Prüffristen für IT- und OT-Sicherheit in der Produktion

Eine Datensicherung ist nur so gut wie ihre Wiederherstellung. Der IT-Grundschutz des BSI verlangt deshalb ausdrücklich regelmäßige Tests, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können. In der Produktion gehören dazu nicht nur Server und Datenbanken, sondern auch SPS-Programme, Projektdateien, Rezepturen, Roboterprogramme und Systemabbilder von Bedien- und Engineering-Stationen – samt passender Software-Versionen.

Eine feste Frist gibt es nicht. Praxisüblich ist ein dokumentierter Restore-Test mindestens einmal im Jahr für jedes kritische System, bei zentralen Systemen wie ERP oder MES auch häufiger. Mindestens eine Sicherung sollte offline oder unveränderbar und getrennt vom Produktionsnetz liegen, damit Ransomware sie nicht mitverschlüsselt.

Typischer Fehler: Die Sicherungssoftware meldet täglich „erfolgreich“, doch eine vollständige Rücksicherung wurde nie versucht – im Ernstfall fehlen Lizenzen, Schlüssel oder die Engineering-Software für eine alte Steuerung. Halten Sie den gemessenen Zeitbedarf fest und vergleichen Sie ihn mit der tolerierbaren Ausfallzeit.

Quellen: BSI – IT-Grundschutz-Kompendium, Baustein CON.3 Datensicherungskonzept (Edition 2023) · Gesetze im Internet – BSIG § 30 Risikomanagementmaßnahmen

Schwachstellenmanagement gehört für NIS-2-Einrichtungen ausdrücklich zu den Pflichtmaßnahmen, und nach dem IT-Grundschutz müssen Patches zeitnah nach Veröffentlichung bewertet und priorisiert werden. Grundlage ist ein aktuelles Inventar mit Firmware- und Softwareständen, sonst lassen sich Herstellerhinweise gar nicht zuordnen.

Scans und Penetrationstests zeigen, ob Lücken tatsächlich ausnutzbar sind. Für extern erreichbare Systeme und Fernwartungszugänge hat sich ein jährlicher Penetrationstest bewährt, ergänzt um Tests nach größeren Änderungen. In Produktionsnetzen ist Vorsicht geboten: Aktive Scans können ältere Steuerungen stören. Dort werden bevorzugt passive Verfahren genutzt, aktive Tests nur in Wartungsfenstern und in Abstimmung mit Betrieb und Anlagenhersteller.

Typischer Fehler: Testberichte landen in der Schublade. Jede Feststellung braucht Priorität, Verantwortliche und Termin; für nicht patchbare Altsysteme sind kompensierende Maßnahmen wie Segmentierung oder strikte Zugangsbeschränkung festzulegen und zu befristen.

Quellen: BSI – IT-Grundschutz-Kompendium, Baustein OPS.1.1.3 Patch- und Änderungsmanagement · BSI – NIS-2-Infopaket Risikomanagementmaßnahmen · Gesetze im Internet – BSIG § 30 Risikomanagementmaßnahmen

Rechte, die niemand mehr braucht, sind ein Einfallstor: Konten ehemaliger Beschäftigter, Sammelkonten an Bedienpanels, dauerhaft offene VPN-Zugänge von Maschinenlieferanten oder Firewall-Freigaben aus einem längst abgeschlossenen Projekt. Der IT-Grundschutz verlangt, die Dokumentation der Benutzerkennungen und Rechteprofile regelmäßig mit dem tatsächlichen Stand und den aktuellen Aufgaben abzugleichen; für die OT fordert der Baustein IND.1 eine Berechtigungsverwaltung nach dem Minimalprinzip mit regelmäßiger Überprüfung.

Bewährt ist eine jährliche Rezertifizierung, bei der Führungskräfte die Rechte ihrer Mitarbeitenden bestätigen, sowie ein kürzerer Zyklus für Administratoren und externe Zugänge. Fernwartung sollte nur über eine zentrale Lösung mit personenbezogenen Konten und Multi-Faktor-Authentifizierung laufen und anlassbezogen freigeschaltet werden.

Typischer Fehler: Mobilfunkrouter in Maschinen umgehen die Firewall und tauchen in keinem Review auf. Nehmen Sie alle Fernzugänge ins Inventar auf.

Quellen: BSI – IT-Grundschutz-Kompendium, Baustein ORP.4 Identitäts- und Berechtigungsmanagement · BSI – IT-Grundschutz-Kompendium, Baustein IND.1 Prozessleit- und Automatisierungstechnik · BSI – IT-Grundschutz-Kompendium, Baustein OPS.1.2.5 Fernwartung

Viele Angriffe beginnen mit einer E-Mail, einem präparierten USB-Stick oder einem Anruf beim Schichtführer. Für NIS-2-Einrichtungen gehören grundlegende Schulungen und Sensibilisierungsmaßnahmen deshalb zu den gesetzlichen Mindestmaßnahmen. Das BSI empfiehlt, neue Mitarbeitende bei der Einweisung zu schulen und alle Beschäftigten jährlich über aktuelle Entwicklungen zu informieren, ergänzt durch Kampagnen und Aushänge.

