Fortschreibung des Sicherheitsberichts: Warum Cyber Security heute unverzichtbar ist

Die Fortschreibung von Sicherheitsberichten ist für Betreiber von Anlagen, die unter die Störfallverordnung fallen, eine regelmäßig wiederkehrende Anforderung. Sie dient nicht nur der Einhaltung gesetzlicher Vorgaben, sondern auch dem Schutz von Menschen, Umwelt und Sachwerten. In den letzten Jahren hat sich ein neuer Risikofaktor etabliert, der in diesen Berichten häufig noch nicht ausreichend berücksichtigt wird: Cyber Security.

Anlagen, in denen mit gefährlichen Stoffen umgegangen wird, unterliegen strengen Vorschriften zur Risikovorsorge und Notfallplanung. Der Sicherheitsbericht dokumentiert systematisch, welche Maßnahmen getroffen wurden, um die Risiken von Störfällen zu minimieren. Neben technischen Sicherheitsmaßnahmen müssen auch organisatorische und betriebliche Aspekte regelmäßig überprüft und aktualisiert werden.

Dazu gehören:

• Analyse und Bewertung sicherheitsrelevanter Stoffe und Prozesse
• Identifikation von Gefahrenquellen und möglichen Störfallszenarien
• Maßnahmen zur Verhinderung und Begrenzung von Störfallauswirkungen
• Berücksichtigung von Umwelt-, Natur- und Verkehrsrisiken
• Regelmäßige Überprüfung der Sicherheitsmaßnahmen durch behördliche Auflagen

Bisher standen dabei physische Gefahren im Vordergrund – etwa Leckagen, Explosionen oder Brände. Doch mit der zunehmenden Digitalisierung von Produktionsprozessen und Automatisierungssystemen rückt ein weiteres Risiko in den Fokus: Cyberangriffe.

In industriellen Betrieben sind IT- und OT-Systeme heute enger miteinander verknüpft als je zuvor. Produktionsanlagen sind über Netzwerke angebunden, Steuerungssysteme werden aus der Ferne gewartet, und kritische Prozesse basieren auf datengetriebenen Entscheidungen. Diese Entwicklungen bieten Effizienzvorteile, machen Anlagen aber auch anfälliger für Angriffe von außen.

Cyberangriffe auf industrielle Steuerungssysteme (ICS) können schwerwiegende Konsequenzen haben:

• Manipulation von Prozesssteuerungen kann Störfälle auslösen
• Sabotage kann zu Betriebsunterbrechungen und Produktionsausfällen führen
• Datenverluste können Sicherheitsanalysen und Notfallmaßnahmen beeinträchtigen
• Ransomware kann den Zugang zu kritischen Systemen blockieren
• Unbefugte Eingriffe können die Sicherheit von Mitarbeitern gefährden

Angesichts dieser Bedrohungen fordert die 12. BImSchV in §3 explizit die Berücksichtigung der IT-Sicherheit in Sicherheitsberichten. Auch das LANUV in NRW gibt Orientierungspapiere heraus, die beschreiben, wie IT- und OT-Sicherheitsaspekte in die Fortschreibung von Sicherheitsberichten integriert werden sollen.

Die weyer gruppe bietet Betreibern von Anlagen umfassende Unterstützung bei der Fortschreibung des Sicherheitsberichts – unter Berücksichtigung sowohl der klassischen Anforderungen als auch der Cyber Security-Themen.

