IT-Sicherheitsgesetz & Normes BSI

Vue d'ensemble

de l'Allemagne Loi sur la sécurité informatique (IT-Sicherheitsgesetz 2.0), adoptée en 2021, et la normes BSI établissent des exigences complètes en matière de cybersécurité pour les opérateurs d'infrastructures critiques (KRITIS). Le BSI (Bundesamt für Sicherheit in der Informationstechnik) sert d'autorité fédérale allemande en cybersécurité, émettant des directives techniques contraignantes et supervisant la conformité KRITIS.

Les directives techniques BSI clés directement pertinentes pour la PKI incluent TR-03145 pour les opérations d'AC et TR-03116 pour les algorithmes cryptographiques approuvés. Les opérateurs KRITIS dans l'énergie, l'eau, l'alimentation, les TIC/télécom, la santé, la finance et le transport doivent mettre en œuvre des mesures de sécurité de pointe, y compris des contrôles basés sur la PKI pour l'authentification, l'intégrité et la confidentialité.

Depuis mai 2023, tous les opérateurs KRITIS doivent également déployer des systèmes de détection d'attaques obligatoires. L'Allemagne transpose actuellement la directive européenne NIS2 via le NIS2UmsuCG, ce qui élargira davantage le champ des entités régulées et renforcera les obligations de sécurité.

Clé Exigences

Obligations de sécurité KRITIS (§8a BSIG)

Les opérateurs d'infrastructures critiques doivent mettre en œuvre des mesures organisationnelles et techniques appropriées afin d'assurer la disponibilité, l'intégrité, l'authenticité et la confidentialité de leurs systèmes informatiques.

BSI TR-03145 (Opérations CA)

La ligne directrice technique BSI TR-03145 définit les exigences pour les opérations sécurisées d'autorité de certification (CA) en Allemagne, couvrant la génération de clés, l'émission de certificats, les procédures de révocation et la journalisation d'audit.

BSI TR-03116 (Algorithmes cryptographiques)

La ligne directrice technique BSI TR-03116 spécifie les algorithmes cryptographiques approuvés, les longueurs de clé et les protocoles à utiliser dans les systèmes informatiques fédéraux allemands et les infrastructures critiques.

Systèmes de détection d'attaque (SzA)

Les opérateurs KRITIS doivent déployer des systèmes de détection d'attaque (Systeme zur Angriffserkennung) capables de surveiller en continu le trafic réseau et d'identifier les menaces en temps réel.

Signalement d'incident au BSI

Les opérateurs KRITIS doivent signaler les incidents de sécurité informatique importants au BSI sans délai indu, en incluant des informations techniques détaillées et des évaluations d'impact pour une réponse coordonnée.

Normes de sécurité sectorielles (B3S)

Les associations professionnelles peuvent développer des normes de sécurité sectorielles (branchenspezifische Sicherheitsstandards) approuvées par le BSI comme référence pour démontrer la conformité au §8a BSIG.

Clé Jalons

2015

IT-SiG 1.0 promulgué

La première loi sur la sécurité informatique de l'Allemagne établit des obligations de cybersécurité pour les opérateurs d'infrastructures critiques et renforce le rôle réglementaire du BSI's.

2017

Les obligations KRITIS entrent en vigueur

Les opérateurs d'infrastructures critiques doivent mettre en œuvre des mesures de sécurité de pointe et signaler les incidents importants au BSI.

2021

IT-SiG 2.0 promulgué

La mise à jour majeure élargit le champ d'application pour inclure la gestion des déchets et l'industrie des armements, introduit des systèmes de détection d'attaques obligatoires et renforce les pouvoirs d'application du BSI.

2023

Détection d'attaque obligatoire

Tous les opérateurs KRITIS doivent avoir mis en place des systèmes de détection d'attaques (SzA) d'ici le 1er mai 2023, comme l'exige IT-SiG 2.0.

2025 Actuel

Transposition NIS2 via NIS2UmsuCG

L'Allemagne transpose la directive NIS2 via la loi de mise en œuvre NIS2, élargissant davantage les obligations pour les entités critiques et importantes.

Impact sur PKI & Certificates

Les normes BSI et la loi sur la sécurité informatique ont des implications directes et étendues pour les opérations PKI et la gestion des certificats en Allemagne. Voici les domaines critiques :

BSI TR-03145 pour les opérations d'Autorité de Certification

BSI TR-03145 régit directement les opérations d'Autorité de Certification en Allemagne, définissant les exigences pour la génération de clés, le cycle de vie des certificats, la gestion de la révocation et la journalisation des audits.

Algorithmes cryptographiques obligatoires selon le TR-03116

BSI TR-03116 spécifie les algorithmes cryptographiques approuvés et les longueurs de clé qui affectent directement les normes de certificats, nécessitant des mises à jour régulières des configurations PKI à mesure que les recommandations évoluent.

Authentification de détection d'attaque

L'authentification basée sur les certificats est essentielle pour les systèmes de détection d'attaque KRITIS, garantissant l'intégrité et l'authenticité des données de surveillance de sécurité à travers les réseaux d'infrastructures critiques.

Obligations de gestion des clés KRITIS

Les opérateurs d'infrastructures critiques doivent mettre en œuvre des pratiques de gestion des clés robustes, incluant le stockage sécurisé des clés, les politiques de rotation, et la gestion du cycle de vie des certificats conformément aux directives BSI.

Evertrust & IT-SiG / BSI

CA aligné BSI TR-03145 avec Stream — Stream s’aligne sur les exigences opérationnelles du CA BSI TR-03145, offrant une génération de clés conforme, une émission de certificats et une gestion de révocation avec des pistes d’audit complètes.

Application d’algorithmes approuvés BSI avec Horizon — Horizon applique les algorithmes approuvés BSI TR-03116 et les normes de certificats, signalant automatiquement les certificats non conformes dans votre infrastructure.

Conformité KRITIS automatisée — La gestion automatisée des certificats garantit que les opérateurs KRITIS maintiennent une conformité continue aux obligations de sécurité, réduisant la charge manuelle et les temps de réponse.

Intégration de la détection d'attaques — Intégration transparente avec des systèmes de détection d'attaques certifiés BSI, offrant une authentification basée sur les certificats pour l'infrastructure de surveillance de sécurité.

PKI

CLM

Cas d’utilisation

Secteurs

Conformité

Apprendre

Outils & analyses

Événements & Communauté