In der Produktion sollten die Inhalte auf den Arbeitsplatz zugeschnitten sein: Umgang mit Wechseldatenträgern an Anlagen, Verhalten bei Fernwartungsanfragen, Erkennen ungewöhnlicher Anlagenzustände und der Meldeweg bei Verdacht. Die Teilnahme ist mit Datum und Inhalt zu dokumentieren; organisatorisch lässt sie sich gut mit der jährlichen Arbeitsschutzunterweisung verbinden.

Typischer Fehler: Schulungen erreichen nur die Büroarbeitsplätze, Schichtpersonal und Fremdfirmen bleiben außen vor. Messen Sie den Lernerfolg, etwa über Phishing-Simulationen, und passen Sie das Programm an die Ergebnisse an.

Quellen: BSI – NIS-2-Infopaket Schulungen · BSI – IT-Grundschutz-Kompendium, Baustein ORP.3 Sensibilisierung und Schulung · Gesetze im Internet – BSIG § 30 Risikomanagementmaßnahmen

Nach einem Cyberangriff entscheidet die Vorbereitung darüber, ob die Produktion Stunden oder Wochen stillsteht. Ein OT-Notfallplan regelt, wer über Netztrennung, Anlagenstopp und Notbetrieb entscheidet, in welcher Reihenfolge Systeme wieder anlaufen und wie Steuerungen aus sauberen Sicherungen neu aufgesetzt werden. Der IT-Grundschutz verlangt, Notfallpläne regelmäßig und anlassbezogen zu testen und zu üben; für jede OT-Zone sollen sie nach größeren Änderungen getestet werden.

Bewährt hat sich ein jährliches Planspiel mit Geschäftsleitung, IT, Produktion und Instandhaltung, das den NIS-2-Meldeprozess einschließt, kombiniert mit einem praktischen Wiederherstellungstest an mindestens einer kritischen Anlage. Ergebnisse, Zeitbedarf und Mängel sind zu dokumentieren und in den Plan zu übernehmen.

Typischer Fehler: Der Wiederanlauf wird nur für die Büro-IT geübt. Ob die Linie ohne MES im Notbetrieb fertigen kann, wer Aufträge manuell freigibt und wie lange das Neuaufsetzen einer Steuerung dauert, zeigt sich erst im Test.

Quellen: BSI – IT-Grundschutz-Kompendium, Baustein IND.1 Prozessleit- und Automatisierungstechnik · BSI – IT-Grundschutz-Kompendium, Baustein DER.4 Notfallmanagement

Ein ISMS nach ISO/IEC 27001 ist für NIS-2-Einrichtungen keine Pflicht, aber der verbreitetste Weg, Risikomanagement und Wirksamkeitsbewertung nachweisbar zu organisieren. Wie bei anderen Managementsystemen gilt ein dreijähriger Zyklus: Das Zertifikat bleibt nur gültig, wenn die Zertifizierungsstelle jährlich ein Überwachungsaudit durchführt und vor Ablauf die Rezertifizierung abgeschlossen ist. Intern verlangt die Norm Audits und Managementbewertungen in geplanten Abständen, in der Praxis jährlich.

Automobilzulieferer benötigen häufig ein TISAX-Label nach dem VDA-Katalog ISA. Die Ergebnisse sind bis zu drei Jahre gültig; empfohlen wird, die Erneuerung mindestens zwölf Monate vor Ablauf anzustoßen.

Typischer Fehler: Der Geltungsbereich umfasst nur die Verwaltung, die Produktion bleibt ausgeklammert. Für NIS-2 und für Kunden ist aber gerade die Absicherung der Werke relevant. Prüfen Sie bei jeder Rezertifizierung, ob der Geltungsbereich noch zum Risiko passt, und verknüpfen Sie das Auditprogramm mit Ihren OT-Maßnahmen.

Quellen: SECJUR – Überwachungsaudit: Ablauf im 3-Jahres-Zertifizierungszyklus · TÜV SÜD – TISAX: Informationssicherheit für die Automobilbranche

Man kann nur schützen, was man kennt. Ein OT-Inventar erfasst Steuerungen, Bedienpanels, Industrie-PCs, Switches, Funkstrecken und Fernwartungsrouter mit Typ, Firmwarestand, Standort, Verantwortlichem und Kommunikationsbeziehungen. Darauf baut die Risikobeurteilung auf, die Anlagen nach Kritikalität für Personensicherheit, Umwelt und Lieferfähigkeit einstuft und Zonen mit passendem Schutzniveau bildet – so beschreibt es die Normenreihe IEC 62443.

Für NIS-2-Einrichtungen ist die Risikoanalyse Pflichtbestandteil der Maßnahmen; ein Prüfintervall nennt das Gesetz nicht. Bewährt ist eine jährliche Überprüfung sowie eine Aktualisierung vor jeder wesentlichen Änderung, etwa beim Anbinden einer Anlage an die Cloud oder bei einem Retrofit.

Typischer Fehler: Das Inventar entsteht einmal in einem Projekt und veraltet danach, weil Tausch und Firmware-Updates in der Instandhaltung nicht zurückgemeldet werden. Koppeln Sie die Pflege an Ihre Änderungs- und Instandhaltungsprozesse und beobachten Sie, bis wann Hersteller Sicherheitsupdates liefern.

Quellen: BSI – IT-Grundschutz-Kompendium, Baustein IND.1 Prozessleit- und Automatisierungstechnik · Gesetze im Internet – BSIG § 30 Risikomanagementmaßnahmen