Sicherheit für die Wasserwirtschaft

In den automa­tisierten Anla­gen der Wasser­wirtschaft wer­den zur Steuerung der Prozesse Spe­icher­pro­gram­mier­bare Steuerun­gen (ICS) ver­schieden­er Her­steller einge­set­zt. Die Betrieb­s­führung wird von Prozessleit­sys­te­men (SCADA, DCS) über­nom­men, die drüber hin­aus oft mit Sys­te­men zur Wahrnehmung des Berichtswe­sens aus­ges­tat­tet sind. Die Leit­tech­nik ist mit Stan­dard IT-Kom­po­nen­ten aus­gerüstet, sodass hier zwar durch Stan­dard­hard­ware kostengün­stige Lösun­gen existieren, jedoch die Gefahren beste­hen, die bere­its aus der Office Welt bekan­nt sind.

Die Branche hat gesprochen

Um den Gefährdun­gen zu begeg­nen ist am 25.7.2015 das IT Sicher­heits­ge­setz in Kraft getreten. Die BSI IT KRITIS Verord­nung fol­gte am 3.5.2016. Sie besagt, dass Kläran­la­gen ab ein­er Aus­bau­größe von 500.000 EW und Wasser­w­erke ab ein­er Wasser­erzeu­gung von 22 Mio. m³/a inner­halb 2 Jahren den Grund­schutz sichergestellt, eine Kon­tak­t­stelle ein­gerichtet und die IT Sys­teme auf den Stand der Tech­nik gebracht haben müssen. Um die Anwend­barkeit für die Branche prag­ma­tisch zu gestal­ten und den Ver­ant­wortlichen einen Hand­lungsleit­faden zu geben, haben sich die Ver­bände DVGW und DWA zusam­mengeschlossen, um einen Branchen­spez­i­fis­chen Stan­dard (B3S) zu erar­beit­en. Dieser wurde durch das BSI geprüft und seine Eig­nung am 30.06.2017 fest­gestellt. Der IT-Stan­dard für Wasser/Abwasser umfasst einen Sicher­heit­sleit­faden, in dem Anwen­dungs­fälle, Gefährdungs- und Maß­nah­menkat­a­loge sowie Reg­u­lar­ien zur Nach­we­is­führung vorgeschla­gen sind.

Handlungsleitfaden hilft, dem Ziel näher zu kommen

Das bere­its in der Energiebranche etablierte inte­gri­erte Sicher­heits­man­age­ment Sys­tem (ISMS) ver­wen­det die Vorge­hensweise nach ISO/IEC 27001 und stellt damit zwar im Ergeb­nis einen höheren Umset­zungs­grad im Sinne des Grund­schutzes dar, ist im Ver­gle­ich zum Branchen­stan­dard jedoch deut­lich abstrak­ter und damit vari­abler für die Etablierung eines wirk­samen Sys­tems. Der B3S hat den Vorteil der detail­lierten Umset­zung von konkreten Maß­nah­men und führt daher schneller zu einem wert­baren Resultat.

Hausaufgabe für die Geschäftsführung

Nach dem Vorge­hens­mod­ell des BSI Grund­schutzes stellt ein abges­timmter IT Sicher­heit­sleit­faden die Grund­lage für die Inan­griff­nahme eines ISMS dar. Hierin sind die Schutzziele des Unternehmens entsprechend §8a IT SichG nach Ver­traulichkeit, Ver­füg­barkeit, Authen­tiz­ität und Integrität zu definieren. Aus diesem leit­en sich dann in Ken­nt­nis der vorhan­de­nen Prozesse der Organ­i­sa­tion die weit­eren Ziele ab. Auf diesem Fun­da­ment bringt die Struk­tu­r­analyse Auf­schluss über den Zus­tand des IT Systems.

Alle machen mit

Wichtig­ster Aspekt bei der Umset­zung eines Schutzkonzeptes ist die Schu­lung, Sen­si­bil­isierung von Mitar­beit­ern. Nur durch entsprechende Akzep­tanz und aktiv­er Unter­stützung der­jeni­gen, die am Prozess mitwirken, kann der angestrebte Grund­schutz wirk­sam etabliert werden.
Konkret sind hier für die einzel­nen Organ­i­sa­tion­sein­heit­en abges­timmte work­shops vorzu­bere­it­en und durchzuführen. Diese wer­den nach diszi­pli­nar­ischen Ebe­nen aufge­baut, um alle Aspek­te der Mitar­beit­er­führung des Unternehmens berück­sichti­gen zu können.

Kompetenzen für den Handlungsleitfaden

Zur Umset­zung der Maß­nahme ist meist die Kon­sul­ta­tion extern­er Spezial­is­ten erforder­lich. Grund­schutz Experten erar­beit­en für die spez­i­fis­chen Auf­gaben­stel­lun­gen geeignete Hand­lungsleit­fä­den. Dabei ist die Ken­nt­nis der Prozesse und der ver­fahren­stech­nis­chen Anforderun­gen ein­er­seits als auch das Experten­wis­sen der IT und speziell der Prozessleit­tech­nik ander­er­seits unabdingbar.

Fazit – dem Ziel nähergekommen

Ein wirk­samer Schutz vor den Gefährdun­gen aus dem Netz muss in allen Per­spek­tiv­en – Administrativ/Organisatorisch und Tech­nisch – sub­stanziell aufge­baut wer­den, um erfol­gre­ich zu wirken.