Reifegrad · Sicherheit kritischer und industrieller Infrastrukturen

Die Sicherheit kritischer und industrieller Infrastrukturen erschöpft sich nicht in der Cybersicherheit von Automatisierungsnetzen. Sie umfasst die Trennung zwischen IT und industriellen Steuerungssystemen, die Kontrolle von Fernwartungszugängen, die Bestandsaufnahme von Steuerungen und Kontrollgeräten, die physische Sicherheit technischer Räume, die Erkennung von Ereignissen in OT-Netzwerken, die Betriebskontinuität und den Wiederanlauf sowie schließlich die Steuerung der Dienstleister, die an den Anlagen tätig werden. IEC 62443 strukturiert den Bereich der Steuerungssysteme, NIS2 und die Richtlinie zur Resilienz kritischer Einrichtungen ergänzen dies um Governance- und Meldepflichten.

In der Praxis stößt die Steuerung an die Realität der Standorte. Die Anlagen weisen unterschiedliche Gerätegenerationen auf, Lebensdauern von zwanzig Jahren oder mehr und seltene Stillstandsfenster. Drei Fragen blieben in den meisten Industriekonzernen ohne dokumentierte Antwort. Wer führt den aktuellen Bestand der Steuerungen, Frequenzumrichter und Leitwarten, und in welchem Rhythmus wird er aktualisiert? Wie werden Fernwartungszugänge von Integratoren eingerichtet, protokolliert und wieder geschlossen? Was geschieht konkret, wenn eine Leitwarte mitten in einer Produktionskampagne ausfällt?

Eine häufige Verwechslung sollte aufgeklärt werden: industrielle Sicherheit und funktionale Sicherheit sind nicht deckungsgleich. Die funktionale Sicherheit schützt Menschen und Umwelt vor einem Anlagenversagen, mit eigenen Anforderungen an Sicherheitsstufen. Die Sicherheit im Sinne dieses Referenzrahmens schützt die Anlage vor vorsätzlichen Handlungen oder externen Ereignissen. Beide stehen im Austausch, insbesondere wenn eine Cybersicherheitsmaßnahme eine sicherheitsgerichtete Funktion betrifft, doch sie haben weder dieselben Akteure noch dieselben Nachweise. Viele Organisationen behandeln sie in einem gemeinsamen Ausschuss, ohne die Entscheidungen zu trennen.

Ein Konformitätsaudit endet mit einer binären Feststellung: die Anforderung ist erfüllt oder nicht. Die Reifegradanalyse beantwortet eine andere Frage. Auf welchem Beherrschungsniveau befindet sich jeder Standort, wie groß ist die Streuung zwischen den Business Units, und welche konkrete Maßnahme hebt eine Praxis vom dokumentierten auf das angewendete Niveau. Der Score je Themenfeld und das Ziel erzeugen die Abweichung, die Abweichung erzeugt den Maßnahmenplan, und die KI bündelt diese Maßnahmen zu einer priorisierten Roadmap, die auch zur Vorbereitung eines regulatorischen Audits wiederverwendbar ist.

Der Referenzrahmen ist in Datamensio einsatzbereit und bleibt anpassbar. Sie passen die Themenfelder an Ihre Branchen an, kontinuierliche Prozesse, Fertigung oder Netze, und die KI verfeinert Fragen und Niveaus nach der CMMI-Methode. Sie kann auch eine Ableitung aus Ihren eigenen Dokumenten erstellen: Sicherheitsrichtlinie für industrielle Anlagen, Zonen- und Leitungspläne, Lastenhefte für Integrationsprojekte.