Jusletter IT

Der Cyberangriff auf das ukrainische Stromnetz 2015 hat gezeigt, wie verwundbar kritische Infrastrukturen durch ihre Abhängigkeit von Netz- und Informationssystemen sind. Insgesamt waren 225.000 Kunden in der Westukraine von dem mehrere Stunden dauernden Blackout betroffen.¹ 2016 hat die Europäische Union die Netz- und Informationssystemsicherheitsrichtlinie (NIS-RL) 2016/1148² verabschiedet, um ein hohes gemeinsames Sicherheitsniveau von Netz- und Informationssystemen in der Union und das Funktionieren des wirtschaftlichen und gesellschaftlichen Lebens sowie des Binnenmarkts sicherzustellen³. In Österreich wurde die NIS-RL durch das Netz- und Informationssystemsicherheitsgesetz (NISG) sowie Änderungen im Telekommunikationsgesetz 2003 umgesetzt, welche mit Ablauf des 28. Dezember 2018 in Kraft getreten sind.⁴ Anbieter digitaler Dienste (AdD), Betreiber wesentlicher Dienste (BwD) und Einrichtungen der öffentlichen Verwaltung (EdöV)⁵ müssen NIS-Sicherheitsvorkehrungen am Stand der Technik umsetzen.⁶

NIS-Verpflichtete, welche kritische Netz- und Informationssysteme betreiben, müssen den unbestimmten Begriff des Stands der Technik zunächst grundsätzlich selbst bestimmen⁷. Diese wissen vielfach nicht welche konkreten Maßnahmen sie treffen müssen, um den rechtlichen Erfordernissen zu entsprechen. Die unter Unternehmen wahrgenommene Rechtsunsicherheit ist hoch. Im Gegenzug werden aber auch Unklarheiten über die Auslegung von Technikklauseln wie der Stand der Technik-Klausel, über Zusammenhänge zwischen den einzelnen relevanten Rechtsakten einer Materie und ein übertriebenes Begehren nach absoluter Rechtssicherheit als Kostentreiber von technischen Projekten in der Literatur identifiziert.⁸

Hinzukommt, dass Netz- und Informationssysteme in betroffenen NIS-Sektoren häufig auf technischen Lösungen und Komponenten im Bereich des Internets der Dinge (Internet of Things [IoT]) sowie der Automatisierungs- und Prozessleittechnik (Operations Technology [OT]) basieren. Die Europäische Agentur für Netz- und Informationssicherheit (ENISA) definiert das IoT als ein «cyberphysisches Ökosystem aus verbundenen Sensoren und Aktuatoren, welche intelligente Entscheidungsfindung ermöglichen»⁹. Beispielsweise werden in den Sektoren Energie sowie Trinkwasserlieferung und -versorgung industrielle Steuerungssysteme (Industrial Control Systems [ICS]) für Öl-, Gas-, Elektrizitäts- und Wasser-Anlagen verwendet. Intelligente Stromnetze (Smart Grids) nützen intelligente Messgeräte (Smart Meters), welche Kommunikationsnetzwerk-basiert die Ausbalancierung von Energiebereitstellung und Energieverbrauch ermöglichen.¹⁰ Im NIS-Teilsektor Straßenverkehr werden intelligente Verkehrssysteme zur Erhöhung der Verkehrssicherheit und Herstellung einer Kommunikationsverbindung zwischen Fahrzeug und Verkehrsinfrastruktur eingesetzt.¹¹

Von AdD und BwD bereits heute häufig genützte Normenreihen der Informationssicherheit, wie beispielsweise die ISO/IEC 27000-Reihe und die IT-Grundschutz Standards des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI)¹², sehen für bestimmte Sektoren und Arten von Netz- und Informationssystemen besondere ergänzende Leitlinien und Empfehlungen vor. Ergänzende Normen existieren zum Beispiel für IoT und ICS-Umgebungen¹³, das Gesundheitswesen¹⁴, die OT-Sicherheit im Energiesektor¹⁵ und die Sicherheit von Cloud-Diensten¹⁶. Sie modifizieren, ergänzen und ersetzen teilweise die für Systeme der Informationstechnologie (IT) in der jeweiligen Grundnorm empfohlenen Sicherheitsmaßnahmen.

