Ein Bürozugang, ein Engineering-Rechner und eine Steuerung haben unterschiedliche Aufgaben und Betriebsbedingungen. Eine Sicherheitsprüfung im Maschinenbau muss diese Unterschiede berücksichtigen. Ausgangspunkt ist eine gemeinsam mit Betrieb und Betreuung abgestimmte Bestandsaufnahme, aus der konkrete Prüffragen entstehen.
Die Übersicht benennt ausgewählte Büroanwendungen, Produktionssysteme, Wartungswege und Verantwortliche. Bestehende Netzpläne werden mit dem tatsächlichen Betrieb abgeglichen. Eine vermutete Verbindung wird nicht als bewiesener Angriffspfad dargestellt. Entscheidend ist, welche Systeme zu welchem Zweck kommunizieren und welche Arbeit von ihnen abhängt.
Industrielle Komponenten können technische Einschränkungen haben und auf Prüfverkehr anders reagieren als übliche Bürorechner. Das BSI-ICS-Kompendium behandelt diese Besonderheiten. Vor einer Untersuchung werden geeignete Methoden, ausgeschlossene Anlagen und notwendige Freigaben mit den zuständigen Fachpersonen festgelegt. Eine allgemeine Zusage, jeder Scan sei ohne Auswirkung möglich, wäre dafür keine tragfähige Grundlage.
Eine Bestandsaufnahme kann Unterlagen, Gespräche mit Wartungspersonal und abgestimmte Beobachtungen verbinden. Konfigurationsprüfungen und aktive Tests sind weitere, eigenständig abzugrenzende Schritte. Der Bericht muss erkennen lassen, auf welcher Belegart eine Aussage beruht. Eine dokumentierte Netzverbindung, ein Schwachstellenhinweis und ein bestätigter Zugriff sind unterschiedliche Ergebnisse.
Wer nutzt den Zugang, für welche Anlage und unter wessen Verantwortung? Diese Fragen verbinden technische Einstellung und betrieblichen Zweck. Ein Dienstleisterwechsel oder eine geänderte Wartungsaufgabe kann Anlass für eine erneute Prüfung sein. Verbundene Hersteller- oder Kundennetze werden nicht ohne deren Berechtigung einbezogen. Zugangsinformationen gehören nicht in das öffentliche Formular.
Wenn ein aktiver technischer Nachweis erforderlich ist, werden Auswirkung, Zeitfenster, Abbruchkontakt und geeigneter Rückweg vorab geklärt. Eine Testumgebung kann geeigneter sein als die laufende Anlage. Auch eine stillstehende Anlage ist nicht automatisch risikofrei. Das konkrete Vorgehen hängt vom System und seinem betrieblichen Zustand ab; pauschale Verfügbarkeitsgarantien werden daraus nicht abgeleitet.
Ein Problem an einer Steuerung hat andere Umsetzungsvoraussetzungen als ein Bürosoftware-Update. Maßnahmen werden deshalb mit technischer Zuständigkeit, betrieblichen Abhängigkeiten und Nachprüfung versehen. Eine NIS2-Einordnung folgt zusätzlich den gesetzlichen Kriterien für die konkrete Einrichtung. Der technische Bericht ist ein Beitrag zur Sicherheitsarbeit und keine vollständige gesetzliche Erfüllungsbescheinigung.
Öffnen Sie die Stationen. Jede zeigt eine konkrete Prüffrage und den nächsten verantwortlichen Schritt.
Im Beispiel wird ein Rechner für Wartung und Bürokommunikation genutzt. Seine tatsächlichen Verbindungen werden zunächst dokumentiert.
Produktion, Anlagenbetreuung und IT legen fest, welche Untersuchung ohne unvereinbarte Eingriffe möglich ist.
Ein bestätigter technischer Befund wird mit seinen Voraussetzungen und betrieblichen Auswirkungen beschrieben. Ungeprüfte Möglichkeiten bleiben getrennt.
Die zuständigen Stellen planen die Änderung. Nach Durchführung wird die ursprüngliche Prüffrage im vereinbarten Rahmen erneut untersucht.
TULPAR gehört zum Sicherheitsangebot von Buzzard. Welche Teile einer industriellen Umgebung sinnvoll damit oder mit ergänzenden Methoden untersucht werden können, wird im konkreten Auftrag geklärt. Es gibt keine pauschale Freigabe für beliebige OT-Systeme.
Bringen Sie zunächst Systemarten, technische Ansprechpartner und den gewünschten Anlass mit. Zeichnungen, Produktionsgeheimnisse oder Zugangsdaten werden nicht über die öffentliche Anfrage eingesammelt. Methoden, Umfang und Berichtsübergabe werden passend vereinbart.
Nicht ohne ausdrücklich abgestimmten und geeigneten Prüfrahmen. Empfindliche Systeme, Freigaben, Methoden und Betriebsbedingungen bestimmen das Vorgehen.
Nein. Auch stillstehende Anlagen können sicherheitsrelevante Funktionen benötigen. Die konkreten Bedingungen werden mit der Anlagenverantwortung geklärt.
Die Einordnung richtet sich nach der konkreten Einrichtung, Tätigkeit, Größe und gesetzlichen Sonderfällen. Eine Branchenbezeichnung allein beantwortet die Frage nicht.
Er kann konkrete Sicherheitsfragen mit abgegrenzten Belegen unterstützen. Ob der Empfänger Methode und Umfang akzeptiert, muss anhand seiner tatsächlichen Anforderung geklärt werden.
Wir klären mit Ihnen und Ihrer IT-Betreuung, was untersucht werden soll, welche Systeme dazugehören und wer das Ergebnis weiterbearbeitet. Umfang, erlaubte Methoden, Bericht und Betreuung stehen im individuellen Angebot.
Bringen Sie für das erste Gespräch die betroffenen Arbeitsbereiche und Ihre Ansprechpartner mit. Zugangsdaten, interne Netzwerkpläne und vertrauliche Befunde gehören nicht in das öffentliche Kontaktformular.
Mustafa Sahinli · Buzzard AI, Erlensee
TULPAR und das Sicherheitsangebot →Wir besprechen die abgegrenzten Sicherheitsfragen Ihres Produktionsumfelds, vorhandene Systeme und die beteiligten Personen. Sie erhalten eine klare Einordnung, welcher Teil sich sinnvoll unterstützen lässt und was dafür benötigt wird.
Bitte senden Sie über dieses erste Kontaktformular keine Patienten-, Mandanten- oder anderen vertraulichen Falldaten.
Direkt anrufen: 06183 909 99 92
Buzzard AI