KRITIS
KRITIS (Kritische Infrastrukturen) bezieht sich auf Einrichtungen und Systeme, die für das Gemeinwohl und das Funktionieren der Gesellschaft unerlässlich sind. Dazu gehören Sektoren wie Energie, Wasser, Ernährung, Informationstechnik, Telekommunikation, Gesundheit, Transport und Verkehr.
- Gesetzliche Vorgaben: Nach dem IT-Sicherheitsgesetz müssen Betreiber kritischer Infrastrukturen (KRITIS) gemäß § 8a BSI-Gesetz (BSIG) angemessene organisatorische und technische Vorkehrungen treffen, um Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer IT-Systeme zu vermeiden.
- Anforderungen an NAC: Diese organisatorischen und technischen Vorkehrungen umfassen auch den Einsatz von Network Access Control, um sicherzustellen, dass nur autorisierte und sichere Geräte Zugang zum Netzwerk erhalten.
NIS2
Die NIS2-Richtlinie (Network and Information Security) ist eine EU-Richtlinie zur Erhöhung der Cybersicherheit in der EU. Sie zielt darauf ab, ein hohes gemeinsames Sicherheitsniveau von Netz- und Informationssystemen in der gesamten Union zu erreichen.
- Gesetzliche Vorgaben: NIS2 fordert von den Mitgliedstaaten und den relevanten Sektoren, dass sie Maßnahmen ergreifen, um die Sicherheit ihrer Netz- und Informationssysteme zu gewährleisten. Dies beinhaltet die Implementierung von Sicherheitsmaßnahmen, um Risiken für Netz- und Informationssysteme zu bewältigen.
- Anforderungen an NAC: Im Rahmen dieser Sicherheitsmaßnahmen wird auch die Implementierung von NAC empfohlen, um unautorisierten Zugriff und potenzielle Sicherheitsverletzungen zu verhindern.
BSI IT-Grundschutz
Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) bietet eine systematische Vorgehensweise zum Erkennen und Umsetzen von Sicherheitsmaßnahmen in IT-Systemen.
- IT-Grundschutz-Kataloge: Die IT-Grundschutz-Kataloge beinhalten detaillierte Maßnahmen und Anforderungen, um ein hohes Maß an IT-Sicherheit zu erreichen. Diese Kataloge umfassen Module, die sich mit verschiedenen Aspekten der IT-Sicherheit befassen, einschließlich Netzwerkmanagement und Zugangskontrolle.
- Anforderungen an NAC: In den IT-Grundschutz-Katalogen wird explizit der Einsatz von NAC als Sicherheitsmaßnahme empfohlen, um sicherzustellen, dass nur autorisierte und sichere Geräte Zugang zu sensiblen Netzwerken und Daten haben.
Konkrete Stellen in den Richtlinien
- BSI IT-Grundschutz-Kompendium: In den Bereichen INF.1 (Netz- und Kommunikationsmanagement) und OPS.1 (Betrieb) wird die Notwendigkeit von Maßnahmen zur Zugangskontrolle, einschließlich Network Access Control, detailliert beschrieben. Insbesondere das Modul INF.1.2 „Netzwerksicherheit“ legt fest, dass geeignete Zugangskontrollmechanismen implementiert werden müssen.
- BSI-Gesetz (BSIG): § 8a BSIG beschreibt die Anforderungen an Betreiber kritischer Infrastrukturen, technische und organisatorische Maßnahmen zur Sicherung der IT-Systeme zu treffen.
- NIS2-Richtlinie: Artikel 14 und 15 der NIS2-Richtlinie beschreiben die Sicherheitsanforderungen, die auf organisatorischer und technischer Ebene umzusetzen sind, einschließlich Maßnahmen zur Zugangskontrolle.
