Anwendung der aktualisierten Empfehlung auf Betreiber regulierter Kritischer Infrastrukturen im Aufsichtsbereich des BSI:
1) Die in dem Dokument „Kriterien für die Standortwahl höchstverfügbarer und georedundanter Rechenzentren“ definierten Anforderungen stellen eine Empfehlung des BSI für die in Kapitel 1 des Dokuments beschriebenen Anwendungsfälle dar. Aus aufsichtlicher Sicht des BSI besteht die Erwartungshaltung, dass diese Empfehlung bei regulierten Betreibern Kritischer Infrastrukturen zukünftig Berücksichtigung finden wird, sofern dort entsprechende Anforderungen an höchstverfügbare1 und georedundante Rechenzentren vorliegen, die für Anlagen Kritischer Infrastrukturen relevant sind. Entsprechend der Ausführungen im Dokument bedeutet dies keine Verpflichtung zur unreflektierten, zwangsweisen Einhaltung eines Mindestabstandes. Betreiber regulierter Kritischer Infrastrukturen müssen diese Thematik allerdings im Rahmen des Risikomanagements für die jeweilige Kritische Infrastruktur angemessen behandeln, sofern eine entsprechende Höchstverfügbarkeit und Georedundanz gegeben sein muss.
2) Für die im Kalenderjahr 2019 zu erbringenden Nachweise gemäß § 8a Abs. 3 BSIG muss die aktualisierte Empfehlung noch nicht umgesetzt sein. Dies schließt insbesondere auch die Fälle mit ein, in denen eine Risikoanalyseentsprechenden Handlungsbedarf ergeben würde oder bereits ergeben hat. In diesem Fall genügt es, wenn dies entsprechend vermerkt und bereits in der Umsetzungsplanung berücksichtigt wurde.
3) Bei Nachweisen für Anlagen mit entsprechenden Anforderungen an höchstverfügbare und georedundante Rechenzentren, die im Jahr 2020 erbracht werden, sollte die Thematik im Risikomanagement nachvollziehbardokumentiert und die sich daraus ergebenden, angemessenen Maßnahmen gemäß § 8a Abs. 1 BSIG bereits umgesetzt sein oder sich nachvollziehbar in Umsetzung befinden.
4) Ab dem Kalenderjahr 2021 sollten bei Anlagen mit entsprechenden Anforderungen an höchstverfügbare und georedundante Rechenzentren die Thematik im Risikomanagement nachvollziehbar dokumentiert und die sich daraus ergebenden, angemessenen Maßnahmen gemäß § 8a Abs. 1 BSIG bereits umgesetzt sein. Eine Abweichung muss wohlbegründet und dokumentiert sein.
Link: www.bsi.bund.de