NIS2 und KRITIS-DachG 9 Bausteine für sichere Operational Technology

Anbieter zum Thema

Securepoint GmbH

WatchGuard Technologies GmbH

XOPERO SOFTWARE S.A.

Industrie-Anlagen werden verwundbarer gegenüber Cyber-Angriffen – auch Steuerungen in Rechenzentren. Zudem ändert sich die Regulierung mit dem KRITIS-Dachgesetz und NIS2-Umsetzungsgesetz: So erweitert sich die Anzahl künftig regulierter Unternehmen auf über 30.000. Wie Unternehmen auch in ihrer OT (Operational Technology) die strengeren Vorgaben erfüllen, dafür gibt die Kompetenzgruppe KRITIS im Eco Verband neun Tipps.

(Industrielle) Steuerungs- und Automatisierungssysteme, kurz häufig unter dem englischen Begriff OT bekannt, werden mit langfristiger Perspektive entwickelt: 30 Jahre lang Produktionsanlagen mit derselben Software zu steuern und zu überwachen ist keine Seltenheit. Viele OT-Systeme wurden deshalb schon in Betrieb genommen, ohne moderne Cybersecurity-Methoden berücksichtigen zu können.

Und weil sie nicht ohne erheblichen Aufwand auf den notwendigen Stand der Sicherheitstechnik gebracht werden können, sind sie beliebte Ziele krimineller Cyber-Attacken. Auch vor dem Hintergrund der sich ändernden Regulierung in diesem Jahr durch KRITIS-Dachgesetz und NIS2-Umsetzungsgesetz ist es dringend geboten, Sicherheitsstrategien zu überdenken und zu stärken, um die Integrität und Zuverlässigkeit kritischer Infrastrukturen zu gewährleisten.

Ulrich Plate, Ngenn GmbH und Leiter der Eco Kompetenzgruppe KRITIS, sagt dazu: „Jetzt ist die Zeit, in der Betreiber kritischer Anlagen gut beraten sind, für mehr Cyber-Resilienz zu sorgen.“ Das klinge allerdings leichter als es sei, und für industrielle Steuerungsanlagen werde es manchmal besonders kompliziert: „Wartungsfenster für ein Softwareupdate kann man dort nicht einfach mal für nächste Woche einplanen, sondern vielleicht erst im nächsten Jahr.“

Die 30.000

Wenn NIS2 und KRITIS-DachG auch in Deutschland in Kraft treten, werden auch zahlreiche neue Organisationen unter die Regulierung fallen, die bislang noch nicht zu den Betreibern kritischer Infrastrukturen gezählt wurden, und auch Produktionsanlagen mit ausgeprägter Operational-Technology-Umgebung werden davon erstmals betroffen sein. Auch an sie werden die Anforderungen an ihre Cyber-Sicherheit dadurch deutlich anspruchsvoller.

„Bei Verstößen gegen Pflichten wie mangelnder Umsetzung von Sicherheitsmaßnahmen oder versäumten Melde- und Registrierungsfristen drohen empfindliche Bußgelder und vor allem persönliche Haftungsrisiken für die Geschäftsleitungen“, sagt Plate und gibt neun konkrete Tipps für mehr OT-Sicherheit:

Identifikation von Schwachstellen und Bedrohungen in OT-Systemen: Unternehmen sollten regelmäßige Risikoanalysen ausführen, um aktuelle und potenzielle Sicherheitslücken erkennen und bewerten zu können.

Netzwerksegmentierung: Trennen IT- und OT-Netzwerke sind voneinander zu trennen, um die Angriffsfläche zu minimieren. Außerdem sollten OT-Netzwerke weiter segmentiert werden, um den Schaden im Falle eines Angriffs zu begrenzen.

Härtung von OT-Systemen: Unnötige Dienste und Ports auf OT-Geräten sollten deaktivieren sein. Es ist sicherzustellen, dass nur autorisierte Anwendungen und Benutzer auf diese Systeme zugreifen können.

Sicherheits-Updates und Patch-Management: OT-Systeme und -Geräte gehören auf den neuesten Stand gebracht, indem regelmäßig Sicherheits-Updates und -Patches angewendet werden. Unternehmen müssen Verfahren entwickeln, um kritische Updates zeitnah zu installieren.

Zugangskontrolle und Authentifizierung: Starke Zugangskontrollmechanismen sind Pflicht. Zu verwenden sind mehrstufige Authentifizierungen (MFA). Zudem sollten nur autorisierte Benutzer Zugang zu OT-Systemen haben.

Schulung und Sensibilisierung der Mitarbeiter: Die Mitarbeiter sind regelmäßig in Bezug auf Cybersecurity-Best Practices zu schulen. Es ist sicherzusetllen, dass alle Mitarbeiter, die mit OT-Systemen arbeiten, über die aktuellen Bedrohungen und Schutzmaßnahmen informiert sind.

Überwachung und Incident Response: Implementieren kontinuierlicher Überwachungs- und Erkennungsmechanismen für OT-Netzwerke muss sein. Um schnell auf Sicherheitsvorfälle reagieren zu können, sind Incident-Response-Pläne zu entwickeln und zu testen.

Sicherheitsrichtlinien und -verfahren: Kein Vertun: Es müssen klare Sicherheitsrichtlinien und -verfahren für den Betrieb und die Wartung von OT-Systemen her. Die Unternehmen haben sicherzustellen, dass alle Mitarbeiter diese Richtlinien verstehen und befolgen.

Zusammenarbeit und Informationsaustausch: Die Zusammenarbeit und den Informationsaustausch mit anderen Unternehmen und Behörden ist zu fördern. Für Unternehmen gibt es Informationsplattformen, um über aktuelle Bedrohungen und Sicherheitsvorfälle informiert bleiben zu können.

(ID:50095841)