Dieser Beitrag ordnet bestehende Standards, Normen und Leitlinien sowie im Zuge des NIS-Rechts neu geschaffene Auslegungs-Mechanismen für den Stand der Technik von Sicherheitsmaßnahmen in den Kontext von Sektoren, der OT und des Internet of Things ein.

Die «Kalkar I – Entscheidung» des deutschen Bundesverfassungsgerichts 1978¹⁷ war wegweisend für die heute vorherrschende dreistufige Definition von Technikklauseln:

• Anerkannte Regeln der Technik
• Stand der Technik
• Stand von Wissenschaft und Technik

Auf niedrigster Stufe stehen die anerkannten Regeln der Technik, welche sich in der österreichischen Rechtsordnung als Legaldefinition beispielsweise in § 4 Z. 27 NÖ BO¹⁸ finden. Anerkannte Regeln der Technik entsprechen einer unter technischen Praktikern und Experten allgemein anerkannten Mehrheitsauffassung an Grundsätzen¹⁹, welche sich in der Praxis bewährt haben²⁰. Neben den materiellen Anforderungen an eine technische Lösung stellen die anerkannten Regeln der Technik vor allem auf prozessuale Aspekte der ordnungsgemäßen Aus- und Durchführung einer technischen Kunst ab, wie zum Beispiel der «Baukunst»²¹.

Eine Stufe höher steht der Begriff des Stands der Technik, bei dem es nicht auf eine allgemeine Anerkennung ankommt, welche sich bei neuen technisches Verfahren typischerweise nur langsam etabliert.²² Die Funktionstüchtigkeit des fortschrittlichen technischen Verfahrens muss erprobt und erwiesen sein.²³ Eine bloße Durchsetzung des Verfahrens in der Praxis ist ausreichend, welche nicht notwendigerweise bereits auf einer allgemeinen Anerkennung durch technische Experten basiert.²⁴ Im Europarecht existiert zusätzlich der Begriff der «besten verfügbaren Technik» (BVT) bzw. «best available technology» (BAT), welche der österreichische Gesetzgeber regelmäßig mit dem «Stand der Technik» per Legaldefinition, zum Beispiel in § 71a Abs. 1 GewO²⁵ und § 2 Abs. 8 Z. 1 AWG²⁶, gleichsetzt.²⁷

Die höchste Anforderung stellt der Stand von Wissenschaft und Technik, der nicht mehr auf das realisierbare und umsetzbare begrenzt ist. Er beschreibt fortschrittlichste technische Verfahren auf Basis der neuesten Erkenntnisse, welche wissenschaftlich fundiert sind.²⁸ Für Rechtsanwender ist der aktuelle Stand von Wissenschaft und Technik am schwierigsten zu ermitteln, da er sich am dynamischsten ändert sowie der aktuelle Stand der Forschung und noch laufende wissenschaftliche Kontroversen mit zu berücksichtigen sind.²⁹

Der «Stand der Technik» ist demnach ein unbestimmter Rechtsbegriff, der jedoch auf unterschiedliche Weise nachfolgend mit Bedeutung gefüllt werden kann. Er ist kein Satz fix festgelegter Anforderungen zu einem Zeitpunkt, sondern eine Bandbreite möglicher technischer Umsetzungsvarianten zwischen den anerkannten Regeln der Technik als Untergrenze und dem Stand der Wissenschaft und Technik als Obergrenze.³⁰

Aufgrund der dynamischen Entwicklung der Technologie im Bereich der Netz- und Informationssystemsicherheit hat der Unionsgesetzgeber in Art. 16 Abs 1. NIS-RL³¹ auf eine Legaldefinition und Verweise verzichtet. Lediglich der Begriff der «Sicherheit der Systeme und Anlagen»³² wurde mittels Durchführungsverordnung insoweit konkretisiert, als er das systematische Management von Netz- und Informationssystemen, die physische Sicherheit und die Sicherheit der Umgebung, die Versorgungssicherheit und die Kontrolle des Zugangs zu Netz- und Informationssystemen umfasst.³³

