Orientierungshilfe Cybersecurity bei überwachungsbedürftigen Anlagen

Anbieter zum Thema

TÜV SÜD Management Service GmbH Produktmanager Risikomanagement

Klinkhammer Intralogistics GmbH

LRQA Deutschland GmbH

FORCAM ENISCO GmbH

Aufgrund der zunehmenden Digitalisierung und Vernetzung müssen Anlagen und Maschinen besser vor Cyberangriffen geschützt werden. Die Betreiber von überwachungsbedürftigen Anlagen können sich dabei an den Technischen Regeln für Betriebssicherheit (TRBS) orientieren. Darauf hat der TÜV-Verband bei der Vorstellung des Anlagensicherheitsreports 2024 hingewiesen.

Der Anlagensicherheitsreport werde vom TÜV-Verband unter Mitwirkung aller deutschen Zugelassenen Überwachungsstellen (ZÜS) erstellt. Die Expertinnen und Experten beobachten, dass mit der zunehmenden Zahl der Cyberangriffe auf deutsche Unternehmen auch das Bewusstsein für die damit verbundenen Gefahren und Risiken zugenommen habe. „Wir diskutieren nicht mehr darüber, ob man Cybersecurity braucht“, sagt Jörg Becker, Leiter des Kompetenzzentrums Cybersecurity der TÜV Süd Industrie Service GmbH. „Wir diskutieren darüber, was zu tun ist.“ Für sinnvoll halte der Experte ein pragmatisches Vorgehen in drei Schritten: Im ersten Schritt müssten Unternehmen die Systeme identifizieren, die für Cybersicherheit relevant seien. Im zweiten Schritt gehe es darum, die Folgen eines Angriffs auf diese Systeme zu bewerten und im dritten Schritt sollen die konkreten Maßnahmen definiert werden, die für einen Schutz der Systeme erforderlich seien.

Cybergefahren ermitteln und Gegenmaßnahmen festlegen

Die Betreiber von überwachungsbedürftigen Anlagen können sich laut Hersteller bei der Suche nach geeigneten Schutzmaßnahmen an der Technischen Regel für Betriebssicherheit (TRBS) 1115-1 orientieren, die im vergangenen Jahr verabschiedet wurde. „Im Kern geht es darum, dass Anlagenbetreiber im Rahmen ihrer Gefährdungsbeurteilung auch Cyberbedrohungen berücksichtigen und entsprechende Gegenmaßnahmen festlegen müssen, wenn Arbeitnehmer oder Personen im Gefahrenbereich durch einen Cyberangriff gefährdet werden können“, erklärt Becker. Relevant seien hier vor allem die sicherheitsrelevanten Mess-, Steuer- und Regeleinrichtungen.

Manchmal könne ein gefährlicher Zustand aber auch durch Manipulationen an anderen Anlagenteilen hervorgerufen werden. Dann seien auch diese zu schützen. Nicht betroffen von dieser Regelung seien Anlagen, deren Sicherheitsfunktionen rein mechanisch oder analog aufgebaut sind und deren sicherer Betrieb nicht durch einen Cyberangriff gefährdet ist.

Dossier Kantenbearbeitung

Entgraten und Verrunden

Unterschiedliche Sicherheitskonzepte

Die TRBS 1115-1 beschreibe die Vorgehensweise zur Auswahl von geeigneten Schutzmaßnahmen, die in sechs Bereiche untergliedert werden:

• Hardwarearchitektur und Segmentierung,

• Zugangs- und Zugriffskontrolle,

• sichere Installation und Änderungen von Schutzmaßnahmen,

• Funktionsreduktion und Härtung,

• Überwachung von Hardware und Software inklusive ihrer Kommunikation und

• Notfallmanagement.

„Jedes Unternehmen muss sich für jeden dieser Bereiche überlegen, welche Maßnahmen für einen ausreichenden Schutz erforderlich sind“, erklärt Becker. „Die ‚Klassiker‘ sind Virenscanner oder Passwortschutz. Das Repertoire an Maßnahmen ist aber viel größer. Daher können Cybersicherheitskonzepte daher unterschiedlich ausfallen.“

In Zukunft sollen die ZÜS im Rahmen der gesetzlich vorgeschriebenen Prüfungen von überwachungsbedürftigen Anlagen auch prüfen, ob die Mindestanforderungen der TRBS 1115-1 umgesetzt und ausreichende Schutzmaßnahmen festgelegt wurden. Um vor allem kleine und mittlere Unternehmen nicht zu überfordern, gebe es einen schrittweisen Übergang bzw. eine schrittweise Erweiterung des Prüfumfangs und der Prüftiefe. Bereits seit 2023 werde eine unzureichende Umsetzung der Vorgaben als Mangel bewertet. Seit dem 1. April 2024 seien die ZÜS zu einer umfangreicheren Prüfung verpflichtet, die sich erst einmal auf die Dokumentation und Plausibilität der Maßnahmen beziehe. In Zukunft soll auch die technische Umsetzung und die Funktionsfähigkeit der Schutzmaßnahmen an den Anlagen selbst geprüft werden.

Überwachungsbedürftige Anlagen und Anlagensicherheitsreport

Überwachungsbedürftige Anlagen seien Arbeitsmittel, von denen besondere Gefährdungen ausgehen. Dazu zählen Aufzugsanlagen, Anlagen in explosionsgefährdeten Bereichen und Druckanlagen. Im Anlagensicherheitsreport veröffentliche der TÜV-Verband jedes Jahr eine Auswertung der gesetzlich vorgeschriebenen Prüfungen von überwachungsbedürftigen Anlagen.

Energieeffizienzgesetz in Kraft

Jetzt handeln und finanzielle Sanktionen vermeiden

(ID:50129824)