Mit der NIS2-Richtlinie rückt die Sicherheit industrieller Anlagen stärker in den Fokus. Doch OT-Umgebungen stellen andere Anforderungen als klassische IT-Systeme. Dr. Diego Steger, Principal Consultant für Digital Manufacturing und Industrial Security bei der adesso SE, erläutert in diesem Beitrag, wie Unternehmen NIS2-Anforderungen in der Produktion praxisnah und nachhaltig umsetzen können.
Die NIS2-Richtlinie verfolgt das Ziel, Netz- und Informationssysteme sowie deren physische Umgebung vor Sicherheitsvorfällen zu schützen. Sie betrifft sämtliche Ebenen des Purdue-Modells – von der Enterprise-IT bis zur Feldebene.
Artikel 21 der NIS2-Richtlinie fordert ein risikobasiertes Sicherheitsmanagement mit Maßnahmen wie Risikoanalyse, Incident-Handling, Backup- und Wiederanlaufkonzepten, Lieferkettenmanagement, Schulungen sowie sicheren Zugriffs- und Kommunikationslösungen. Dabei gilt es den Stand der Technik, relevante Normen sowie Aufwand und Kosten im Verhältnis zum Risiko zu berücksichtigen.
Während NIS2 in der klassischen IT bereits durch Registrierungs-, Melde- und Compliance-Prozesse umgesetzt wird, übertragen viele Unternehmen die Anforderungen noch nicht vollständig auf die Operational Technology (OT). Dieser Beitrag zeigt, wie Unternehmen NIS2 gezielt in der OT umsetzen können.
Warum klassische IT-Konzepte nicht ausreichen
IT und OT verfolgen unterschiedliche Schutzziele. Während in der IT die CIA-Triade – Confidentiality (Vertraulichkeit), Integrity (Integrität) und Availability (Verfügbarkeit) – dominiert, steht in der OT die Verfügbarkeit an erster Stelle (AIC). Produktionsausfälle können unmittelbar zu Anlagenstillständen, Qualitätsproblemen oder Sicherheitsrisiken führen. Zudem unterscheiden sich OT-Umgebungen grundlegend von klassischer IT: lange Lebenszyklen, Echtzeitanforderungen, proprietäre Protokolle und eingeschränkte Wartungsfenster erschweren typische IT-Maßnahmen wie automatisiertes Patchmanagement, Antivirusmaßnahmen oder Neustarts. OT benötigt eigene Sicherheitsansätze, die Verfügbarkeit, Betriebssicherheit und Echtzeitfähigkeit in den Mittelpunkt stellen.
IEC 62443 als Goldstandard der OT-Sicherheit
IEC 62443 ist eine internationale Normenreihe, die Anforderungen an die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS) definiert. Die IEC 62443-2-1 adressiert den organisatorischen Teil und definiert den Aufbau eines Cybersecurity Management Systems (CSMS) für industrielle Umgebungen mit klaren Rollen, Prozessen und Governance-Strukturen für IT und OT. Entscheidend ist die enge Zusammenarbeit zwischen IT, OT, Produktion und Management.
Die IEC 62443-3-2 beschreibt den risikobasierten Ansatz zur Identifikation, Bewertung und Behandlung von Risiken in industriellen Automatisierungs- und Steuerungssystemen. So lassen sich Sicherheitsmaßnahmen gezielt an Kritikalität und Schutzbedarf ausrichten. Grundlage dafür ist ein vollständiges Asset- und Kommunikationsinventar der OT.
Die IEC 62443-3-3 definiert die technologischen Anforderungen für industrielle Systeme und Netzwerke: segmentierte Architekturen, sichere Zugriffe, Systemhärtung und Monitoring entlang des Produktionsnetzwerks. Ziel ist ein mehrschichtiges Sicherheitskonzept nach dem Prinzip „Defense in Depth“ mit klar getrennten Zonen und kontrollierten Kommunikationspfaden (Conduits).
Industrial Security in der Praxis – von Transparenz bis Recovery
Industrial Security gelingt nicht durch Einzelmaßnahmen, sondern durch einen strukturierten und kontinuierlichen Sicherheitsprozess. Ausgangspunkt sind Governance, Richtlinien und Cybersecurity-Assessments. Darauf aufbauend schaffen Asset-Management und Risikoanalysen Transparenz über kritische Systeme und Schwachstellen. Es folgen technische Schutzmaßnahmen – von Netzwerksegmentierung über Systemhärtung bis zu Backup & Recovery – ergänzt durch Prozesse zur Erkennung und Behandlung von Sicherheitsvorfällen.
Quelle: adesso SEWerden die NIS2-Anforderungen aus Artikel 21 auf das „House of OT-Security“ abgebildet, wird deutlich, dass NIS2 einen ganzheitlichen Sicherheitsansatz über Organisation, Risiko-Management, Technologie und operative Prozesse hinweg fordert. Themen wie OT-Asset-Management, Backup & Recovery, Identity & Access Management, Patch- und Schwachstellenmanagement, Monitoring sowie Incident Response werden damit zu zentralen Bausteinen einer sicheren Produktionsumgebung. Während sich Asset-Management in der IT häufig auf Server, Clients und Software konzentriert, umfasst OT-Asset-Management zusätzlich Steuerungen, Human Machine Interfaces (HMI), Industrie-PCs, Feldgeräte sowie deren Kommunikationsbeziehungen und Firmware-Stände. Auch Backup & Recovery folgt anderen Anforderungen: Neben Daten müssen Steuerungsprogramme, Maschinenkonfigurationen und produktionskritische Systeme schnell und konsistent wiederhergestellt werden, ohne Produktionsprozesse zu gefährden.
Industrial Security endet nicht im Rechenzentrum
NIS2 macht deutlich, dass Cybersicherheit nicht an der klassischen IT endet. Produktionsanlagen, Steuerungen und industrielle Netzwerke werden Teil der regulatorischen Sicherheitsanforderungen und benötigen eigene organisatorische, technische und prozessuale Schutzkonzepte. Die IEC 62443 bietet hierfür einen etablierten Rahmen zur Umsetzung von OT-Security.
Dr. Diego Steger ist Principal Consultant für Digital Manufacturing und Industrial Security bei der Adesso SE. Er unterstützt Unternehmen beim Aufbau moderner MOM-Architekturen, der IT/OT-Integration und der Strategieentwicklung für cloudnative Produktionssysteme.
Quelle: adesso SEHier finden Sie weitere Informationen zu Adesso SE.