In Erwägungsgrund 66 der NIS-RL wird erwogen, dass die Entstehung von Normen für Sicherheitsanforderungen «ein vom Markt ausgehender Vorgang»ist und die «Mitgliedstaaten die Anwendung oder Einhaltung konkreter Normen fördern» sollten.³⁴ Der Unionsgesetzgeber hat einen Primat der Definition des Stands der Technik im Wege der Normung vorgegeben. Systematisch ist trotzdem darauf hinzuweisen, dass bei sich widersprechenden rechtlichen und im Wege der Normung entwickelten Sicherheitsanforderungen, das Recht maßgeblich ist.³⁵ Selbst wenn es zu einer geplanten konkreten Sicherheitsmaßnahme keine Anhaltspunkte im Recht oder in einschlägigen technischen Normen gibt, müssen Rechtsanwender bedenken, dass trotzdem ein Stand der Technik faktisch existiert. Dieser ist dann durch den Rechtsanwender selbst zu ermitteln, beispielsweise unter Zuhilfenahme empirischer Mittel wie Marktanalysen und Studien.

Kann die Einhaltung von einschlägigen Normen der Informationssicherheit nachgewiesen werden, ist dies eine starke Argumentationsgrundlage für eine normkonforme Lösung gegenüber anderen gleichwertigen, aber von der Norm abweichenden Lösungen. Nachweise können prozessual als Prima-facie Beweis dienen³⁶ und für sie besteht die widerlegbare Vermutung, dass der jeweilige Stand der Technik erfüllt wurde³⁷.

Zunächst bieten die Erwägungsgründe der NIS-Richtlinie Anhaltspunkte für die Auslegung von Sicherheitsmaßnahmen am Stand der Technik. In den Erwägungsgründen 49 und 57 wird darauf hingewiesen, dass AdD ein geringeres Risiko als BwD trifft und deshalb von diesen geringere Sicherheitsanforderungen gefordert werden sollten. Diese Wertung könnte so interpretiert werden, dass sich AdD im Kontinuum von möglichen Maßnahmen am Stand der Technik an weniger strengen Maßnahmen, die knapp über den anerkannten Regeln der Technik liegen, orientieren können. Für BwD dürfte dieser Maßstab jedoch nicht ausreichend sein.

Für BwD hat die in Art. 11 NIS-RL verankerte NIS-Kooperationsgruppe ein Referenzdokument für Sicherheitsmaßnahmen³⁸ herausgegeben. Die NIS-Kooperationsgruppe besteht aus Vertretern der Mitgliedstaaten, der Europäischen Kommission und der ENISA.³⁹ Das Referenzdokument definiert Grundprinzipien für Sicherheitsmaßnahmen und grenzt vier Domänen von Sicherheitsmaßnahmen ab: Governance und Ökosystem, Schutz, Verteidigung und Resilienz. Innerhalb der vier Domänen werden generische Sicherheitsmaßnahmen genannt (z.B. «Kryptographie» in der Domäne «Schutz»).⁴⁰

In den Erwägungen zur NIS-Richtlinie wurde als Ziel festgeschrieben, dass die ENISA Leitlinien in Bezug auf die Normung von Sicherheitsanforderungen herausgeben solle⁴¹ und die Kommission in Bezug auf Durchführungsrechtsakte zu Sicherheitsanforderungen für AdD den «Stellungnahmen der ENISA weitestgehend Rechnung tragen»⁴² soll. Den Leitlinien der ENISA kommt demnach bei der Auslegung des Stands der Technik von Sicherheitsmaßnahmen hohes Gewicht zu. Die ENISA hat seit dem Inkrafttreten der NIS-Richtlinie 2016 zahlreiche Leitlinien in mehreren Bereichen der kritischen Infrastrukturen und digitalen Dienste herausgegeben, welche für die Auslegung des Stands der Technik von NIS-Maßnahmen in der OT und dem IoT Relevanz haben. Diese behandeln die Sicherheit des IoT im Kontext kritischer Informationsinfrastrukturen⁴³ und in ICS/SCADA Umgebungen⁴⁴, von Cloud-Diensten im Kontext des IoT⁴⁵, von intelligenten Spitälern und Gesundheitsdienstleistungen⁴⁶ sowie Flughäfen (Smart Airports)⁴⁷, von Distributed Ledger Technologien (Blockchains) im Finanzsektor⁴⁸, der Signalübertragung in der Telekommunikation⁴⁹ sowie Empfehlungen für Threat Intelligence Plattformen⁵⁰ und die Cybersicherheits-Kultur von Organisationen⁵¹.

