Jede Maßnahme an der Abweichung ausrichten
Ersatzmaßnahmen sollten auf die konkrete Schutzlücke zugeschnitten sein. Ausgangspunkt ist die nicht erfüllte Anforderung mit ihrem Schutzzweck, nicht ein allgemeiner Katalog verfügbarer Sicherheitsprodukte. Zu beschreiben sind der adressierte Zugang, die erwartete Wirkung und verbleibende Umgehungsmöglichkeiten. Zusätzliche Überwachung kann die Erkennung verbessern, verhindert aber nicht automatisch einen schädlichen Eingriff. Datensicherung unterstützt Wiederherstellung, ersetzt jedoch keine vorbeugende Absicherung. Die Begründung zeigt daher, welche Risikoteile begrenzt werden und welche weiterhin gesondert zu behandeln sind.
Temporäre Lösungen sicher und wirksam steuern
Geplante Maßnahmen nicht als umgesetzt bewerten
Eine Maßnahme wird erst nach bestätigter Umsetzung und geeigneter Prüfung als wirksam berücksichtigt. Die Kontrolltiefe richtet sich nach Schutzbedarf und möglicher Rückwirkung auf den Betrieb. Im Anwendungsbereich der TRBS 1115 Teil 1 sind dauerhafte Funktionsfähigkeit, Fachkunde und organisatorische Zuständigkeiten zu beachten. Die folgende Matrix dient als eigene Prüfordnung. Sie enthält keine ausführbaren Netzwerk- oder Steuerungsanweisungen. Alternative Schutzkonzepte und befristete Risikominderung bleiben getrennt, solange ihre Gleichwertigkeit und Zulässigkeit nicht nachgewiesen sind.
|
| Schutzziel | Adressierte Anforderung und Angriffspfad | Keine pauschale Gleichwertigkeit |
| Umsetzung | Tatsächlich eingerichtete Maßnahme | Planung allein genügt nicht |
| Wirksamkeit | Prüfergebnis und Grenzen | Erkennung ist nicht Verhinderung |
| Rückwirkung | Verträglichkeit mit Betriebsfunktionen | Keine ungeprüfte Schutzverschlechterung |
| Aufrechterhaltung | Betreuung, Ressourcen und Kontrollen | Kein unbeaufsichtigtes Dauerprovisorium |
Technische und organisatorische Beiträge verbinden
Der Maßnahmenplan sollte zulässige Kommunikationsbeziehungen, begrenzte Zugriffsrechte, kontrollierte Wartung und geeignete Überwachung zusammenführen. Maßnahmen gegen entfernte Zugänge müssen lokale Eingriffsmöglichkeiten mitberücksichtigen. Eine zusätzliche Sicherheitskomponente benötigt ihrerseits Pflege, Berechtigungen und Verfügbarkeit. Mehrere Schutzschichten dürfen nicht unbemerkt vom selben ausgefallenen Dienst abhängen. Organisatorische Kontrollen sind nur belastbar, wenn befähigte Personen während der erforderlichen Zeit tatsächlich verfügbar sind. Dauernde Aufmerksamkeit einer ohnehin ausgelasteten Bedienperson ist keine verlässlich nachgewiesene technische Schutzwirkung.
Schutzmaßnahmen ohne gefährliche Rückwirkungen einsetzen
Vor der Umsetzung sollten Auswirkungen auf Kommunikation, Alarmübertragung, Bedienbarkeit und verbundene Schutzfunktionen geprüft werden. Blockierungen und Zugriffsbeschränkungen können notwendige Betriebsabläufe beeinträchtigen. Der Freigabeumfang benennt deshalb zulässige Funktionen, geprüfte Grenzen, Wiederherstellungsmöglichkeiten und den Entscheidungsweg bei unerwarteten Folgen. NIST empfiehlt für OT eine mit Zuverlässigkeit und Sicherheit abgestimmte Behandlung von Änderungen. Eine wirksame Cyberabwehr rechtfertigt keine ungeprüfte Verschlechterung der Anlagensicherheit. Technische Ausführung und erforderliche Fachprüfungen bleiben qualifizierten und befugten Stellen vorbehalten.
Übergangsschutz mit einer Behebungsperspektive verbinden
Für jede Maßnahme sollten Verantwortlicher, Kontrollnachweis, laufender Aufwand und Abhängigkeiten feststehen. Lieferantenleistungen werden mit überprüfbaren Ergebnissen vereinbart, nicht nur mit allgemeinen Sicherheitszusagen. Die Ausnahme behält ihren eigenen Behebungsauftrag und Endpunkt. Bei dauerhaft fehlender Aktualisierbarkeit sind Modernisierung, Umgestaltung oder Aussonderung zu bewerten. Nachgewiesen gleichwertige Lösungen können gesondert in den gültigen Sollzustand übernommen werden; unbewertete Übergangslösungen werden dadurch nicht dauerhaft legitimiert. Der Nutzen liegt in prüfbarer Schutzwirkung und planbaren Ressourcen statt einer wachsenden Sammlung provisorischer Maßnahmen.
