RiLi-Industrielle IT

Diese Seite ist derzeit noch ein Entwurf. Weitere Informationen sowie Diskussionen über Änderungen an diesem Entwurf gibt es evtl. auf der Diskussion-Seite.

---

Mustervorlage: "Richtlinie für industrielle Steuerungs- und Automatisierungssysteme"

Richtlinie zum Schutz industrieller Steuerungs- und Automatisierungssysteme durch klare Sicherheitsrichtlinien für OT, SCADA, SPS & KRITIS-Anforderungen.

Einleitung

Diese Richtlinie definiert das grundlegende Regelwerk für die industriellen Steuerungs- und Automatisierungssysteme, die in unserer Organisation betrieben werden. Ziel ist es, einheitliche Sicherheitsstandards zu etablieren, die sowohl Informationstechnologie (IT) als auch Betriebstechnologie (OT) abdecken und so die Integrität, Verfügbarkeit und Vertraulichkeit unserer kritischen Systeme und Prozesse sicherstellen.

Eine klare Definition zentraler Begriffe, insbesondere der Unterscheidung zwischen IT und OT, stellt sicher, dass eine einheitliche Fachsprache verwendet wird. Während IT primär der Datenverarbeitung und -verwaltung dient, steht bei OT die direkte Steuerung und Überwachung physischer Prozesse im Vordergrund.

Geltungsbereich

Der Geltungsbereich umfasst alle Systeme, die zur Steuerung, Überwachung und Optimierung unserer industriellen Prozesse eingesetzt werden. Hierzu zählen unter anderem speicherprogrammierbare Steuerungen (SPS), SCADA- und DCS-Systeme sowie unterstützende IT-Komponenten.

Zielsetzung

Die Richtlinie richtet sich an technische Verantwortliche, IT-Sicherheitsbeauftragte sowie Führungskräfte innerhalb unserer Organisation. Sie dient als regulatorische Grundlage, aus der produktspezifische Maßnahmen abgeleitet werden können, und unterstützt uns dabei, unsere Sicherheitsstrategie in Einklang mit gesetzlichen Anforderungen – etwa im Kontext von KRITIS und NIS2 – zu bringen.

Diese Richtlinie bildet somit die Basis für ein strukturiertes Sicherheitsmanagement innerhalb unserer Organisation und schafft die Voraussetzungen für die kontinuierliche Verbesserung unserer Sicherheitsmaßnahmen. Sie unterstützt uns dabei, Risiken systematisch zu identifizieren, geeignete Maßnahmen zu implementieren und flexibel auf veränderte Bedrohungslagen zu reagieren

Gesetzliche Rahmenbedingungen

Dieses Kapitel stellt die für unsere Organisation maßgeblichen gesetzlichen und regulatorischen Vorgaben dar, die den Betrieb unserer industriellen Steuerungs- und Automatisierungssysteme beeinflussen. Die Einhaltung dieser Vorgaben ist eine zentrale Voraussetzung für den sicheren Betrieb unserer Systeme und bildet die Basis für unser Sicherheitskonzept.

Wir unterliegen insbesondere den Anforderungen folgender Regelwerke:

• KRITIS-Anforderungen: Als Betreiber kritischer Infrastrukturen sind wir verpflichtet, spezifische Sicherheitsmaßnahmen umzusetzen, die den Schutz vor Cyberangriffen und den reibungslosen Betrieb sicherstellen.
• NIS2-Richtlinie: Diese europäische Richtlinie verpflichtet uns zur Stärkung der Cybersicherheit, insbesondere in Bereichen, die für die öffentliche Versorgung und das Funktionieren der Gesellschaft essenziell sind.
• DSGVO und BDSG: Der Schutz personenbezogener Daten genießt höchste Priorität. Daher implementieren wir technische und organisatorische Maßnahmen, um die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten sicherzustellen.
• Branchenspezifische Normen und Standards: Neben den gesetzlichen Vorgaben orientieren wir uns an international anerkannten Normen wie der ISO/IEC 27001, die wesentliche Grundlagen für unser Informationssicherheits-Managementsystem (ISMS) liefert. (Anzupassen auf ggf. weitere branchenspezifische Normen und Standards).

Die kontinuierliche Überwachung und regelmäßige Überprüfung unserer Compliance gewährleisten, dass unsere Maßnahmen stets den aktuellen gesetzlichen Anforderungen entsprechen und zeitnah an neue Bedrohungen angepasst werden.

Verantwortliche

Dieses Kapitel definiert die Rollen und Zuständigkeiten innerhalb unserer Organisation, die für die Umsetzung, Überwachung und kontinuierliche Verbesserung der Sicherheitsmaßnahmen im Bereich der industriellen Steuerungs- und Automatisierungssysteme verantwortlich sind.

Die strategische Verantwortung liegt bei der Geschäftsführung, die die erforderlichen Ressourcen bereitstellt und die Sicherheitsstrategie festlegt. Technisch operativ sind folgende Verantwortliche benannt:

• IT-Sicherheitsbeauftragte: Sie koordinieren die Umsetzung der IT-Sicherheitsmaßnahmen, führen Risikoanalysen durch und sorgen für die Einhaltung der gesetzlichen Vorgaben.
• OT-Verantwortliche: Zuständig für die Sicherheit der Betriebstechnologie, überwachen sie die spezifischen Anforderungen und implementieren Maßnahmen, die den sicheren Betrieb der industriellen Steuerungssysteme garantieren.
• Abteilungsleiter und Fachverantwortliche: Jede betroffene Abteilung ist dafür verantwortlich, Sicherheitsvorfälle zeitnah zu melden und an der kontinuierlichen Verbesserung der Sicherheitsprozesse mitzuwirken.

Zur Sicherstellung einer reibungslosen Zusammenarbeit werden klare Kommunikationswege und regelmäßige Abstimmungen zwischen den Verantwortlichen etabliert. Die Dokumentation und regelmäßige Überprüfung der Zuständigkeiten gewährleisten, dass unsere Organisation flexibel auf Änderungen in der Organisationsstruktur oder bei gesetzlichen Anforderungen reagieren kann.

Schlussbemerkung

Behandlung von Ausnahmen

Ausnahmen von den Regelungen dieser Richtlinie sind nur mit einem begründeten Ausnahmeantrag im Rahmen des Ausnahmemanagements möglich.

Revision

Diese Richtlinie wird regelmäßig, jedoch mindestens einmal pro Jahr, durch den Regelungsverantwortlichen auf Aktualität und Konformität geprüft und bei Bedarf angepasst.

Inkrafttreten

Diese Richtlinie tritt zum 01.01.2222 in Kraft.

Freigegeben durch: Organisationsleitung

Ort, 01.12.2220,

Unterschrift, Name der Leitung