„Das Bewusstsein für IT-Sicherheit ist vor allem bei mittelständischen Unternehmen noch nicht angekommen“, erklärt Martin Zappe, Business Unit Manager Industrial Engineering bei der ICS AG. Dabei sind viele KMUs durch das GmbH-Gesetz und das Transparenz-Gesetz (KonTraG) dazu verpflichtet, geeignete Security-Maßnahmen vorzunehmen. Und für manche Unternehmen drängt die Zeit. Denn der Gesetzgeber hat mit dem IT-Sicherheitsgesetz festgelegt, dass Unternehmen kritischer Infrastrukturen (KRITIS) bis zum nächsten Jahr eine Reihe von Maßnahmen ergreifen müssen, um ihre Systeme vor Angriffen aus dem Internet zu schützen. Zudem legt das Gesetz die Verantwortung für die IT-Security in die Hände der Geschäftsführung. Bei Pflichtverletzungen drohen empfindliche Strafen.

In seinem Vortrag „Erfolgreich zum sicheren Industrie 4.0 Betrieb“ auf dem Innovation Forum Industrie 4.0 der Bitkom erläutert Zappe, dass der technologische Fortschritt dazu führt, dass alle an der Wertschöpfung beteiligten Systeme digital zusammenarbeiten. Diese Interoperabilität ermöglicht es, dass Daten in Echtzeit erfasst, gefiltert und analysiert werden können. Gleichzeitig steigt aber die Anfälligkeit für alle Arten von Angriffen aus dem Internet. Schon ein infizierter USB-Stick kann die Produktion lahmlegen und Schäden in unabsehbarer Höhe verursachen.

In vier Schritten zu mehr Sicherheit
Dabei bedarf es nur vier Schritten, um schnell Ergebnisse für sichere Systeme zu erzielen, legt Zappe dar:

1. Das Bewusstsein für die Notwendigkeit einer umfassenden IT-Security herstellen.
2. Die Risiken ermitteln, d.h. eine Bewertung von Schadensausmaß und Eintrittswahrscheinlichkeit vornehmen.
3. Etablierung eines IT-Sicherheitsbeauftragten, der die Kommunikationsschnittstelle zwischen Management und Entwickler darstellt.
4. Einhaltung eines Mindestniveaus an IT-Sicherheit, d.h. Festlegen von Handlungsrichtlinien, die im Unternehmen etabliert werden müssen.

„Jeder Mitarbeiter muss seinen Teil zur Security beitragen“, schärft der Industrial Engineering Experte und Sicherheitsberater den Anwesenden ein.

Um die digitale Wertschöpfungskette zu sichern, empfiehlt es sich, die Norm ISO/IEC 27000ff zu implementieren. Auf dieser Basis müssen Unternehmen ein Informationssicherheits-Managementsystem (ISMS) etablieren. Damit können sie Risiken identifizieren und entsprechend handeln. Da der Gesetzgeber vorsieht, dass die Zertifizierung alle zwei Jahre erneuert wird, bleibt das IT-Sicherheitsniveau automatisch auf dem neuesten Stand der Technik. „Sichere Produkte sind nur auf dieser Basis möglich“, betont Zappe.

Ein Standard für die Automatisierungstechnik
Für die unterschiedlichen Sektoren wurden und werden ergänzend individuelle Standards entwickelt. So etabliert sich derzeit für die Automatisierungstechnik beispielsweise der Standard IEC 62443. Dieser Standard setzt als Basis für die Managementprozesse auf die ISO 27000ff und deckt dabei alle erforderlichen Themen von Schutz des Personals, über die technische Konfiguration, den Entwicklungsprozess bis hin zur Compliance ab. Damit bietet die Norm ein optimales Fundament für eine sichere Produktentwicklung.

Um sich in dem Normendschungel zurechtzufinden, empfiehlt es sich, rechtzeitig einen Experten zu Rate zu ziehen. Denn: „Die Einhaltung des IT-Sicherheitsgesetzes muss jetzt vorbereitet werden“, warnt Zappe.