NIS2 in der Branche Chemie

In der Chemie trifft NIS2 auf eine Branche mit ausgeprägter Sicherheitskultur — allerdings einer, die auf Anlagensicherheit ausgerichtet ist, nicht auf Informationssicherheit. Genau in dieser Lücke liegt die Arbeit.

Sind Sie betroffen?

Anlage 2 nennt Herstellung, Produktion und Handel mit chemischen Stoffen. Erfasst sind damit auch Chemiehändler und Distributoren, nicht nur produzierende Betriebe. Ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz und Bilanzsumme sind Sie wichtige Einrichtung.

Safety und Security sind nicht dasselbe

Chemiebetriebe haben durch die Störfall-Verordnung etablierte Prozesse für Gefahrenabwehr und Notfallmanagement. Das hilft — die Struktur aus Gefährdungsbeurteilung, Maßnahmen und Übungen lässt sich auf die IT übertragen.

Es ersetzt aber nichts: Die Störfall-Verordnung betrachtet die physische Anlagensicherheit, NIS2 die Sicherheit der Informationssysteme. Ein Sicherheitsleitsystem (SIS), das funktional korrekt arbeitet, ist nicht automatisch gegen Manipulation seiner Parametrierung geschützt.

Der praktische Gewinn liegt in der Verzahnung: Das bestehende Krisenmanagement nach Störfall-Recht sollte den Cybervorfall als Auslöser mit aufnehmen, statt daneben einen zweiten Prozess zu etablieren.

Die Lücken, die hier typisch sind

Prozessleitsysteme über Jahrzehnte gewachsen. DCS- und SPS-Landschaften laufen über sehr lange Zeiträume mit Komponenten, für die es keine Updates mehr gibt. Der Weg führt über Segmentierung und dokumentierte kompensierende Maßnahmen.

Sicherheitsleitsysteme in der Risikoanalyse. SIS werden bei IT-Risikoanalysen häufig ausgeklammert, weil sie als Safety-Thema gelten. Ihre Parametrierung und Wartungszugänge gehören trotzdem in den Betrachtungsumfang.

Fernwartung durch Anlagenbauer. Wie in der übrigen Prozessindustrie ein dauerhafter Zugang mit hohem Rechteumfang und oft ohne Multi-Faktor-Authentifizierung.

Rezepturen und Verfahrensdaten. Der eigentliche Unternehmenswert liegt in Rezepturen und Verfahrensparametern — ein Fall für Zugriffskontrolle und Verschlüsselung, nicht nur für Geheimhaltungsvereinbarungen.

Kontinuierliche Prozesse ohne Stopp-Option. Anders als in der Stückfertigung lässt sich ein kontinuierlicher Prozess nicht folgenlos anhalten. Notfallpläne müssen die Frage beantworten, wie bei IT-Ausfall kontrolliert gefahren oder heruntergefahren wird.

Ein realistisches Szenario

Ein Spezialchemie-Hersteller mit 300 Beschäftigten verliert durch einen Angriff die Verfügbarkeit des Prozessleitsystems. Die Anlage läuft, aber die Bediener sehen keine aktuellen Werte mehr.

Das ist ein erheblicher Sicherheitsvorfall nach § 32 BSIG mit 24-Stunden-Frühwarnung — und gleichzeitig eine Situation, in der die Entscheidung über kontrolliertes Herunterfahren binnen Minuten fallen muss. Ohne vorher festgelegte Kriterien und Zuständigkeiten treffen zwei Prozesse unkoordiniert aufeinander: Störfallmanagement und IT-Incident-Response.

Womit anfangen

Verzahnen Sie die vorhandenen Strukturen, statt parallele aufzubauen: Cybervorfall als Auslöser im bestehenden Krisenmanagement, IT-Risiken in der etablierten Gefährdungsbeurteilungs-Systematik. Die Gap-Analyse zeigt, welche der zehn Maßnahmenbereiche dadurch bereits abgedeckt sind.

Die zehn Maßnahmenbereiche in der Chemie

Risikoanalyse. Prozessleitsystem, Sicherheitsleitsystem, Laborinformationssysteme und die Fernwartungszugänge der Anlagenbauer gehören in den Betrachtungsumfang. Die Systematik der Gefährdungsbeurteilung lässt sich übertragen.

Bewältigung von Sicherheitsvorfällen. Der Cybervorfall gehört als Auslöser in das bestehende Krisenmanagement nach Störfall-Recht, nicht in einen zweiten, parallelen Prozess. Entscheidungskriterien für kontrolliertes Herunterfahren müssen vorab festliegen.

Aufrechterhaltung des Betriebs. Bei kontinuierlichen Prozessen ist die zentrale Frage nicht der Wiederanlauf, sondern das kontrollierte Fahren ohne Leitsystem. Definieren Sie, wie lange und mit welchen Mitteln das möglich ist.

