Sicherheit von OT-Systemen Betriebstechnologie auf dem Weg zur NIS2-Konformität

Anbieter zum Thema

mod IT Services GmbH

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die Network and Informative Systems Directive 2, kurz NIS2, stellt einen Meilenstein in der europäischen Cybersicherheit dar. Ihr Hauptziel ist es, die Widerstandsfähigkeit und Sicherheit von digitalen Diensten und kritischer Infrastruktur zu stärken. Doch Unternehmen müssen sich nicht nur auf Veränderung in ihrer IT gefasst machen. Auch die Betriebstechnologie ist betroffen.

Sie ist gerade in aller Munde: die NIS2-Richtlinie. Sie liegt seit Frühling 2023 als Entwurf vor und muss bis Oktober 2024 von den betroffenen Unternehmen umgesetzt werden. Ihr Ziel? Die Definition von Mindeststandards für Cybersecurity innerhalb der Europäischen Union (EU), die vom Umsetzungsgesetz in nationale Regulierungen überführt werden sollen. Das klingt erst einmal sperrig, doch im Grunde soll die NIS2 das schaffen, worauf auch schon vorherige Normen und Standards abzielen. Nämlich die steigende Zahl der erfolgreichen Cyberangriffe europaweit und national zu senken. Im Gegenzug müssen Unternehmen und Organisationen einiges leisten. Die Umsetzung bedeutet mehr Technologie und mehr Arbeit für die IT. Wer die erforderlichen Maßnahmen nicht rechtzeitig umsetzt, dem drohen zum Teil hohe Geldstrafen. Deshalb investieren viele Unternehmen richtigerweise schon jetzt in ihre IT-Sicherheitsstrategie. Doch ein Bereich bleibt dabei zurück: die Operational Technologie (OT).

Während im Bereich der IT-Schulungen zur Security stattfinden und die Resilienz gegen Cyberattacken erhöht wird, bleibt die OT häufig zurück. Dabei ist in den Unternehmen, welche Betriebstechnologie betreiben, diese schon lange mit der IT verknüpft. Erst kürzlich hat eine IT-Störung bei Volkswagen die Produktion in mehreren Standorten lahmgelegt. Der Vorfall zeigt: Durch die enge Verbindung von IT und OT ist auch letztere von der NIS2 betroffen. Mit passenden Vorbereitungen gelingt auch hier die Umsetzung.

Von der Meldepflicht zur Risikobewertung

Mit NIS2 kommen auf die betroffenen Einrichtungen umfangreiche Informations- und Meldepflichten zu, die über die KRITIS-Meldepflichten hinausgehen. Das schließt auch weitreichende Befugnisse des Bundesamts für Sicherheit und Informationstechnik (BSI) mit ein. Besonders wichtige Einrichtungen und Betreiber kritischer Anlagen in Deutschland müssen dem BSI alle Sicherheitsvorfälle in den OT-Systemen melden – in kurzen Fristen von 24 Stunden und mit stufenweisen Folgemeldungen. Um diesem Meldeplan nachkommen zu können, müssen Unternehmen die Überwachung und Erkennung von Sicherheitsverletzungen in ihren OT-Systemen erheblich verbessern. Die Anforderungen steigen ebenfalls für die Sicherheit der OT-Systeme. Die Mindestanforderungen zum Schutz gegen Cyberangriffe umfassen die Sicherung von Netzwerkzugriffen, die Verschlüsselung von Datenübertragungen und die Durchführung regelmäßiger Sicherheitsüberprüfungen. Letztlich soll auch die Risikobewertung der OT-Anlagen im Rahmen von NIS2 verbessert werden. Dabei geht es darum, potenzielle Schwachstellen und Bedrohungen zu identifizieren, welche die Anlagen gefährden könnten. Die Ergebnisse dieser Risikobewertung dienen als Grundlage für die Festlegung von individuellen Sicherheitsmaßnahmen für jeden Betrieb.

Grundlagen für jedes OT-System

Wo liegen die Schwachstellen des Systems? Welche Lücken gilt es zu schließen? Welche Einfallstore sind am gefährlichsten? Wenn diese Fragen in der Risikobewertung geklärt sind, müssen konkrete Maßnahmen ergriffen werden. Die Anforderungen können von Branche zu Branche unterschiedlich sein und die Umsetzung von Technologien wie Firewalls, Intrusion Detection Systems (IDS) und Intrusion Prevention Systems (IPS) erfordern. Um die Anforderungen der NIS2 zu erfüllen, sollten die OT-Systeme auch regelmäßigen Updates unterzogen werden. Außerdem sollten fortgeschrittene Überwachungssysteme implementiert werden. Dabei sind ein umfangreiches Patch-Management und regelmäßige Patchzyklen grundlegend, damit Anomalien und Lücken im System rechtzeitig erkannt werden und nicht für längere Zeit ein Einfallstor für Hacker bieten.

