Über­wa­chungs­be­dürf­ti­ge Anla­gen brau­chen Cybersecurity

Der Anla­gen­si­cher­heits­re­port wird vom TÜV-Ver­band unter Mit­wir­kung aller deut­schen Zuge­las­se­nen Über­wa­chungs­stel­len (ZÜS) erstellt. Die Expert:innen beob­ach­ten, dass mit der zuneh­men­den Zahl der Cyber­an­grif­fe auf deut­sche Unter­neh­men auch das Bewusst­sein für die damit ver­bun­de­nen Gefah­ren und Risi­ken zuge­nom­men hat. „Wir dis­ku­tie­ren nicht mehr dar­über, ob man Cyber­se­cu­ri­ty braucht“, sagt Jörg Becker, Lei­ter des Kom­pe­tenz­zen­trums Cyber­se­cu­ri­ty des TÜV SÜD Indus­trie Ser­vice. „Wir dis­ku­tie­ren dar­über, was zu tun ist.“ Für sinn­voll hält der Exper­te ein prag­ma­ti­sches Vor­ge­hen in drei Schrit­ten: Im ers­ten Schritt müs­sen Unter­neh­men die Sys­te­me iden­ti­fi­zie­ren, die für Cyber­si­cher­heit rele­vant sind. Im zwei­ten Schritt geht es dar­um, die Fol­gen eines Angriffs auf die­se Sys­te­me zu bewer­ten und im drit­ten Schritt wer­den die kon­kre­ten Maß­nah­men defi­niert, die für einen Schutz der Sys­te­me erfor­der­lich sind.

Die Betrei­ber von über­wa­chungs­be­dürf­ti­gen Anla­gen kön­nen sich bei der Suche nach geeig­ne­ten Schutz­maß­nah­men an der Tech­ni­schen Regel für Betriebs­si­cher­heit (TRBS) 1115–1 ori­en­tie­ren, die im ver­gan­ge­nen Jahr ver­ab­schie­det wur­de. „Im Kern geht es dar­um, dass Anla­gen­be­trei­ber im Rah­men ihrer Gefähr­dungs­be­ur­tei­lung auch Cyber­be­dro­hun­gen berück­sich­ti­gen und ent­spre­chen­de Gegen­maß­nah­men fest­le­gen müs­sen, wenn Arbeit­neh­mer oder Per­so­nen im Gefah­ren­be­reich durch einen Cyber­an­griff gefähr­det wer­den kön­nen“, erklärt Becker.

„Rele­vant sind hier vor allem die sicher­heits­re­le­van­ten Mess‑, Steu­er- und Regel­ein­rich­tun­gen. Manch­mal kann ein gefähr­li­cher Zustand aber auch durch Mani­pu­la­tio­nen an ande­ren Anla­gen­tei­len her­vor­ge­ru­fen wer­den. Dann sind auch die­se zu schüt­zen.“ Nicht betrof­fen von die­ser Rege­lung sind Anla­gen, deren Sicher­heits­funk­tio­nen rein mecha­nisch oder ana­log auf­ge­baut sind und deren siche­rer Betrieb nicht durch einen Cyber­an­griff gefähr­det ist.

Die TRBS 1115–1 beschreibt die Vor­ge­hens­wei­se zur Aus­wahl von geeig­ne­ten Schutz­maß­nah­men, die in sechs Berei­che unter­glie­dert wer­den: Hard­ware­ar­chi­tek­tur und Seg­men­tie­rung, Zugangs- und Zugriffs­kon­trol­le, siche­re Instal­la­ti­on und Ände­run­gen von Schutz­maß­nah­men, Funk­ti­ons­re­duk­ti­on und Här­tung, Über­wa­chung von Hard­ware und Soft­ware inklu­si­ve ihrer Kom­mu­ni­ka­ti­on und Not­fall­ma­nage­ment. „Jedes Unter­neh­men muss sich für jeden die­ser Berei­che über­le­gen, wel­che Maß­nah­men für einen aus­rei­chen­den Schutz erfor­der­lich sind“, erklärt Becker. „Die ‚Klas­si­ker‘ sind Viren­scan­ner oder Pass­wort­schutz. Das Reper­toire an Maß­nah­men ist aber viel grö­ßer. Daher kön­nen Cyber­si­cher­heits­kon­zep­te unter­schied­lich ausfallen.“

In Zukunft prü­fen die ZÜS im Rah­men der gesetz­lich vor­ge­schrie­be­nen Prü­fun­gen von über­wa­chungs­be­dürf­ti­gen Anla­gen auch, ob die Min­dest­an­for­de­run­gen der TRBS 1115–1 umge­setzt und aus­rei­chen­de Schutz­maß­nah­men fest­ge­legt wur­den. Um vor allem klei­ne und mitt­le­re Unter­neh­men nicht zu über­for­dern, gibt es einen schritt­wei­sen Über­gang bzw. eine schritt­wei­se Erwei­te­rung des Prüf­um­fangs und der Prüf­tie­fe. Bereits seit 2023 wird eine unzu­rei­chen­de Umset­zung der Vor­ga­ben als Man­gel bewer­tet. Seit dem 1. April 2024 sind die ZÜS zu einer umfang­rei­che­ren Prü­fung ver­pflich­tet, die sich erst ein­mal auf die Doku­men­ta­ti­on und Plau­si­bi­li­tät der Maß­nah­men bezieht. In Zukunft soll auch die tech­ni­sche Umset­zung und die Funk­ti­ons­fä­hig­keit der Schutz­maß­nah­men an den Anla­gen selbst geprüft werden.

Über­wa­chungs­be­dürf­ti­ge Anla­gen und Anla­gen­si­cher­heits­re­port Über­wa­chungs­be­dürf­ti­ge Anla­gen sind Arbeits­mit­tel, von denen beson­de­re Gefähr­dun­gen aus­ge­hen. Dazu zäh­len Anla­gen in explo­si­ons­ge­fähr­de­ten Berei­chen, Druck­an­la­gen und Auf­zugs­an­la­gen. Im Anla­gen­si­cher­heits­re­port ver­öf­fent­licht der TÜV-Ver­band jedes Jahr eine Aus­wer­tung der gesetz­lich vor­ge­schrie­be­nen Prü­fun­gen von über­wa­chungs­be­dürf­ti­gen Anla­gen. Den aktu­el­len Anla­ge­si­cher­heits­re­port 2024 mit allen Sta­tis­ti­ken und Fach­bei­trä­gen zu aktu­el­len The­men gibt es auf den Sei­ten des TÜV-Ver­ban­des als PDF zum Download.