Security 4 Safety nach KAS51 / TRBS1115-1
Cyber Security für sicherheitskritische Systeme
Auch Einrichtungen der Funktionalen Sicherheit sind Cyberbedrohungen ausgesetzt. Normen und Regularien fordern eine Risikoabschätzung und dementsprechende Sicherheitsmaßnahmen. In Deutschland sind das konkret TRBS1115-1 (Betriebssicherheit) und KAS51 (Anlagensicherheit), sowie auch Vorgaben aus dem Ex-Schutz und der Maschinenrichtlinie.
Behörden und Versicherungen zeigen vermehrtes Interesse an Nachweisen. Betreiber wiederum brauchen eine Standortbestimmung „Wo stehe ich beim Thema Security für Sicherheitseinrichtungen?“ und "Wo möchte ich gerne stehen?"
Unser Kunde: Störfallbetrieb aus der Chemiebranche
Unser Kunde ist ein führendes Unternehmen der Chemiebranche mit rund 3.000 Mitarbeitenden an mehreren Standorten in Deutschland. Aufgrund der Produktionstätigkeit unterliegt das Unternehmen strengen regulatorischen Anforderungen, darunter der Störfall-Gesetzgebung (KAS-51) sowie den Vorgaben zur Arbeitssicherheit nach TRBS 1115-1.
[Ziel]
Warum war anapur der richtige Dienstleister für das Projekt?
- 20+ Jahre Erfahrung und Expertise in OT-Security und Funktionaler Sicherheit Sicherheit und deren Herausforderungen
- Branchenkenntnis Chemie / Prozessindustrie
- umfassende Kenntnis der relevanten Regularien KAS 51 und TRBS 1115-1 [ggf.weitere] und wie diese von Behörden und zulässigen Überwachungsstellen überprüft werden
- fundierte Erfahrung aus der Praxis mit 150+ erfolgreich durchgeführten OT-Security Assessments
- Prüfer mit Betreibererfahrung, die selbst Audits und Überprüfungen durchlaufen haben
- hohes Bewusstsein für Kosten-Nutzen, methodische Vorgehensweise für mehr Effizienz
Ablauf
Planung
Zunächst haben wir mit dem Kunden gemeinsam die konkrete Zielsetzung definiert. In diesem Fall ging es darum einen Bericht zur Cybersecurity der Safety Systeme zu erstellen. Es handelte sich um mehrere -nach der Betriebssicherheitsverordnung- überwachungsbedürftige Anlagen, welche darüber hinaus der Störfallverordnung unterliegen. Der Bericht sollte entsprechend zur Vorlage bei der Zugelassenen Überwachungsstelle (ZÜS) und den zuständigen Störfallbehörden geeignet sein. Die Prüfung sollte entsprechend gegen die technischen Regeln TRBS 1115-1 und KAS51 durchgeführt werden.
Anschließend haben wir den Prüfumfang abgesteckt. Dabei war es von Bedeutung, die Systeme, Organisationen und Daten zu identifizieren, die aus Sicht der Regularien relevant sind. Zeitlicher Ablauf (Grob (wann Bericht fertig), und fein (für vor Ort Termin: wann wird welche Person für eine Besprechung gebraucht – wichtig: die Personen sollten nicht sinnlos in Meetings sitzen)Es handelte sich um produzierende Anlagen. Die Art der Prüfungen wurde entsprechend defensiv veranschlagt.
Durchführung des Assessments
Zu Beginn des Assessments wurde ein Training durchgeführt, bei dem u.a. auf Aspekte wie Bedrohung, Gefährdung, Definition von Sicherheitszielen eingegangen wurde. Schulung des Personals ist eine der wichtigsten Sicherheitsmaßnahmen und konnte somit gleich zu Beginn des Assessments bereits abgehakt werden.
Bei der Moderation des Assessments kam uns unser KnowHow der Bereiche Anlagensicherheit und Cybersecurity zugute. Unser Assessor ist selbst langjähriger Betreiber von überwachungsbedürftigen Anlagen und kann somit „auf Augenhöhe“ auditieren.
Bei der Durchführung der Prüfungen konnten wir auf das bewährte Material zurückgreifen, welches die o.g. Regelwerke und den Stand der Technik generell abbildet.
Berichterstellung
Als Ergebnis erhielt der Kunde einen umfassenden Assessmentbericht, der die relevanten Anforderungen, bestehende Abweichungen sowie konkrete Verbesserungsvorschläge transparent darstellt. Dieser Bericht dient zugleich als belastbarer Nachweis gegenüber Behörden und zugelassenen Überwachungsstellen (z. B. TÜV, DEKRA) zur Erfüllung der Vorgaben nach KAS 51 und TRBS 1115-1.
Ergänzend dazu wurden die Ergebnisse in einer kompakten Executive Summary zusammengefasst, die der Führungsebene eine schnelle und fundierte Übersicht bietet und so eine zielgerichtete Entscheidungsfindung unterstützt.
Projekterfolg
-
Effizientes Assessment: Minimale Belastung der Zeitbudgets auf Kundenseite bei gleichzeitig hoher Aussagekraft.
-
Klare Ergebnisse: Transparente Darstellung des Status quo und präzise Identifikation der wichtigsten Schwachstellen.
-
Konkreter Fahrplan: Handlungsoptionen und ein klarer „Path Forward“ zur kontinuierlichen Verbesserung.
-
Belastbarer Nachweis: Der Bericht zur Cybersicherheit wurde von der Störfallbehörde positiv hervorgehoben.
