Technische Mitteilung: Cyber Security

Die Bedeutung von Cybersicherheit in Sicherheitsberichten hat in den letzten Jahren stark zugenommen. Es gehört zu den Grundpflichten der Störfall-Verordnung (StörfallV), Eingriffe Unbefugter als Gefahrenquelle zu berücksichtigen (§ 3 Abs. 2 Nr. 3 der StörfallV). Somit sind Betreiber, die unter den Geltungsbereich der StörfallV fallen, verpflichtet, potenzielle Cyberrisiken systematisch zu bewerten und ihre Schutzmaßnahmen in den Berichten zu dokumentieren. Ziel dieser Anforderungen ist es, den störungsfreien Betrieb zu gewährleisten und gleichzeitig rechtlichen Verpflichtungen nachzukommen.

Die Betriebssicherheitsverordnung (BetrSichV) verlangt in § 3 eine umfassende Gefährdungsbeurteilung, die physische und digitale Risiken gleichermaßen berücksichtigt. Dabei sind insbesondere vernetzte Anlagen im Fokus, da Störungen und Manipulationen gravierende Folgen für die Betriebssicherheit haben können. Ergänzend dazu setzen das IT-Sicherheitsgesetz 2.0 und die NIS-2-Richtlinie strengere Anforderungen um, darunter der Nachweis widerstandsfähiger Schutzmechanismen und die Einhaltung strenger Meldepflichten bei Cybervorfällen.

Mit dem European Cyber Resilience Act werden Betreiber zusätzlich dazu verpflichtet, Cybersicherheitsvorkehrungen bereits während der Planung neuer Anlagen zu berücksichtigen und bestehende Sicherheitsberichte regelmäßig zu aktualisieren. Verstöße gegen diese Vorgaben können rechtliche und finanzielle Konsequenzen nach sich ziehen, weshalb eine lückenlose Dokumentation unerlässlich ist.

Standards und gesetzliche Vorgaben

Zur Unterstützung der Cybersicherheitsmaßnahmen bieten international etablierte Normen wie ISO/IEC 27001 und IEC 62443 klare Rahmenwerke. Sie helfen, die Maßnahmen gezielt zu strukturieren und dokumentieren, um den Anforderungen der BetrSichV und anderer Gesetze gerecht zu werden. Der BSI IT-Grundschutz ergänzt diese Standards und erleichtert die Umsetzung in der Praxis. Allerdings ist es ratsam, über eine reine Zertifizierung hinauszugehen und die Maßnahmen speziell auf OT-Systeme anzupassen.

Leistungen der weyer gruppe

Die weyer gruppe bietet umfassende Unterstützung bei der Einhaltung gesetzlicher Anforderungen zur Cybersicherheit. Unsere Dienstleistungen umfassen:

• Gefährdungsbeurteilungen und Risikoanalysen, abgestimmt auf die individuellen Anlagenanforderungen.
• Unterstützung bei der detaillierten Dokumentation der Schutzmaßnahmen sowie der Nachweisführung gegenüber Behörden.
• Regelmäßige Sicherheitsprüfungen wie Penetrationstests und Schwachstellenanalysen zur Überprüfung der Maßnahmen.
• Entwicklung technischer und organisatorischer Maßnahmen (TOMs), darunter Netzwerksegmentierung, Überwachungsmechanismen und Mitarbeiterschulungen.