Unsere Leistungen umfassen:

• Überprüfung und Anpassung der Standortbeschreibung
• Überprüfung des Stoffkatasters und sicherheitsrelevanter Bereiche
• Analyse der Anlagentechnik inklusive elektrischer Versorgung, Prozessleittechnik und Schutzsysteme
• Ermittlung und Bewertung von Störfallrisiken
• Begrenzung von Störfallauswirkungen und Optimierung der Notfallplanung
• Integration von Cyber Security-Risikoanalysen und Schutzmaßnahmen

Mit der zunehmenden Verflechtung von IT- und OT-Systemen muss Cyber Security als fester Bestandteil des Sicherheitsberichts etabliert werden. Wir unterstützen Betreiber bei der Umsetzung folgender Maßnahmen:

• Analyse der Netzwerkarchitektur und Segmentierung zur Minimierung der Angriffsfläche
• Erstellung einer Asset- und Risikoanalyse für alle IT- und OT-Komponenten
• Bewertung von Zugriffskontrollen und Berechtigungsmanagement
• Integration sicherer Fernwartungskonzepte für Steuerungssysteme
• Durchführung von Penetrationstests und Schwachstellenanalysen
• Entwicklung von Notfall- und Wiederherstellungskonzepten für IT/OT-Systeme

Für eine vollständige Fortschreibung des Sicherheitsberichts sind aktuelle Informationen seitens des Betreibers erforderlich. Dazu gehören:

Allgemeine sicherheitsrelevante Unterlagen:

• Änderungen des Sicherheitsmanagementsystems
• Aktualisierte Standort- und Prozessbeschreibungen
• Stoffkataster mit Mengenangaben und Gefahrenhinweisen
• HAZOP-Analysen und Bewertungen sicherheitstechnischer Anlagenteile
• Brandschutzgutachten, Explosionsschutzkonzepte und Umweltauflagen
• Dokumentation von Maßnahmen zur Verhinderung von Störfällen
• Ausbreitungsrechnungen

Cyber Security-relevante Unterlagen gemäß KAS-51 und TRBS 1115-1:

• Netzwerkpläne und Segmentierungskonzepte
• Asset-Listen für IT- und OT-Systeme
• Dokumentation der Zugriffsrechte und Benutzerverwaltung
• Übersicht der eingesetzten Fernwartungslösungen
• Risikoanalysen nach branchenspezifische Normen wie z.B.: IEC 62443 oder ISO 27001
• Notfall- und Wiederherstellungskonzepte für IT- und OT-Systeme
• Dokumentation der technischen Sicherheitsmaßnahmen
• Berichte zu früheren IT-/OT-Sicherheitsvorfällen
• Schulungsnachweise für Mitarbeiter im Bereich IT-/OT-Security

Als Experten für Anlagensicherheit und Cyber Security begleiten wir Betreiber von der ersten Analyse bis zur behördengerechten Dokumentation. Unser interdisziplinäres Team aus Ingenieuren, Sicherheitsfachkräften und Cyber Security-Spezialisten gewährleistet, dass alle Anforderungen an den Sicherheitsbericht – sowohl nach Störfallverordnung als auch im Bereich IT- und OT-Sicherheit – erfüllt werden.

Unsere Dienstleistungen umfassen:

• Fortschreibung bestehender Sicherheitsberichte
• Erstellung von Cyber Security-Risikoanalysen für industrielle Anlagen
• Integration von Sicherheitsmaßnahmen gemäß KAS-51 und TRBS 1115-1
• Schulungen und Awareness-Programme für IT- und OT-Sicherheit
• Unterstützung bei der behördlichen Kommunikation und Audit-Vorbereitung

Die Fortschreibung des Sicherheitsberichts ist nicht nur eine regulatorische Pflicht, sondern ein entscheidender Faktor für die Betriebssicherheit. Durch die Integration von Cyber Security-Aspekten lassen sich neue Bedrohungen gezielt identifizieren und abwehren.

Betreiber sollten daher frühzeitig Maßnahmen ergreifen, um ihre Anlagen sowohl physisch als auch digital abzusichern. Mit der weyer gruppe haben Sie einen erfahrenen Partner an Ihrer Seite, der Sie sowohl in klassischen Sicherheitsfragen als auch im Bereich IT- und OT-Sicherheit umfassend unterstützt.

Kontaktieren Sie uns für eine individuelle Beratung zur Fortschreibung Ihres Sicherheitsberichts.