4 Grundsätze
Nur Verfahren aus Abschnitt 6 sind freigegeben, eigene kryptografische Entwicklungen sind untersagt, und verschlüsselte Daten werden nur so gesichert, dass sie ohne die verschlüsselnde Person wiederhergestellt werden können.
Vorlage aus dem NIS2-Paket
Richtlinie Kryptografie und Verschlüsselung: Vorlage für § 30 Abs. 2 Nr. 8 BSIG
Wo verschlüsselt wird, mit welchen Verfahren und wie Schlüssel und Zertifikate verwaltet werden: Diese Richtlinie regelt den Einsatz kryptografischer Verfahren in Ihrem Unternehmen. Sie ist im NIS2-Paket enthalten.
- NIS-RL-16 Word, 11 Seiten
- Voll bearbeitbar, ohne Kopierschutz
Das Dokument
Was Richtlinie Kryptografie regelt
Die Vorlage NIS-RL-16 ist eine Richtlinie in Word. Abschnitt 5 legt in einer Tabelle zwölf Einsatzfälle fest, von Notebooks, Servern und Smartphones über mobile Datenträger, E-Mail, Fernzugänge und WLAN bis zu Datensicherungen, Cloud-Diensten, Datenaustausch und Signaturen. Für jeden Fall stehen Pflicht, Verfahren und Mindestanforderung sowie die Verantwortlichen. Die Spalte "Umgesetzt mit" füllen Sie mit dem Produkt oder der Einstellung, die Sie tatsächlich einsetzen.
Abschnitt 6 ist die verbindliche Liste der zulässigen und der nicht mehr zulässigen Verfahren, etwa AES mit mindestens 256 Bit, RSA mit mindestens 3072 Bit, TLS 1.3 und TLS 1.2 nur mit vorwärtsgerichteter Geheimhaltung, SSH nur mit Schlüsselpaaren. Die Liste orientiert sich an den veröffentlichten Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik und wird nach der Richtlinie mindestens jährlich gegen deren aktuelle Fassung geprüft.
Abschnitt 7 regelt den Lebenszyklus von Schlüsseln und Zertifikaten: Erzeugung, Aufbewahrung, Hinterlegung für den Notfall, Wechsel, Sperrung und Laufzeitüberwachung. Anhang A ist das Verzeichnis der Schlüssel und Zertifikate mit sechs Beispielzeilen, vom Wiederherstellungsschlüssel der Festplattenverschlüsselung bis zum SSH-Schlüssel für die Administration. Es beschreibt, wo Schlüssel liegen, enthält sie aber nicht.
Vorschau
So sieht die Vorlage aus
Verkleinerte Darstellung aus der Datei im Paket. Eckige Klammern markieren die Stellen, die Sie anpassen.
NIS-RL-16: Deckblatt mit Dokumentenlenkung
NIS-RL-16: Inhalt und Änderungshistorie
Gliederung
Inhalt der Datei
Die Gliederung stammt aus der ausgelieferten Datei. Jedes Word-Dokument hat zusätzlich Deckblatt mit Dokumentenlenkung, Inhaltsverzeichnis und Änderungshistorie.
WordNIS-RL-16 Richtlinie Kryptografie und Verschlüsselung
- 1 Zweck
- 2 Geltungsbereich
- 3 Rollen und Verantwortung
- 4 Grundsätze
- 5 Einsatzfälle
- 6 Zulässige Verfahren und Mindestanforderungen
- 7 Schlüssel und Zertifikate
- 8 Veraltete Verfahren und Übergangsfristen
- 9 Ausnahmen
- 10 Mitgeltende Dokumente
- Anhang A: Verzeichnis der Schlüssel und Zertifikate
5 Einsatzfälle
Zwölf Einsatzfälle mit Pflicht, Verfahren und Mindestanforderung, eingesetztem Produkt und Verantwortlichen.
6 Zulässige Verfahren und Mindestanforderungen
Tabelle je Zweck mit zulässigen und nicht mehr zulässigen Verfahren. Dazu eine regelmäßige Prüfung mit einem Prüfwerkzeug, ob Dienste nur zulässige Protokollversionen und Cipher Suites anbieten.
7 Schlüssel und Zertifikate
Erzeugung, Hinterlegung an einem zweiten, vom Netzwerk und Standort unabhängigen Ort, Wechsel nach Laufzeit oder bei Verdacht, Sperrung und Laufzeitüberwachung mit Erinnerungen vor Ablauf.
8 Veraltete Verfahren und Übergangsfristen
Wird ein Verfahren unzulässig, werden betroffene Systeme im Inventar erfasst und innerhalb einer Frist umgestellt. Altsysteme laufen nur mit genehmigter Ausnahme und Netztrennung weiter.
9 Ausnahmen
Ausnahmen werden in Textform genehmigt, befristet, im Verzeichnis vermerkt und als Risiko in das Risikoregister aufgenommen.
Auszug
Wörtlich aus der Vorlage
Was dort nicht steht, ist nicht freigegeben.
Daten, die ohne Hinterlegung verschlüsselt sind, gelten im Notfall als verloren.
Verschlüsselung ersetzt keine Zugriffskontrolle: Berechtigungen nach der NIS-RL-18 Richtlinie Zugriffskontrolle gelten unverändert für verschlüsselte Daten.