Cybersecurity bedeutet Verantwortung

Für mehr Widerstandsfähigkeit und Cybersicherheit reicht es jedoch nicht, nur externe Gefahren zu minimieren. Der Grund für manche Störungen sind unternehmensinterne Probleme – zum Teil durch menschliche Fehler. Daher sind zwei Faktoren für die Belegschaft wichtig: Identitätsmanagement und Know-how-Transfer. Um unbefugte Zugriffe zu vermeiden, muss durch strenge Zugriffskontrollen gewährleistet sein, dass nur autorisierte Personen und Geräte auf die OT-Infrastruktur zugreifen können. Eine Multifaktor-Authentifizierung ist hier essenziell. Vor allem im Bereich Digital Workplace bieten VPN-Verbindungen ein potenzielles Risiko. Denn auch OT-Fachkräfte arbeiten mittlerweile von zu Hause aus. Wenn hier die Sicherheitsmaßnahmen unzureichend sind, können Hacker an die Zugangsdaten der Mitarbeitenden gelangen. Dadurch können sie Informationen über beispielsweise patentgeschützte Verfahren oder den Aufbau von Produktionsanlagen abfassen. Dass die gesamten Belegschaften solche Risiken kennt und damit umgehen kann, trägt zur Sicherheit des Unternehmens und zum Verständnis der NIS2-Maßnahmen bei. Durch Schulungen und Sicherheitssimulationen wird nicht nur für Cyberrisiken sensibilisiert, sondern auch Know-how über das richtige Verhalten bei sicherheitsrelevanten Vorfällen weitergegeben. Gerade die OT-Sicherheit wird bei der Aufklärungsarbeit noch häufig vernachlässigt, daher stehen Unternehmen und Betriebe in der Verantwortung, den Nachholbedarf zu decken. So ist die gesamte Belegschaft für den Ernstfall gewappnet.

Wenn Incident Management nicht greift

Gibt es eine Störung oder werden Anomalien erkannt, läuft im Idealfall alles nach Protokoll: Die Sicherheitsvorfälle oder Störungen werden in Echtzeit erkannt, analysiert und behoben. Dieses Incident Management ist bei einer engen Verbindung von IT und OT nicht ohne weiteres möglich. Das Netzwerk ist zu komplex. Als Konsequenz können einzelne Bereiche oder Standorte nicht so einfach vom eigentlichen Problem abgekoppelt werden. Auch die Reaktionszeiten werden dadurch länger. Das kann fatal werden, denn in der Cybersecurity gilt: Je schneller eine Störung gefunden und behoben wird, desto höher die Chance einen hohen Schaden durch Betriebsausfall zu vermeiden. Daher müssen im OT-Bereich unbedingt angemessene Notfallpläne implementiert werden, die auch Wiederherstellungspläne einbeziehen. Denn im Falle eines Sicherheitsvorfalls müssen die Systeme schnellstmöglich wiederhergestellt werden. Auch die Segmentierung von Netzwerken sollte zum OT-Incident-Management gehören. In transparenten Anlagensystemen können Maschinen nach Relevanz für den Fortbestand der Produktion priorisiert werden. Im Ernstfall sollten sie auch mehrere Tage ohne Kontakt zur IT laufen können. Wenn OT-Systeme vom Unternehmensnetzwerk und von externen Verbindungen getrennt funktionieren können, kann auch die Ausbreitung von Bedrohungen verhindert werden.

In Richtung NIS2 mit externen Helfern

Die NIS2-Richtlinie bietet eine Chance auf mehr Cybersicherheit, höhere Cyberresilienz und weniger Schaden durch Cyberattacken. Auf dem Weg dahin müssen die betroffenen Unternehmen jedoch einige Maßnahmen umsetzten – sowohl in der IT als auch in der OT. Das Durchführen einer Risikobewertung und Planen einer Sicherheitsstrategie, das Implementieren eines Meldeapparats und umfangreicher Notfallpläne sowie die Aufklärung der Mitarbeitenden kann einige Unternehmen und Organisationen an ihre Grenzen bringen. Unternehmen, die keine Kapazitäten für die Umsetzung umfangreicher Sicherheitsmaßnahmen haben, greifen daher häufig zu Cybersecurity-as-a-Service-Modellen. Externe Experten können nicht nur die Sicherheitsstrategie verbessern und fehlende Maßnahmen implementieren, sondern auch die Belegschaft schulen. So sind die OT-Systeme nicht nur NIS2-konform, sondern sind auch längerfristig gegen interne und externe Störungen geschützt.

Über den Autor: Patrick Latus ist OT-Experte für Cybersecurity und Migrationen bei der mod IT Services GmbH. Außerdem ist er zertifizierter Ethischer Hacker sowie „PECB Certified ISO/IEC 27001 Senior Lead Implementer“ und unterstützt in dieser Rolle betroffene Unternehmen bei der technischen Umsetzung der erforderten Normen.

(ID:49844150)