Ersatzmaßnahmen sollten auf die konkrete Schutzlücke zugeschnitten sein. Ausgangspunkt ist die nicht erfüllte Anforderung mit ihrem Schutzzweck, nicht ein allgemeiner Katalog verfügbarer Sicherheitsprodukte. Zu beschreiben sind der adressierte Zugang, die erwartete Wirkung und verbleibende Umgehungsmöglichkeiten. Zusätzliche Überwachung kann die Erkennung verbessern, verhindert aber nicht automatisch einen schädlichen Eingriff. Datensicherung unterstützt Wiederherstellung, ersetzt jedoch keine vorbeugende Absicherung. Die Begründung zeigt daher, welche Risikoteile begrenzt werden und welche weiterhin gesondert zu behandeln sind.
Eine Maßnahme wird erst nach bestätigter Umsetzung und geeigneter Prüfung als wirksam berücksichtigt. Die Kontrolltiefe richtet sich nach Schutzbedarf und möglicher Rückwirkung auf den Betrieb. Im Anwendungsbereich der TRBS 1115 Teil 1 sind dauerhafte Funktionsfähigkeit, Fachkunde und organisatorische Zuständigkeiten zu beachten. Die folgende Matrix dient als eigene Prüfordnung. Sie enthält keine ausführbaren Netzwerk- oder Steuerungsanweisungen. Alternative Schutzkonzepte und befristete Risikominderung bleiben getrennt, solange ihre Gleichwertigkeit und Zulässigkeit nicht nachgewiesen sind.
Prüfgegenstand
Festlegung
Akzeptanzgrenze
Schutzziel
Adressierte Anforderung und Angriffspfad
Keine pauschale Gleichwertigkeit
Umsetzung
Tatsächlich eingerichtete Maßnahme
Planung allein genügt nicht
Wirksamkeit
Prüfergebnis und Grenzen
Erkennung ist nicht Verhinderung
Rückwirkung
Verträglichkeit mit Betriebsfunktionen
Keine ungeprüfte Schutzverschlechterung
Aufrechterhaltung
Betreuung, Ressourcen und Kontrollen
Kein unbeaufsichtigtes Dauerprovisorium
Technische und organisatorische Beiträge verbinden
Der Maßnahmenplan sollte zulässige Kommunikationsbeziehungen, begrenzte Zugriffsrechte, kontrollierte Wartung und geeignete Überwachung zusammenführen. Maßnahmen gegen entfernte Zugänge müssen lokale Eingriffsmöglichkeiten mitberücksichtigen. Eine zusätzliche Sicherheitskomponente benötigt ihrerseits Pflege, Berechtigungen und Verfügbarkeit. Mehrere Schutzschichten dürfen nicht unbemerkt vom selben ausgefallenen Dienst abhängen. Organisatorische Kontrollen sind nur belastbar, wenn befähigte Personen während der erforderlichen Zeit tatsächlich verfügbar sind. Dauernde Aufmerksamkeit einer ohnehin ausgelasteten Bedienperson ist keine verlässlich nachgewiesene technische Schutzwirkung.
Schutzmaßnahmen ohne gefährliche Rückwirkungen einsetzen
Vor der Umsetzung sollten Auswirkungen auf Kommunikation, Alarmübertragung, Bedienbarkeit und verbundene Schutzfunktionen geprüft werden. Blockierungen und Zugriffsbeschränkungen können notwendige Betriebsabläufe beeinträchtigen. Der Freigabeumfang benennt deshalb zulässige Funktionen, geprüfte Grenzen, Wiederherstellungsmöglichkeiten und den Entscheidungsweg bei unerwarteten Folgen. NIST empfiehlt für OT eine mit Zuverlässigkeit und Sicherheit abgestimmte Behandlung von Änderungen. Eine wirksame Cyberabwehr rechtfertigt keine ungeprüfte Verschlechterung der Anlagensicherheit. Technische Ausführung und erforderliche Fachprüfungen bleiben qualifizierten und befugten Stellen vorbehalten.
Übergangsschutz mit einer Behebungsperspektive verbinden
Für jede Maßnahme sollten Verantwortlicher, Kontrollnachweis, laufender Aufwand und Abhängigkeiten feststehen. Lieferantenleistungen werden mit überprüfbaren Ergebnissen vereinbart, nicht nur mit allgemeinen Sicherheitszusagen. Die Ausnahme behält ihren eigenen Behebungsauftrag und Endpunkt. Bei dauerhaft fehlender Aktualisierbarkeit sind Modernisierung, Umgestaltung oder Aussonderung zu bewerten. Nachgewiesen gleichwertige Lösungen können gesondert in den gültigen Sollzustand übernommen werden; unbewertete Übergangslösungen werden dadurch nicht dauerhaft legitimiert. Der Nutzen liegt in prüfbarer Schutzwirkung und planbaren Ressourcen statt einer wachsenden Sammlung provisorischer Maßnahmen.