Sicherheit der Lieferkette. Anlagenbauer und Leitsystemhersteller mit Fernzugängen sind die kritischen Lieferanten. Vorhandene Lieferantenaudits lassen sich um IT-Sicherheitsfragen erweitern.

Beschaffung und Wartung. Bei Lebenszyklen von Jahrzehnten entscheidet das Lastenheft über die Sicherheitslage der nächsten 20 Jahre. Fordern Sie Patchfähigkeit, Protokollierung und definierte Fernwartungswege.

Wirksamkeitsprüfung. Verzahnen Sie die Prüfung mit den ohnehin stattfindenden Anlagenprüfungen und Audits.

Cyberhygiene und Schulungen. Für Anlagenfahrer und Instandhaltung sind Inhalte zu Wechseldatenträgern, Servicetechnikern und dem Meldeweg bei auffälligem Anlagenverhalten relevanter als klassische Büro-Themen.

Kryptografie. Priorität haben Rezepturen, Verfahrensparameter und der Datenaustausch in Entwicklungskooperationen.

Personalsicherheit und Zugriffskontrolle. Zugriff auf Rezepturen und Parametrierung des Sicherheitsleitsystems gehören zu den am strengsten zu kontrollierenden Rechten im Unternehmen.

Multi-Faktor-Authentifizierung. Zuerst für Fernzugänge in die Prozessleitebene und für administrative Konten.

Die ersten 90 Tage

Tage 1 bis 14. Betroffenheit dokumentieren, BSI-Registrierung starten, Kontaktstelle benennen. Prüfen, ob die bestehende Krisenorganisation als Meldestelle mitgenutzt werden kann.

Tage 15 bis 45. Gap-Analyse mit der Prozessleitebene im Betrachtungsumfang. Fernwartungszugänge inventarisieren und mit Multi-Faktor-Authentifizierung absichern.

Tage 46 bis 90. Cybervorfall als Szenario in das Krisenmanagement aufnehmen und einmal üben — insbesondere die Entscheidung über kontrolliertes Herunterfahren. Maßnahmenplan, Geschäftsführungsschulung.

Häufige Fragen aus der Chemie

Wir unterliegen der Störfall-Verordnung. Reicht unser Krisenmanagement?

Als Struktur ja, inhaltlich nein. Die Störfall-Verordnung betrachtet die physische Anlagensicherheit. NIS2 verlangt zusätzlich die Absicherung der Informationssysteme, die Meldung an das BSI und die Geschäftsleiterpflichten. Die vorhandene Krisenorganisation ist aber der richtige Ort, um den Cybervorfall anzudocken.

Sind wir als reiner Chemiehändler ohne Produktion betroffen?

Anlage 2 nennt neben Herstellung und Produktion ausdrücklich den Handel mit chemischen Stoffen. Ab 50 Beschäftigten oder der Umsatzschwelle sind Sie damit erfasst.

Muss das Sicherheitsleitsystem in die IT-Risikoanalyse?

Ja. Auch wenn es funktional der Anlagensicherheit dient, ist es ein Informationssystem mit Parametrierung und Wartungszugängen. Genau diese Aspekte gehören in den Betrachtungsumfang.

Aufwand und Nachweise: was realistisch auf Sie zukommt

Personalaufwand. Die vorhandene Sicherheitsorganisation senkt den Aufwand spürbar, wenn sie einbezogen statt umgangen wird. Realistisch sind 0,3 bis 0,4 Personenstellen über vier bis sechs Monate, verteilt auf IT, Prozessleittechnik und Sicherheitsingenieurwesen.

Technische Investitionen. Absicherung der Fernwartungszugänge und Multi-Faktor-Authentifizierung sind günstig. Die Segmentierung der Prozessleitebene ist der teuerste Posten, weil sie Eingriffe in laufende Anlagen bedeutet und an Stillstandsfenster gebunden ist.

Was die Aufsicht typischerweise sehen will. Die Risikoanalyse einschließlich Prozess- und Sicherheitsleitsystem, das um den Cybervorfall erweiterte Krisenmanagement mit Übungsnachweis, die dokumentierten Kriterien für ein kontrolliertes Herunterfahren, die Übersicht der Herstellerzugänge, die Zugriffsregelung für Rezepturen und die Schulungsnachweise.

Der Sonderaufwand: Safety-Security-Abstimmung. Die Entscheidung, ob bei einem IT-Vorfall heruntergefahren wird, berührt Anlagensicherheit und Produktion gleichermaßen. Sie muss vorab mit Kriterien, Zuständigkeiten und Vertretungsregelung hinterlegt sein — im Vorfall ist keine Zeit für Grundsatzdiskussionen zwischen Bereichen.

Was Sie sich sparen können. Einen zweiten Krisenstab. Der bestehende Krisenstab nach Störfall-Recht sollte den Cybervorfall mit abdecken, ergänzt um die IT-Fachrolle — parallele Strukturen kosten im Ernstfall Abstimmungszeit.