Ein vergessener Wartungszugang kann eine ganze Fertigung gefährden. Zehn Maßnahmen zeigen, wie Unternehmen NIS2 in ihrer Betriebstechnik praktisch angehen und dabei die Sicherheit des Produktionsprozesses im Blick behalten.
Angenommen, nachts meldet die Netzwerküberwachung einen fremden Rechner im Produktionsnetz. Die Instandhaltung vermutet einen Wartungseinsatz. Die IT kennt den Zugang nicht. Wer darf die Verbindung trennen, ohne den laufenden Prozess zu gefährden? Hier beginnt OT-Sicherheit im Alltag.
Für Industrieunternehmen im Anwendungsbereich der deutschen NIS2-Umsetzung reicht der Blick auf Bürorechner und Rechenzentren nicht aus. Auch die Betriebstechnik, kurz OT, gehört in die Risikobetrachtung. § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. In der Produktion müssen sie einen sicheren Prozessbetrieb ermöglichen: Manipulierte Steuerungswerte können ebenso kritisch sein wie ein Ausfall. Die zehn Maßnahmen erleichtern den Einstieg in der Produktion. Sie bilden den Pflichtenkatalog aus § 30 Absatz 2 BSIG nicht vollständig ab.
1 Die kritischen Anlagen kennen
Beginnen Sie bei der Anlage, deren Ausfall den größten Schaden verursacht. Erfassen Sie Steuerungen, Bediengeräte, Engineering-Rechner sowie Abhängigkeiten etwa von zentralen Anmeldediensten. Zu jedem System gehören Verantwortliche, Softwarestand und Bedeutung für den Prozess. Passive Netzwerkanalyse ergänzt vorhandene Listen und Begehungen. Sie sieht allerdings nur Geräte, die an den beobachteten Stellen kommunizieren. Eine vollständige Bestandsaufnahme liefert sie allein nicht.
2 Entscheidungen verbindlich zuordnen
Wer genehmigt einen Wartungszugang, akzeptiert ein verbleibendes Risiko oder entscheidet über das Trennen eines Netzsegments? Klären Sie diese Befugnisse zwischen IT-Sicherheit, Instandhaltung und Betriebsführung, samt Vertretung und Erreichbarkeit. Beim nächtlichen Alarm muss jemand entscheiden können, der die Prozessfolgen kennt.
3 Verbindungen gezielt begrenzen
Prüfen Sie zunächst die Übergänge zwischen Büro- und Produktionsnetz. Prozessrisiken und notwendige Verbindungen bestimmen das Zonenmodell mit kontrollierten Übergängen nach IEC 62443. Jede Freigabe braucht Zweck und Verantwortlichen. Änderungen an Firewall-Regeln gehören in ein abgestimmtes Wartungsfenster mit Rückfallplan. Eine unvorbereitete Sperre kann dieselbe Anlage stoppen, die sie schützen soll.
4 Fernwartung unter Kontrolle bringen
Listen Sie sämtliche Wartungszugänge auf, auch herstellereigene Router. Ungenutzte Zugänge werden nach betrieblicher Prüfung geschlossen. Führen Sie die Fernwartung über einen zentralen Zugang mit Mehrfaktor-Authentifizierung, individuellen Konten und begrenzten Rechten. Jede Sitzung wird freigegeben, zeitlich begrenzt und protokolliert. Unterstützt die Steuerung diese Funktionen nicht, kann ein vorgeschalteter Zugangsserver sie übernehmen.
5 Aus Alarmen eine Reaktion machen
Ein neuer Rechner, eine unerwartete Programmübertragung oder ein Zugriff außerhalb der Wartungszeit sind sinnvolle Ausgangspunkte für die Überwachung. Passives Monitoring kann solche Vorgänge erkennen, soweit die relevanten Daten sichtbar sind. Legen Sie fest, wer Alarme bewertet und mit dem Betrieb abstimmt. Testen Sie diese Kette an einem vereinbarten Ereignis. Ein Sensor ohne zuständigen Empfänger verkürzt keine Reaktionszeit.
6 Schwachstellen nach Betriebsrisiko behandeln
Priorisieren Sie nach tatsächlicher Erreichbarkeit, Ausnutzbarkeit und möglichen Prozessfolgen. Vor einem Update stehen Kompatibilitätsprüfung, Test und Rückfallplanung. Muss ein Patch warten, können eingeschränkte Zugriffswege oder zusätzliche Überwachung das Risiko senken. Halten Sie Ersatzmaßnahmen, Verantwortliche, Restrisiko und Prüftermin fest. Bei abgekündigten Systemen gehört auch der Ersatz auf den Plan.
7 Den Wiederanlauf praktisch testen
Wählen Sie ein kritisches System und prüfen Sie in geeigneter Testumgebung die Wiederherstellung. Prüfen Sie dabei auch die Verfügbarkeit von Programmen, Konfigurationen, Lizenzen und passender Hardware. Messen Sie die Zeit bis zur nutzbaren Funktion. Mindestens eine Sicherung muss vor Manipulation geschützt sein, etwa offline. Klären Sie außerdem, wie der Standort auf Sicherungen zugreift, wenn zentrale IT-Dienste ausfallen.
8 Den Ernstfall gemeinsam durchspielen
Üben Sie mit IT, Betrieb und Krisenmanagement einen kompromittierten Wartungszugang, einschließlich Abschaltentscheidung und Meldeweg. Nach § 32 BSIG gilt bei erheblichen Sicherheitsvorfällen: frühe Erstmeldung unverzüglich, spätestens binnen 24 Stunden ab Kenntniserlangung; eine konkretisierende Meldung unverzüglich, spätestens binnen 72 Stunden. Die Abschlussmeldung folgt spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung. Dauert der Vorfall an, ist zunächst eine Fortschrittsmeldung fällig, die Abschlussmeldung nach abschließender Bearbeitung. Bereiten Sie Zugang zur Meldestelle und Vertretung vor.
9 Lieferanten auf klare Regeln verpflichten
Beginnen Sie mit Dienstleistern, die unmittelbar auf kritische Anlagen zugreifen können. Vereinbaren Sie benannte Nutzer, freigegebene Zugriffswege und eine schnelle Information über Sicherheitsvorfälle. Regeln Sie, wer Änderungen dokumentiert und aktuelle Projektdateien übergibt. Fehlt nach einem Eingriff der aktuelle Programmstand, kann ein vorhandenes Backup für den Wiederanlauf unbrauchbar sein.
10 Wirksamkeit im Betrieb nachhalten
Schulen Sie Instandhalter und Schichtpersonal an konkreten Situationen, etwa einem unangekündigten Fernzugriff. Auch die Geschäftsleitung hat nach § 38 BSIG eigene Umsetzungs-, Überwachungs- und Schulungspflichten. Erfassen Sie den Anteil kritischer Systeme mit getestetem Wiederherstellungsweg und die Zahl unkontrollierter externer Zugänge. Offene Punkte brauchen einen Verantwortlichen und einen Termin.
Beginnen Sie mit einem kritischen Produktionsbereich und dessen Wartungszugängen. Bestand, Zugriffsprüfung und Wiederherstellungstest können parallel anlaufen. So wird aus dem nächtlichen Alarm ein beherrschbarer Vorgang: Der Zugang ist zugeordnet, seine Funktion bekannt und die Entscheidung über das weitere Vorgehen vorbereitet.
