Anla­gen­si­cher­heits-Report 2022

Die Zahl der Cyber­an­grif­fe auf deut­sche Unter­neh­men hat in den letz­ten Jah­ren kon­ti­nu­ier­lich zuge­nom­men. Den­noch gibt es bis­her wei­test­ge­hend kei­ne ver­bind­li­chen gesetz­li­chen Vor­ga­ben für die Cyber­si­cher­heit der meis­ten Anla­gen und Maschi­nen. Dar­auf hat der Tüv-Ver­band bei der Vor­stel­lung des Anla­gen­si­cher­heits-Reports 2022 hin­ge­wie­sen. Der Ver­band for­dert die Auf­nah­me ent­spre­chen­der Vor­ga­ben in die euro­päi­schen und natio­na­len Regelwerke. 
Der Anla­gen­si­cher­heits-Report 2022 wird vom Tüv-Ver­band unter Mit­wir­kung aller deut­schen Zuge­las­se­nen Über­wa­chungs­stel­len erstellt. Die Exper­tin­nen und Exper­ten sehen nicht nur gro­ße Kon­zer­ne von Cyber­an­grif­fen bedroht, son­dern vor allem auch klei­ne und mitt­le­re Unter­neh­men. Dabei geht es nicht nur um Daten­dieb­stahl oder Indus­trie­spio­na­ge, son­dern auch um gefähr­li­che Ein­grif­fe in den Bereich der soge­nann­ten Ope­ra­tio­nal Tech­no­lo­gy, also den eigent­li­chen Betrieb von Anla­gen und Maschi­nen. In einer weit­ge­hend ver­netz­ten Pro­duk­ti­on sind Ope­ra­tio­nal Tech­no­lo­gy sowie Netz­werk- und Com­pu­ter­tech­nik eng mit­ein­an­der ver­bun­den. Aber wäh­rend es für die gän­gi­gen Betriebs­sys­te­me regel­mä­ßi­ge Patches und Updates gibt, sind Maschi­nen und Anla­gen in der Regel über Jahr­zehn­te hin­weg wei­test­ge­hend unver­än­dert im Ein­satz und kön­nen auf­grund feh­len­der Anpas­sun­gen der Cyber­si­cher­heit rela­tiv leicht ange­grif­fen werden.
„Aus die­sem Grund muss bei indus­tri­el­len Anla­gen die Cyber­si­cher­heit von Anfang an mit­ge­dacht wer­den“, sagt Jörg Becker, Exper­te für Indus­tri­el­le Cyber­se­cu­ri­ty bei Tüv Süd. „Wenn es Kri­mi­nel­le bei­spiels­wei­se schaf­fen, bis zur elek­tro­ni­schen Anla­gen­steue­rung vor­zu­drin­gen, kön­nen sie ver­netz­te Maschi­nen oder Pro­duk­ti­ons­stra­ßen über­neh­men, zum Still­stand brin­gen oder bestimm­te Pro­zes­se mani­pu­lie­ren.“ Um das zu ver­hin­dern, ist nach Aus­sa­ge des Exper­ten ein inte­grier­tes Sicher­heits­kon­zept nach dem Stand der Tech­nik erfor­der­lich, das die funk­tio­na­le Sicher­heit (Safe­ty) und die Cyber­se­cu­ri­ty sowie ihre Wech­sel­wir­kun­gen umfas­send berück­sich­tigt. „Die Unter­neh­men soll­ten sich schon bei der Anschaf­fung und Errich­tung neu­er Maschi­nen und Anla­gen inten­siv mit den Sicher­heits­an­for­de­run­gen befas­sen“, so Becker, „und ihre Sicher­heits­kon­zep­te im lau­fen­den Betrieb immer wie­der auf den neu­es­ten Stand brin­gen.“
„Um mit der Ent­wick­lung modu­la­rer und teil­wei­se schon selbst ler­nen­der Anla­gen und Sys­te­me schritt­zu­hal­ten, müs­sen zudem die gesetz­li­chen Vor­ga­ben aktua­li­siert und dyna­misch fort­ge­schrie­ben wer­den“, ergänzt Die­ter Roas, Vor­sit­zen­der des Erfah­rungs­aus­tausch­krei­ses der Zuge­las­se­nen Über­wa­chungs­stel­len beim Tüv-Ver­band. Das gilt sowohl für euro­päi­sche Regel­wer­ke wie die Maschi­nen­ver­ord­nung oder die Auf­zugs­richt­li­nie, als auch für natio­na­le Regel­wer­ke wie das Gesetz über über­wa­chungs­be­dürf­ti­ge Anla­gen. Mit dem neu­en ÜAnlG hat das Bun­des­mi­nis­te­ri­um für Arbeit und Sozia­les nach Aus­sa­ge des Tüv-Exper­ten einen wesent­li­chen Bei­trag dazu geleis­tet, den hohen Sicher­heits­stan­dard in Deutsch­land auf­recht­zu­er­hal­ten und zukunfts­si­cher zu machen. „Das beinhal­tet vor allem auch die unab­hän­gi­ge Dritt­prü­fung durch die Zuge­las­se­nen Über­wa­chungs­stel­len“, betont Roas. „Auf­grund der wach­sen­den tech­ni­schen Kom­ple­xi­tät und der zuneh­men­den Ver­net­zung ist die Prü­fung durch unab­hän­gi­ge Drit­te unbe­dingt erfor­der­lich, um die siche­re Ver­wen­dung von Anla­gen und Maschi­nen nach dem Stand der Tech­nik und den Schutz von Men­schen, Umwelt und Sach­wer­ten zu gewähr­leis­ten.“ Der Anla­gen­si­cher­heits-Report 2022 wur­de in der Zeit­schrift „Tech­ni­sche Über­wa­chung“ des Tüv-Ver­ban­des ver­öf­fent­licht und unter Mit­wir­kung aller deut­schen zuge­las­se­nen Über­wa­chungs­stel­len erstellt.