Im österreichischen NIS-Gesetz ist für die von BwD und EdöV zu treffenden Sicherheitsvorkehrungen festgelegt, dass diese «den Stand der Technik zu berücksichtigen und dem Risiko, das mit vernünftigem Aufwand feststellbar ist, angemessen zu sein» haben.⁵² Die von AdD zu treffenden Sicherheitsvorkehrungen hingegen «haben unter Berücksichtigung des Stands der Technik ein Sicherheitsniveau der Netz- und Informationssysteme zu gewährleisten, das dem bestehenden mit vernünftigem Aufwand feststellbaren Risiko angemessen ist»⁵³. In Gegenüberstellung zum ursprünglichen Ministerialentwurf des NISG müssen Sicherheitsvorkehrungen von BwD und EdöV den Stand der Technik nun genauso wie AdD nur mehr «berücksichtigen»⁵⁴ statt ihm zu «entsprechen»⁵⁵. Daraus ist ein abgeschwächter Maßstab erkennbar.

Da für AdD keine Verordnungsermächtigung zur Festlegung geeigneter Sicherheitsvorkehrungen und keine ex ante Nachweispflicht vorgesehen ist⁵⁶, werden die zu treffenden Sicherheitsvorkehrungen ex lege insofern konkretisiert, als diese der Sicherheit der Systeme und Anlagen, der Bewältigung von Sicherheitsvorfällen, dem Betriebskontinuitätsmanagement, der Überwachung, Überprüfung und Erprobung sowie der Einhaltung der internationalen Normen Rechnung zu tragen haben⁵⁷. Für BwD können konkrete Sicherheitsanforderungen, die jedenfalls als geeignet erachtet werden, im Verordnungswege durch den Bundeskanzler im Einvernehmen mit dem Innenminister festgelegt werden. Hierbei sollen auch die Ergebnisse der NIS-Kooperationsgruppe und der ENISA, sowie einschlägige internationale Standards der Netz- und Informationssicherheit berücksichtigt werden.⁵⁸

Das Bundeskanzleramt erarbeitet gemeinsam mit dem österreichischen Government Computer Emergency Response Team (GovCERT) und dem NIS-Büro, welches dem Innenministerium unterstellten Bundesamts für Verfassungsschutz und Terrorismusbekämpfung (BVT) zugeordnet ist, ein NIS Fact Sheet⁵⁹. Das NIS Fact Sheet soll Rechtsanwender bei der Anwendung europäischer oder international anerkannter Normen unterstützen. Es ordnet die relevanten Normkapitel internationaler Informationssicherheitsstandards zu den in Abschnitt 3.2. beschriebenen, durch die NIS-Kooperationsgruppe definierten vier Domänen von Sicherheitsmaßnahmen zu. Erkannt und referenziert werden das österreichische Informationssicherheitshandbuch⁶⁰, der BSI IT-Grundschutz⁶¹, die ISO 27001:2017⁶², ISA/IEC 62443 3-3⁶³, die CIS Critical Security Controls (Version 6 / 7)⁶⁴ und das NIST Cybersecurity Framework⁶⁵.

