Audits werden sich auf folgende Aufgaben fokussieren:

– NIS Behörde operativ:
o Überwachung und Prüfung von Sicherheitsvorkehrungen
o Definition von Rahmenbedingungen für qualifizierte Stellen außerhalb der Behörde zur Prüfung und Auditieren der
Sicherheitsvorkehrungen.
o Review der verordneten Sicherheitsmaßnahmen an Hand des Standes der Technik

– Wichtige Aspekte bzgl. der zu erfassenden Audit-/Prüfdaten:
o Vorlage und Nachweis bzgl. Datenspeicherung, -übertragung, -sicherung.
o Auditprozessbeschreibung
o Automatisierung
– Die Implementierung eines standardisierten elektronisch verarbeitbaren Formats zur Einmeldung und Verarbeitung der Audit-/
Prüfergebnisse

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Um Cyber-Bedrohungen in Zukunft, insbesondere als „Competent Authority“ nach der nationalen Umsetzung der NIS-Richtlinie, begegnen zu können bedarf es dem Aufbau von Kapazitäten und Kompetenzen. Ins besonders in den Bereichen der verfallsbezogenen Analyse, wie Forensik oder Malware Analyse, der umfassenden Cyber Threat Intelligence und einer Zusammenarbeit mit nationalen und internationalen Partnern werden solche Kompetenzen aufgebaut.

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Ziel des Sensornetzwerkes:
In einigen europäischen Ländern (Spanien, Schweiz, Finnland, Dänemark, Niederlande, etc.) werden, als Ergänzung der vorhandenen proaktiven Sicherheitsmaßnahmen, Sensornetzwerke zur frühzeitigen Erkennung und Analyse von Cyber-Angriffen eingesetzt.
Auch wenn eine Kompromittierung von sensitiven Netzwerken oft nicht komplett verhindert werden kann, so ist es umso wichtiger, die Zeit zwischen der Durchführung und der Erkennung einer Kompromittierung zu minimieren, um rasch dagegen vorgehen zu können und Schäden möglichst gering zu halten.

Vorteile des Sensornetzwerkes:
Durch entsprechend konfigurierte und vor den Netzwerken von freiwillig teilnehmenden Organisationen platzierte Sensoren können Angriffe, das Vorgehen des jeweiligen Angreifers im Netz des Opfers und seine Kommunikation mit Schadsoftware erkannt werden. Durch den zentralen Betrieb können sowohl klassifizierte Erkennungsmuster breitflächig verwendet werden, die bisher nur im kleinen Kreis zum Einsatz kommen konnten, als auch die konsequente Anwendung der Muster und Rückmeldung der erkannten Anomalien garantiert werden. Durch eine hohe Teilnehmerzahl und eine großflächige Abdeckung wird die Qualität eines präzisen, branchenübergreifenden, gesamtstaatlichen Lagebilds über aktuelle Bedrohungen im Cyberraum erheblich erhöht. Weiters ist es wirtschaftlicher, anstelle vieler kleiner Detektionssysteme ein gemeinsames Sensornetz zu betreiben.

Zielerreichungsgrad der Ziel-Maßnahme:

nicht erreicht

Beschreibung der Ziel-Maßnahme

Mit dem NISG §7 (2018) wird zur Erörterung und Aktualisierung des vom Bundesminister für Inneres erstellten Lagebildes über Risiken, Vorfälle und Sicherheitsvorfälle, zur Erörterung der Erkenntnisse, die gemäß § 13 Abs. 1 und 2 gewonnen wurden, und zur Unterstützung des Koordinationsausschusses im Cyberkrisenmanagement der Innere Kreis für die operative Koordinierung (IKDOK) eingerichtet. Dieser dient auch dem Austausch klassifizierter Informationen zwischen den Teilnehmern zur Wahrnehmung der Aufgaben nach Maßgabe ihrer Zuständigkeiten. Es ist, zum Zweck der Ökonomisierung und Vereinfachung der Zusammenarbeit, beabsichtigt eine Kollaborationsplattform für den IKDOK einzurichten. Dem Schutz der verarbeiteten Informationen bis zur Klassifikationsstufe „Eingeschränkt“ gem. GehSO wird dabei oberste Priorität eingeräumt. In erster Phase soll eine Kollaboration bei Dokumentenmanagement durch II/.BVT/5 bereitgestellt werden, welches in dieser Phase auch als NIS-Meldeanalysesystem gem. NISG genutzt werden soll.

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Das BMI hat als Einrichtung des Bundes geeignete und dem Stand der Technik entsprechende Sicherheitsvorkehrungen zu treffen. Diese können sowohl technischer als auch organisatorischer Art sein und sollen Störfälle im Bereich der Netz- und Informationssysteme vermeiden, die unter Umständen einen Sicherheitsvorfall herbeiführen können.
Zur operativen Sicherstellung eines hohen Niveaus an Netzwerksicherheit im BMI wird ein Computer-Notfallteam (BMI CSIRT) eingerichtet. Das Computer-Notfallteam gilt als erste Anlaufstelle bei möglichen Sicherheitsvorfällen für alle Nutzer von IKT-Anwendungen im BMI.
Zu den weiteren Hauptaufgaben des Computer-Notfallteams zählen die Entgegennahme von Meldungen über Sicherheitsvorfälle oder Störungen und deren Weiterleitung an das CSC (Cyber Security Center).
Die zu schaffende technische Infrastruktur dient einerseits dazu, Cyberangriffe zu vermeiden bzw. deren Auswirkungen so gering wie möglich zu halten, und andererseits um Muster und Vorgehensweisen bei Cyberangriffen analysieren zu können. Dazu ist es notwendig die bestehenden Logging-Einrichtungen auf Vollständigkeit zu überprüfen und für den Betrieb dieser Systeme ausreichende Systemressourcen zur Verfügung zu stellen, sowie die unterschiedlichen Aufzeichnungssysteme mittels eines Security Information und Event Management (SIEM) Systems so zu konsolidieren, dass einen ganzheitlichen Blick auf die IT-Sicherheit möglich ist und eine schnellere Analyse von Sicherheitsvorfällen möglich wird.

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Das BMI hat als Einrichtung des Bundes geeignete und dem Stand der Technik entsprechende Sicherheitsvorkehrungen zu treffen. Diese können sowohl technischer als auch organisatorischer Art sein und sollen Störfälle im Bereich der Netz- und Informationssysteme vermeiden, die unter Umständen einen Sicherheitsvorfall herbeiführen können.
Zur operativen Sicherstellung eines hohen Niveaus an Netzwerksicherheit im BMI werden Maßnahmen im Bereich der Netzwerksegmentierung, des strukturierten Netzwerkzugangs, der Verschlüsselung von überregionalen Leitungswegen des Transportnetzwerks und der Absicherung der zentralen Managementsysteme getroffen.

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht