Safety und Cybersecurity
Die Sicherheit kritischer Infrastrukturen ganzheitlich betrachten
Die Digitalisierung und Vernetzung sicherheitsrelevanter Anlagen macht Cybersecurity immer wichtiger – auch für Betreiber von Versorgungsnetzen. Ontras Gastransport nutzt für diesen Zweck den ERA-Ansatz von TÜV Süd, der Safety und Cybersecurity in einer übergreifenden Risikobewertung kombiniert.
Bereits 2021 ging aus einer repräsentativen Bitkom-Studie zum Lagebericht der Cybersicherheit in Deutschland hervor: Gegenüber 2019 hatte sich die Gesamtschadenssumme durch Cyberangriffe von rund 103 auf 223 Milliarden Euro mehr als verdoppelt. Betroffen waren neun von zehn Unternehmen, die vor allem eine starke Zunahme von Erpressung und Systemausfällen als treibende Faktoren berichteten. Darüber hinaus meldeten 87 Prozent der Betreiber von Energieversorgungsnetzen und anderen kritischen Infrastrukturen (KRITIS), dass die Zahl der Cyberattacken zugenommen hätte.
Diesem bedrohlichen Trend begegnet die EU-Kommission mit der Europäischen Cybersecurity-Strategie, die im Dezember 2020 formal verabschiedet wurde. Darauf aufbauend wird derzeit vor allem die sogenannte ECI-Directive überarbeitet, um eine neue »Resilienzvorschrift« für den Schutz kritischer Infrastrukturen auf den Weg zu bringen. Zudem befindet sich auch die »NIS2«-Regulierung im Trilogverfahren. Diese wird die Vorschriften der NIS-Richtlinie über die Sicherheit von Netz- und Informationssystemen aus dem Jahr 2016 ersetzen und weiter verschärfen.
Gesetzliche und normative Vorgaben
Mit der Einführung des IT-Sicherheitsgesetzes im Jahr 2015, spätestens aber seit die NIS-Richtlinie 2017 in Deutschland umgesetzt wurde, müssen KRITIS-Unternehmen aller Bereiche über ein Managementsystem für die Informationssicherheit verfügen (Information Security Management System, ISMS). Darin erfasst werden müssen alle für den sicheren Betrieb erforderlichen Systeme.
Handlungsanweisungen für ein standardisiertes ISMS unabhängig von der Branche definiert die DIN ISO/IEC 27001. Darauf baut die DIN ISO/IEC 27019 auf, welche zusätzliche Anforderungen speziell für ISMS aus dem Bereich der Energieversorgung stellt – unter anderem Definitionen und verbindliche Erweiterungen zu Zielen und risikomindernden Maßnahmen.
Weitere Vorgaben für Betreiber von KRITIS-Versorgungsnetzen beziehungsweise -Energieanlagen bringt das Energiewirtschaftsgesetz (EnWG) mit sich. Nach §11 müssen sie die Security-Vorgaben aus dem IT-Sicherheitskatalog der Bundesnetzagentur (BNetzA) erfüllen. Dazu gehört beispielsweise, Sicherheitskategorien und Maßnahmen zu definieren, um den ordnungsgemäßen Betrieb von IKT-Systemen (Informations- und Kommunikationstechnologie) zu gewährleisten sowie einen Netzstrukturplan und eine Risikoeinschätzung zu erstellen.
Cybersecurity trifft Funktionale Sicherheit
Durch die zunehmende Vernetzung von Systemen und Komponenten erfahren bisweilen nicht nur Telekommunikations- und Elektronische Datenverarbeitungssysteme (Information Technology, IT) vermehrt Sicherheitsrisiken. Betroffen sind auch sogenannte Operative Technologien (Operational Technology, OT), also Hardware und Software zur Überwachung und Steuerung von Maschinen und Anlagen im Betrieb.
Darüber hinaus werden oftmals auch Sicherheitsfunktionen und -komponenten vernetzt, die für die Funktionale Sicherheit (Safety) relevant sind und dem Schutz von Menschen, Sachwerten und der Umwelt dienen. Ist die Cybersecurity bei diesen Funktionen und Komponenten unzureichend umgesetzt, öffnet dies neue Angriffsmöglichkeiten, die viele Safety-Konzepte bislang noch nicht berücksichtigen.
Bei konventionellen Risikobeurteilungen werden die IT-/OT-Security und die Funktionale Sicherheit getrennt voneinander betrachtet, sodass die Gefahren eines Cyberangriffs und die wechselseitigen Einflüsse nicht immer zuverlässig erkannt werden.
Erweiterte Risikoevaluation
Es gilt, die Anforderungen und Wechselwirkungen der klassischen und der digitalen Sicherheitsbetrachtungen zu identifizieren und miteinander zu verknüpfen. Das leistet eine Integrierte Risikobeurteilung (IRB), die aus dem Enhanced Risk Assessments (ERA) von TÜV Süd hervorgegangen ist. Das ERA ist ein Baukasten aus bewährten und weiterentwickelten Methoden, um die Wechselwirkungen von Cybersecurity und Safety zu analysieren.
Für die ermittelten Risikofälle suchen anschließend alle beteiligten Stellen innerhalb des Unternehmens gemeinsam und klar strukturiert nach einer geeigneten Lösung. Passende Schutzmaßnahmen können bereits einfache Safety-Maßnahmen sein. Zum Beispiel rein mechanische Komponenten oder Systeme zur Überwachung und Steuerung. Wichtig ist allerdings, stets den Gesamtkontext zu betrachten und zu vermeiden, dass eine Maßnahme neue Risiken für die Safety beziehungsweise Security mit sich bringt.
Der ERA-Ansatz ist individuell integrierbar und eignet sich deshalb sowohl für Unternehmen, die ihr vorhandenes Sicherheitskonzept erweitern möchten, als auch für solche, die noch am Anfang stehen. Viele Maßnahmen lassen sich betriebsbegleitend und zugleich ressourceneffizient umsetzen. Am Ende steht ein auf die jeweiligen Sicherheitsziele zugeschnittenes Konzept, mit dem kritische Infrastrukturen besser geschützt sind. Safety- und Security-Verantwortliche lernen ihre Anlage zudem von der jeweils anderen Perspektive kennen und entwickeln so oft ein erweitertes, gemeinsames Sicherheitsverständnis.
Bei Fernleitungsnetzbetreiber erfolgreich umgesetzt
Erstmals erfolgreich angewendet und implementiert wurde das Konzept an einer Gasdruckmess- und Regelanlage eines überregionalen Fernleitungsnetzbetreibers im europäischen Gastransportsystem: Ontras Gastransport mit Sitz in Leipzig betreibt rund 7.700 km Fernleitungsnetz, das über 450 Kupplungspunkte zählt. Der Betreiber verwendet Datenverarbeitungssysteme (Information Technology, IT) als auch dedizierte Hard- und Software (Operational Technology, OT), um sein Fernleitungsnetz zu steuern und zu überwachen.
Die Geschäftsführung von Ontras hatte frühzeitig erkannt, dass ein wirksames Sicherheitskonzept den fachlichen Austausch zwischen allen Beteiligten erfordert und diesen deshalb initiiert und vorangetrieben. Dabei wurden auch Sachverständige von TÜV Süd eingebunden, um in einem ersten Schritt die vorhandene Safety-Risikobeurteilung mit der bewährten Risikobeurteilung aus dem ISMS zusammenzuführen. Gemeinsam erörterten Ontras und TÜV Süd, was das ISMS bereits enthielt, wie das Safety-Risikomanagement aussah und an welcher Stelle das Zusammenspiel bereits optimal funktionierte.
Anschließend legten Expertenteams aller sicherheitsrelevanten Fachbereiche in Workshops Schutzziele und den Betrachtungsumfang fest. Im Rahmen einer Cyberrisikoanalyse ermittelten sie schließlich mögliche Gefährdungen und Schwachstellen, für die sie unter Hilfestellung von TÜV Süd passende Schutzmaßnahmen für bestimmbare Risiken eruierten. Mit der Anwendung des ERA-Ansatzes auf die Risikoanalyse der Gasdruckmess- und Regelanlage stellten die Experten sicher, dass aus den gewählten Maßnahmen keine neuen Risiken entstanden (Rückwirkungsfreiheit).
Die Wahl fiel dabei nicht nur auf digitale Lösungen aus dem IT/OT-Bereich. Es konnte nachgewiesen werden, dass auch Safety-Vorkehrungen wie mechanische Sicherheitskomponenten sich positiv auf das Sicherheitsniveau der digitalen Sicherheit auswirken.
Maßgeblich für eine erfolgreiche Implementierung ist der kontinuierliche fachliche Austausch zwischen den Safety- und Security-Verantwortlichen. Denn aus einer Änderung im System – etwa durch das Entfernen, Austauschen oder Hinzufügen von Komponenten – können neue Gefährdungen resultieren. Welche Risiken und Schnittstellen in den Blick zu nehmen sind, hielt Ontras in einer Dokumentation fest, die der ständigen Re-Evaluation des Schutzniveaus dient und auch in zukünftigen Projekten Berücksichtigung findet.
Fazit
Die Praxistauglichkeit der integrierten Risikobeurteilung nach dem ERA-Ansatz von TÜV Süd wurde im Pilotprojekt mit Ontras nachgewiesen. Betreiber kritischer Infrastrukturen und anderer Bereiche profitieren von einer maßgeschneiderten Analyse, mit der sie die Risiken für den Betrieb ihrer Anlagen präzise und zuverlässig bewerten. Das sorgt für einen Wettbewerbsvorteil und schafft Vertrauen bei den Mitarbeitern, den Kunden und der Gesellschaft.
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
Bedrohungen durch Cyberattacken
Mehr schädliche Skripte, Phishing und Spyware
Daten im Energiesektor
Dena empfiehlt Anreize für mehr digitalen…
Alarmstufe Gas
Solarbooster schützt vor Energiepreis-Explosion
Weiße Zertifikate gegen die Energiekrise
Dena empfiehlt verpflichtende Energieeinsparungen
Cybersecurity & Fachkräftemangel...
...sind die größten Herausforderungen bei der…