Tabelle 1: Beispiel Sicherheitsmaßnahme «Administrative Zugangsrechte».⁶⁶

Durch Nachweis der Einhaltung der im NIS Fact Sheet angeführten Teile bzw. Kapitel einer Norm können NIS-Verpflichtete die Erfüllung einer Sicherheitsmaßnahme nachweisen. Tabelle 1 beschreibt dies anhand des Beispiels der Absicherung administrativer Zugangsrechte zu Netz- und Informationssystemen, welchen aufgrund der ihnen zugeordneten erhöhten System-Privilegien ein hohes Gefährdungspotential innewohnt.

Neben der geplanten sektorübergreifenden Verordnung jedenfalls geeigneter Sicherheitsmaßnahmen steht den BwD durch ihre jeweiligen Sektorenverbände die Möglichkeit offen, eigene Branchensicherheitsstandards mit sektorspezifischen Sicherheitsvorkehrungen vorzuschlagen. Über die Eignung der in einem Branchenstandard erarbeiteten Sicherheitsvorkehrungen hat der Innenminister mittels Bescheid zu entscheiden. Spezifische Sicherheitsvorkehrungen können auch für einzelne Teilsektoren⁶⁷ vorgeschlagen werden.⁶⁸ Das Konzept wurde aus der Umsetzung der NIS-Richtlinie in Deutschland übernommen. Zum jetzigen Zeitpunkt wurde vom deutschen BSI die Eignung von branchenspezifischen Sicherheitsstandards (B3S) für die Branchen Wasserversorgung, Abwasserbeseitigung, Lebensmittelhandel, Informationstechnik, und Fernwärme bestätigt; B3S für weitere Sektoren befinden sich in Erstellung bzw. Vorabeignungsprüfung.⁶⁹ In Österreich sind derzeit sektorspezifische Sicherheitsstandards in verschiedenen Branchenverbänden in Ausarbeitung, unter anderem in den Sektoren Energie und Trinkwasserlieferung und -versorgung.

Mit sektorspezifischen Sicherheitsstandards können Spezifika der Absicherung von OT und IoT-Lösungen in einem bestimmten Anwendungsgebiet angemessen in der Auslegung des Stands der Technik berücksichtigt werden. Beispielsweise sind im OT-Bereich zur Steuerung industrieller Anlagen häufig bestehende Altsysteme im Einsatz, welche Verwundbarkeiten besitzen, die mit wirtschaftlich angemessenen Mitteln nicht behoben werden können (z.B. eine Altsoftware erfordert eine veraltete Betriebssystemversion, für welche der Hersteller keine Updates mehr bereitstellt).⁷⁰ Sicherheitsmaßnahmen orientieren sich an der Bereitstellung kompensierender Maßnahmen, welche nicht die Verwundbarkeit selbst schließen, sondern das Risiko deren Ausnützbarkeit auf anderem Wege reduzieren (z.B. netzwerktechnische Isolierung von Systemen, Härtung der umgebenden Infrastruktur, engmaschige Systemüberwachung, etc.). Sektorspezifische Sicherheitsstandards ermöglichen die explizite Berücksichtigung alternativer Sicherungsmaßnahmen, sodass für eine technische Lösung insgesamt dem Stand der Technik entsprechende Sicherheitsvorkehrungen berücksichtigt werden können.

Der Stand der Technik von Netz- und Informationssystem-Sicherheitsmaßnahmen ist ein zunächst unbestimmter und dynamischer Begriff zwischen den anerkannten Regeln der Technik als Untergrenze und dem Stand von Wissenschaft und Technik als Obergrenze. Sowohl auf Unionsebene als auch auf nationaler Ebene werden zahlreiche auf bestehenden sowie anerkannten Normen und Standards der Informationssicherheit basierende Auslegungshilfen erarbeitet, welche die Freiheitsgrade in der Auslegung deutlich eingrenzen. Im Unionsrecht verankertem hohem Gewicht kommen dabei den Leitlinien und Empfehlungen der ENISA zu, welche Sicherheitsfragen in OT und IoT, wie beispielsweise zur Sicherheit in intelligenten Spitälern, Flughäfen und ICS/SCADA Umgebungen, ausführlich beleuchtet hat. Auf nationaler Ebene kommt man dem unionsrechtlichem Auftrag etablierte internationale Informationssicherheitsstandards bei der Auslegung besonders zu berücksichtigen durch die Erstellung eines detaillierten Zuordnungsschlüssels zu einzelnen Normabschnitten anerkannter und gebräuchlicher Normen wie der ISO/IEC 27001⁷¹, dem BSI IT-Grundschutz⁷² und den CIS Critical Security Controls⁷³ nach. Die Definition von sektorspezifischen Sicherheitsstandards bietet insbesondere Raum den Stand der Technik von Sicherheitsvorkehrungen für Netz- und Informationssysteme in (Teil-)Sektoren zu präzisieren, wie beispielsweise für intelligente Verkehrssteuerungssysteme, Smart Meter und Systeme im Kernnetz von Flughäfen.

