OT Security
Informations- sicherheit / OT / Datenschutz
Sicherheit in der Operational Technology (OT) nach ISO 27001, BSI 200-1, BSI 200-2, BSI 200-3 und Trusted Information Security Assessment eXchange TISAX und IEC 62443
Immer mehr wird der Umgang mit Informationen und der Einsatz der Informationstechnologie zum Risiko für das Unternehmen. Hacker, Vieren und der einfache Absturz des Rechners bringen Unternehmen an den Rand des Bankrotts. Neudeutsch wird hier von Cyber-Security gesprochen - das betrifft auch die OT.
OT bezeichnet Hardware und Software, die physische Prozesse überwachen und steuern – im Gegensatz zur klassischen IT, die Daten verarbeitet.
Typische OT-Systeme:
- SCADA (Supervisory Control and Data Acquisition)
- ICS (Industrial Control Systems)
- PLC (Speicherprogrammierbare Steuerungen / SPS)
- DCS (Distributed Control Systems)
Einsatzbereiche:
- Energieversorgung (Kraftwerke, Stromnetze)
- Wasserversorgung
- Produktion / Fabriken
- Öl- und Gaspipelines
- Verkehrsinfrastruktur
Besondere Herausforderungen
- Viele OT-Systeme wurden ohne Sicherheit entworfen (Isolation als Schutz)
- Zunehmende Vernetzung mit IT (Industrie 4.0) erhöht die Angriffsfläche
- Patches sind oft nicht möglich ohne Produktionsstopp
- Angriffe können physische Schäden oder Menschenleben gefährden (z. B. Stuxnet)
IEC 62443
- Der zentrale internationale Standard für OT/ICS-Sicherheit
- Deckt den gesamten Lebenszyklus ab
- Richtet sich an Betreiber, Integratoren und Hersteller
- Unterteilt in mehrere Teile (Serie)
IEC 62443 – Struktur
- 62443-1-xAllgemeine Konzepte & Terminologie
- 62443-2-xRichtlinien & Prozesse (für Betreiber)
- 62443-3-xSystemanforderungen
- 62443-4-xKomponentenanforderungen (für Hersteller)
Weitere relevante Standards
NIST SP 800-82 NIST (USA) ICS-Sicherheitsleitfaden
NERC CIP NERC Energiesektor (Stromnetze)
ISO 27001 ISOAllgemeines ISMS (auch auf OT anwendbar)
BSI ICS-Kompendium BSI (Deutschland)Praxisleitfaden für deutsche Betreiber
TISAX Erweiterte Anforderungen für Produktionsunternehmen
CADIS Erweiterte Anforderungen für Produktionsunternehmen
In Deutschland besonders relevant
- BSI-Grundschutz mit OT-Bausteinen
- KRITIS-Verordnung (für kritische Infrastrukturen verpflichtend)
- NIS2-Richtlinie (EU) – seit 2024 verschärfte Anforderungen
OT/ICS ist Prüfungsbestandteil von ISO27001, TISAX und CADIS und wird über NIS-2 gefordert.
CONSUVATION hat Korrelation-Matrizen zu den Standards entwickelt und kann bei bestehenden ISMS ihnen pragmatische Lösungen anbieten.
Wir haben Lösungen und können Ihnen helfen.
Wir bieten Ihnen eine kompetente Sicherheitsberatung im Bereich der allgemein anerkannten IT-Sicherheitsstandards und Prüfungsmodelle an:
- BSI Grundschutz (Bundesamt für Sicherheit) BSI 200-1 BSI 200-2 BSI 200-3 BSI 200-4
- ISO27000ff (auch als Ergänzung zur ISO 9000 Zertifizierung)
- COBIT nach dem weltweit anerkanntem ISACA Standard der DV-Revision
- MARION - Erstellung von Risikoanalysen nach dem französischen Standard MARION
- ITSEC - Überprüfung der HW/SW nach den Kriterien von ITS und den Common Criteria (ISO 15408)
- NIST - Anwendung des US Standards für IT-Sicherheit und der Weiterentwicklung durch Kanada
- Trusted Information Security Assessment eXchange (TISAX)
- CADIS
Im Bereich der Sicherheitssysteme überprüfen wir Software nach unterschiedlichen Standards, zum Beispiel nach IEC 61508 und anderen.
CONSUVATION hat ein Prozessmodell für die IT Sicherheitsprozesse (ISO27001, CADIS, TISAX und IEC 62443 ISMS Prozessmodell) erstellt und eine spezielle Softwarelösung mit deren Hilfe wir in der Lage sind, IT Sicherheit mittels von über 4.000 Kontrollpunkten zu messen und zu bewerten. Somit werden ein aktives Rating und Benchmarking möglich.
Ebenfalls bieten wir Software an, die Sie bei dem Aufbau Ihrer Sicherheitsdokumentation für OT unterstützt.
Wir unterstützen Sie auch bei der Vorbereitung zum internen Audit Ihres Wirtschaftsprüfers nach IDW, Sarbanes Oxley Act (SOA oder SOX), SSAE 16 und im Rahmen des KonTraG bzw. Risikomanagement und BASEL III. Wir arbeiten auch für Wirtschaftsprüfer im Bereich IT Revision und wenden den IDW PS 330 an.