6.7. Netzsicherheit

6.7.1. Die betreffenden Einrichtungen ergreifen geeignete Maßnahmen, um ihre Netz- und Informationssysteme vor Cyberbedrohungen zu schützen.

6.7.2. Für die Zwecke von Nummer 6.7.1 müssen die betreffenden Einrichtungen

a) die Architektur des Netzes verständlich und aktuell dokumentieren;

b) Kontrollen festlegen und durchführen, um die internen Netzdomänen der betreffenden Einrichtungen vor unbefugtem Zugriff zu schützen;

c) die Kontrollen so konfigurieren, dass Zugriffe und Netzkommunikation verhindert werden, wenn dies für den Betrieb der betreffenden Einrichtungen nicht erforderlich ist;

d) die Kontrollen für den Fernzugriff auf Netz- und Informationssysteme, einschließlich des Zugangs von Diensteanbietern, festlegen und durchführen;

e) keine Systeme verwenden, die für die Verwaltung der Umsetzung der Sicherheitskonzepte für andere Zwecke verwendet werden;

f) nicht benötigte Verbindungen und Dienste ausdrücklich verbieten oder deaktivieren;

g) – soweit angemessen – den Zugang zu ihren Netz- und Informationssystemen ausschließlich mit von den betreffenden Einrichtungen genehmigten Geräten gewähren;

h) Verbindungen von Diensteanbietern nur nach einem Genehmigungsantrag und für einen bestimmten Zeitraum, z. B. für die Dauer von Wartungsarbeiten, zulassen;

i) die Kommunikation zwischen verschiedenen Systemen nur über vertrauenswürdige Kanäle herstellen, die durch logische, kryptografische oder physikalische Trennung von anderen Kommunikationskanälen isoliert sind, und eine sichere Identifizierung ihrer Endpunkte und den Schutz der Kanaldaten vor Änderung oder Offenlegung ermöglichen;

j) einen Durchführungsplan für den sicheren, angemessenen und schrittweisen vollständigen Übergang zur neuesten Generation der Kommunikationsprotokolle für die Netzwerkschicht annehmen und Maßnahmen zur Beschleunigung dieses Übergangs festlegen;

k) einen Durchführungsplan für die Einführung international vereinbarter und interoperabler moderner E-Mail-Kommunikationsnormen annehmen, um die E-Mail-Kommunikation zur Minderung von Schwachstellen im Zusammenhang mit E-Mail-Bedrohungen zu sichern, und Maßnahmen zur Beschleunigung dieser Einführung festlegen;

l) bewährte Verfahren für die Sicherheit des DNS sowie für die Sicherheit und Hygiene des Internet-Routings bei Verkehr, der aus dem Netz stammt und für das Netz bestimmt ist, anwenden.

6.7.3. Die betreffenden Einrichtungen überprüfen diese Maßnahmen in geplanten Zeitabständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken und aktualisieren sie – soweit angemessen.

Redaktionelle Hinweise:

• Das Wort „Kontrollen“ ist teilweise vom englischen „Controls“ abgeleitet, das so viel heist wie Maßnahmen. 
• Versuch der Übersetzung der o.g. Anforderungen:

  a) die Architektur des Netzes verständlich und aktuell dokumentieren;
  -> Erstellung von Netzplänen und -dokumentationen, einfach realisierbar durch entsprechende Inventarisierungstools, die idealerweise auch die Inventarisierung von Maschinen (physischen wie virtuellen) sowie ein Softwareinventar erstellen

  b) Kontrollen festlegen und durchführen, um die internen Netzdomänen der betreffenden Einrichtungen vor unbefugtem Zugriff zu schützen;
  -> strenge Access-Controls für interne Netze, etwa durch Einrichtung einer DMZ und Trennung virtueller Netze, aber auch NAC kann darunter subsumiert werden.

  c) die Kontrollen so konfigurieren, dass Zugriffe und Netzkommunikation verhindert werden, wenn dies für den Betrieb der betreffenden Einrichtungen nicht erforderlich ist;
  -> Es sollen nur die Netzverbindungen zugelassen werden, die auch erforderlich ist. Dies kann durch entsprechende Traffic-Filterung geschehen für Ziel-Domains/-IPs aber auch durch Unterdrückung von Traffic von Geräten, die üblicherweise nicht nach außen kommunizieren müssen.

  d) die Kontrollen für den Fernzugriff auf Netz- und Informationssysteme, einschließlich des Zugangs von Diensteanbietern, festlegen und durchführen;
  -> Mitarbeiter, Kunden, Partner und Dienstleister, die sich über Webservices, VPN oder Fernwartungsprogramme verbinden, sollen dies nach vorgegeben Regeln tun,

  e) keine Systeme verwenden, die für die Verwaltung der Umsetzung der Sicherheitskonzepte für andere Zwecke verwendet werden;

  f) nicht benötigte Verbindungen und Dienste ausdrücklich verbieten oder deaktivieren;
  -> nicht benötigte Verbindungen oder Dienste sollen unterdrückt bzw. ausgefiltert werden.

  g) – soweit angemessen – den Zugang zu ihren Netz- und Informationssystemen ausschließlich mit von den betreffenden Einrichtungen genehmigten Geräten gewähren;
  -> NAC nur mit Zertifikat oder anderweitig vorab registrierten Geräten

  h) Verbindungen von Diensteanbietern nur nach einem Genehmigungsantrag und für einen bestimmten Zeitraum, z. B. für die Dauer von Wartungsarbeiten, zulassen;
  -> Dienstleister sollen Zugriffe, etwa für Fernwartung, nur angekündigt und genehmigt und nur für bestimmten Zeitraum durchführen können

  i) die Kommunikation zwischen verschiedenen Systemen nur über vertrauenswürdige Kanäle herstellen, die durch logische, kryptografische oder physikalische Trennung von anderen Kommunikationskanälen isoliert sind, und eine sichere Identifizierung ihrer Endpunkte und den Schutz der Kanaldaten vor Änderung oder Offenlegung ermöglichen;
  -> z.B. über SSL oder IPsec abgesicherte Verbindungen

  j) einen Durchführungsplan für den sicheren, angemessenen und schrittweisen vollständigen Übergang zur neuesten Generation der Kommunikationsprotokolle für die Netzwerkschicht annehmen und Maßnahmen zur Beschleunigung dieses Übergangs festlegen;
  -> Projektplan für den Übergang bei neuen Protokollen, inkl. der Abschaltung, alter / obsoleter Protokolle

  k) einen Durchführungsplan für die Einführung international vereinbarter und interoperabler moderner E-Mail-Kommunikationsnormen annehmen, um die E-Mail-Kommunikation zur Minderung von Schwachstellen im Zusammenhang mit E-Mail-Bedrohungen zu sichern, und Maßnahmen zur Beschleunigung dieser Einführung festlegen;
  -> s.o.

  l) bewährte Verfahren für die Sicherheit des DNS sowie für die Sicherheit und Hygiene des Internet-Routings bei Verkehr, der aus dem Netz stammt und für das Netz bestimmt ist, anwenden.