Bundeskanzleramt, Abt. I/8 – Cyber Security / GovCERT / NIS-Büro BMI/II/BVT/5-NIS, Nationale Umsetzung der NIS-Richtlinie – NIS Fact Sheet 08/2018, Mapping-Tabelle von IKT-Sicherheitsstandards und Cyber Security Best Practices, Version 2.0, 29. Oktober 2018.

Deutsches Bundesamt für Sicherheit in der Informationstechnik, Übersicht über Branchenspezifische Sicherheitsstandards (B3S), https://www.bsi.bund.de/DE/Themen/Industrie_KRITIS/KRITIS/IT-SiG/Was_tun/Stand_der_Technik/B3S_BAKs/B3S_BAKs_node.html (aufgerufen am 21. November 2018).

Electricity Information Sharing and Analysis Center (E-ISAC), SANS Industrial Control Systems, Analysis of the Cyber Attack on the Ukrainian Power Grid – Defense Use Case, https://ics.sans.org/media/E-ISAC_SANS_Ukraine_DUC_5.pdf (aufgerufen am 22. November 2018), 18. März 2016.

Ellmer, Heimo/Schremser, Roman, Der «Stand der Technik» als Kostentreiber?, Sind Stand und Regel der Technik Synonyme?, ZVB 2018, S. 278–285.

European Union Agency for Network and Information Security (ENISA), Towards secure convergence of Cloud and IoT, September 2018.

ENISA, Signalling Security in Telecom SS7/Diameter/5G – EU level assessment of the current situation, März 2018.

ENISA, Exploring the opportunities and limitations of current Threat Intelligence Platforms, Public Version 1.0, Dezember 2017.

ENISA, Baseline Security Recommendations for IoT in the context of Critical Information Infrastructures, November 2017.

ENISA, Cyber Security Culture in organisations, November 2017.

ENISA, Communication network dependencies for ICS/SCADA Systems, Dezember 2016.

ENISA, Distributed Ledger Technology & Cybersecurity – Improving information security in the financial sector, Dezember 2016.

ENISA, Securing Smart Airports, Dezember 2016.

ENISA, Smart Hospitals – Security and Resilience for Smart Health Service and Infrastructures, November 2016.

Herbert, Ronald Jules Jr., The Importance of Operational Technology (OT) Systems to Maintain a Secure Standard of Living in Today’s Modern Society, https://www.fortinet.com/blog/business-and-technology/the-importance-of-operational-technology-ot-systems-for-a-standard-of-living-in-today-s-modern-society.html (aufgerufen am 21. November 2018), Fortinet, 6. Dezember 2017.

NIS Cooperation Group, Reference document on security measures for Operators of Essential Services, CG Publication 01/2018, Februar 2018.

Piska, Christian/Erlacher, Eva, Beste verfügbare Techniken – eine neue Größe im Anlagenrecht? ZTR 2014, S. 67–76.

Rechberger, Walter H., Der Sachverständige und die «allgemein anerkannten Regeln der Technik», bauaktuell 2015, S. 15–17.

Seibel, Mark, Abgrenzung der «anerkannten Regeln der Technik» vom «Stand der Technik», NJW 2013, S. 3000–3004.