Was die Pflicht zur proaktiven Cyber-Sicherheit für Anlagen bedeutet
Laut den Experten der Zugelassenen Überwachungsstellen (ZÜS) bei DEKRA müssen Betreiber von Anlagen, die einer Überwachung bedürfen, zukünftig proaktiv Cyberangriffe auf ihre Systeme verhindern. Dies geht aus den aktualisierten Vorschriften der Betriebssicherheitsverordnung (BetrSichV) hervor, die nun Sicherheitslücken in Software sowie Mess-, Steuer- und Regeltechnik (MSR) als Teil des Prüfumfangs der ZÜS anerkennen.
Mit der zunehmenden Verwendung von IT-basierten Technologien und der steigenden Vernetzung von Automatisierungssystemen können sicherheitsrelevante MSR-Einrichtungen ein Ziel von Manipulationen werden und somit anfällig für Angriffe auf die Cyber-Sicherheit sein. Ein Beispiel hierfür wäre die Möglichkeit, einen Aufzug durch Softwaremanipulation zu stoppen oder Geschwindigkeit und Fahrtrichtung zu ändern. Jeder Betreiber ist daher gemäß der aktuellen Betriebssicherheitsverordnung verpflichtet, im Rahmen einer Gefährdungsbeurteilung potenzielle Cyber-Bedrohungen zu identifizieren.
Falls potenzielle Cyber-Attacken oder Software-Defizite an Anlagen eine Gefahr für Personen darstellen, muss der Betreiber entsprechende Maßnahmen ergreifen, die auf seiner Gefährdungsbeurteilung basieren. Zukünftig soll die Zugelassene Überwachungsstelle dies im Rahmen der Prüfungen gemäß BetrSichV berücksichtigen müssen. Dies betrifft alle Arten von Prüfungen, einschließlich solcher vor der Inbetriebnahme, wiederkehrende Prüfungen, oder prüfpflichtige Änderungen bei allen überwachungsbedürftigen Anlagen.
In Zukunft soll der ZÜS-Sachverständige im Rahmen der Prüfung speziell darauf achten, ob der Betreiber bei seiner Gefährdungsbeurteilung mögliche Gefährdungen durch Cyber-Bedrohungen erkannt und bewertet hat. Sollte der Betreiber keine entsprechende Gefährdungsbeurteilung durchgeführt haben, wird dies als Mangel gewertet.
Bei Aufzügen, Druck- und Ex-Anlagen wird auch geprüft, ob die installierte cyberkritische Software mit den Angaben in den technischen Unterlagen übereinstimmt, erklären die DEKRA-Experten. Der Prüfsachverständige wird nun bei jeder Prüfung die aktuellen Softwarestände aufzeichnen. Der Betreiber ist dafür verantwortlich, sicherheitsrelevante Änderungen an Soft- und Hardware der ZÜS mitzuteilen.
www.dekra.de/de/zues-druckgeraetepruefungen/
In Zukunft soll der ZÜS-Sachverständige im Rahmen der Prüfung speziell darauf achten, ob der Betreiber bei seiner Gefährdungsbeurteilung mögliche Gefährdungen durch Cyber-Bedrohungen erkannt und bewertet hat. (Bild: DEKRA)
