KRITIS-Betreiber oder deren Verbände können in "Branchenspezifischen Sicherheitsstandards" (B3S) konkretisieren, wie die Anforderungen zum Stand der Technik erfüllt werden können. B3S können dem BSI zur Feststellung der Eignung vorgelegt werden. Eine gesetzliche Pflicht zur Erarbeitung eines B3S besteht nicht. Die Erstellung eines B3S ist für die Branchen jedoch eine Chance, ausgehend von der eigenen Expertise selber Vorgaben zum "Stand der Technik" zu formulieren. Darüber hinaus besteht für Betreiber, die sich nach einem solchen anerkannten B3S prüfen lassen, Rechtssicherheit bzgl. des "Stand der Technik", der bei einem Audit verlangt und überprüft wird.

Zur Übersicht der B3S

Abgrenzung B3S und IT-Sicherheitskatalog BNetzA

Hinweis: § 8a BSIG findet in einigen dedizierten Bereichen der Kritischen Infrastrukturen keine Anwendung, weil hier spezialgesetzliche Regelungen gelten. Dies gilt insbesondere für die Bereiche der öffentlichen Telekommunikation, Energienetze sowie die nach der BSI-KritisV bestimmten Energieanlagen. Für die genannten Bereiche hat die Bundesnetzagentur (BNetzA) Kataloge mit Sicherheitsanforderungen erstellt.

• Katalog von Sicherheitsanforderungen nach § 109 Absatz 6 Satz 1 TKGz für das Betreiben von Telekommunikations- und Datenverarbeitungssystemen sowie für die Verarbeitung personenbezogener Daten als Grundlage für das Sicherheitskonzept nach § 109 Absatz 4 TKG und für die zu treffenden technischen Vorkehrungen und sonstigen Maßnahmen nach § 109 Absatz 1 und 2 TKG.
• IT-Sicherheitskatalog für Netze gemäß § 11 Absatz 1a EnWG, der dem Schutz gegen Bedrohungen der für einen sicheren Netzbetrieb notwendigen Telekommunikations- und elektronischen Datenverarbeitungssysteme dient.
• IT-Sicherheitskatalog für Energieanlagen gemäß § 11 Absatz 1b EnWG, der dem Schutz gegen Bedrohungen der für einen sicheren Anlagenbetrieb notwendigen Telekommunikations- und elektronischen Datenverarbeitungssysteme dient.

Weitere Informationen zum IT-Sicherheitskatalog der BNetzA sind im Internet zu finden unter: www.bundesnetzagentur.de/it-sicherheitskatalog-energie.