Was Sie anpassen
| Platzhalter | Was Sie festlegen | Dokument |
|---|---|---|
[Produkt oder Betriebssystemfunktion, zentrale Verwaltung] | Womit Sie die Festplattenverschlüsselung der Notebooks und Arbeitsplatz-PCs umsetzen. | NIS-RL-16 |
[600.000] | Die Mindestzahl der Durchläufe, wenn Passwörter mit PBKDF2 gespeichert werden. | NIS-RL-16 |
[Passwortmanager mit Notfallzugriff oder Hardware-Sicherheitsmodul] | Wo private Schlüssel, Wiederherstellungsschlüssel und Passphrasen verwahrt werden. | NIS-RL-16 |
[13] | Die Höchstlaufzeit öffentlich vertrauter Zertifikate in Monaten. | NIS-RL-16 |
[Werkzeug] | Mit welchem Werkzeug ablaufende Zertifikate überwacht werden (Abschnitt 7.4) und, in Abschnitt 5, mit welchem Werkzeug signiert wird. | NIS-RL-16 |
[zwei] | Der Wechselrhythmus für Schlüssel der Datensicherung und SSH-Schlüssel von Personen in Jahren. | NIS-RL-16 |
[24] | Die Höchstlaufzeit interner Zertifikate in Monaten. | NIS-RL-16 |
[24 Stunden] | Die Frist, in der ein Schlüssel nach Verdacht auf Kompromittierung gewechselt wird. | NIS-RL-16 |
Einsatz
Wofür Sie eine Kryptografie-Richtlinie brauchen
§ 30 Abs. 2 BSIG verlangt Konzepte und Prozesse für den Einsatz kryptografischer Verfahren. Im NIS2-Paket ist das Bereich 8, und die Richtlinie Kryptografie und Verschlüsselung ist das Dokument für diesen Bereich. Im internen Auditplan nach NIS-VF-13 wird sie als eigener Bereich geprüft.
Fragt ein Kunde im Lieferantenfragebogen oder ein Versicherer nach Festplattenverschlüsselung, verschlüsselter Übertragung oder verschlüsselten Datensicherungen, zeigt die Tabelle der Einsatzfälle, welche Anforderung bei Ihnen gilt und womit sie umgesetzt ist. Für Dienstleister gelten die Anforderungen der Richtlinie als Vertragspunkt nach der Richtlinie Lieferanten und Dienstleister.
Die Richtlinie schützt auch vor Ausfällen, die aus der Verschlüsselung selbst entstehen. Wiederherstellungsschlüssel werden hinterlegt, und mindestens eine Wiederherstellung im Wiederherstellungstest wird mit dem hinterlegten Schlüssel durchgeführt. Ablaufende Zertifikate meldet eine Überwachung vorab, und ein abgelaufenes Zertifikat auf einem Produktivsystem wird als Störung nach dem Notfallkonzept behandelt.
Im NIS2-Paket enthalten
1.490 €netto, zzgl. USt. Einmalig, 25 Dokumente in Word und Excel
Häufige Fragen
Fragen zur Vorlage
Sind die Verfahren in der Liste aktuell?
Die Liste orientiert sich an den veröffentlichten Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik zu Schlüssellängen und Verfahren. Empfehlungen ändern sich, deshalb sieht die Richtlinie vor, dass die oder der ISB die Tabelle mindestens jährlich und bei bekannt gewordenen Schwächen eines Verfahrens kurzfristig prüft. Prüfen Sie die Werte vor der Freigabe gegen die aktuelle Fassung.
Muss ich alle Einsatzfälle übernehmen?
Nein. Streichen Sie, was bei Ihnen nicht vorkommt, etwa ein eigenes WLAN oder eigene Server, und tragen Sie in der Spalte "Umgesetzt mit" ein, was Sie tatsächlich einsetzen. Für Server in einem abgeschlossenen Serverraum und für Datensicherungen am Standort lässt die Vorlage die Entscheidung offen.
Ist das Schlüsselverzeichnis eine eigene Datei?
Das Verzeichnis steht als Tabelle in Anhang A der Richtlinie. Es kann auch als eigenes Blatt im Inventar der IT-Systeme (NIS-RG-19, ebenfalls im Paket) geführt werden. Es enthält keine Schlüssel oder Passphrasen, sondern nur ihre Beschreibung und ihren Aufbewahrungsort.
Kann ich die Richtlinie ohne das NIS2-Paket erhalten?
Nein. Die Richtlinie Kryptografie und Verschlüsselung ist im NIS2-Paket mit 25 Dokumenten enthalten, das 1.490 € netto kostet. Im Lieferantenaudit-Paket ist sie nicht enthalten.
Wie umfangreich ist die Vorlage?
11 Seiten in Word, mit Dokumentenlenkung, Änderungshistorie, den Tabellen für Einsatzfälle und zulässige Verfahren und dem Verzeichnis der Schlüssel und Zertifikate in Anhang A.
Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung. Sie müssen an Ihr Unternehmen angepasst werden. Eine Zusage, dass ein Audit oder eine Prüfung bestanden wird, geben wir nicht.
Weiterlesen
Passende Seiten
Frist im Nacken?
Auslieferung als Download nach Zahlungseingang. Eckige Klammern markieren die Stellen, die Sie anpassen.