Wer überwachungsbedürftige Anlagen betreibt, muss künftig Cyber-Attacken aktiv vorbeugen. Gefährdungen durch Sicherheitslücken bei Software oder Steuerungstechnik gehören zum Prüfumfang der Zugelassenen Überwachungsstellen (ZÜS).
Ob Aufzüge, Druck- oder Ex-Anlagen: Häufig verfügen sie über IT-basierte Technologien. Hinzu kommt ein steigender Vernetzungsgrad von Automatisierungssystemen. Software und sicherheitsrelevante Einrichtungen der Mess-, Steuer- und Regeltechnik (MSR) können Ziel von Manipulationen und Cyber-Attacken werden. So könnte durch eine Softwaremanipulation zum Beispiel ein Aufzug zum Halten gebracht werden. Auch Änderungen bei der Geschwindigkeit oder den Fahrtrichtungen wären zu befürchten. Wer Anlagen betreibt, den verpflichtet die aktuelle Betriebssicherheitsverordnung (BetrSichV) dazu, im Zuge einer Gefährdungsbeurteilung potenzielle Cyber-Gefahren zu identifizieren.
Bestehen aufgrund potenzieller Cyber-Attacken oder Software-Defizite Gefahren für Personen, sind auf Basis der Gefährdungsbeurteilung entsprechende Maßnahmen zu ergreifen. Bei Prüfungen nach BetrSichV werden die ZÜS dies zukünftig berücksichtigen. Darauf weist die DEKRA hin. Dies gelte bei allen Arten von Prüfungen bei allen überwachungsbedürftigen Anlagen: vor Inbetriebnahme, wiederkehrend oder nach prüfpflichtiger Änderung. Somit werden ZÜS-Sachverständige bei ihren Prüfungen checken, inwiefern Anlagenbetreiber in der Gefährdungsbeurteilung mögliche Gefährdungen aufgrund Cyber-Bedrohungen ermittelt und bewertet haben. Kann keine Gefährdungsbeurteilung vorgewiesen werden, werten die Prüfer dies als einen Mangel. Außerdem dokumentieren die Prüfsachverständigen die aktuellen Softwarestände. Dies dient dem Abgleich zwischen installierter, cyberkritischer Software und den Angaben in den technischen Unterlagen. Hinsichtlich sicherheitsrelevanter Änderungen an Soft- und Hardware ist der Betreiber in der Pflicht, dies der ZÜS mitzuteilen.
Quelle/Text: DEKRA / Redaktion arbeitssicherheit.de (SL)
Aufzugsanlagen: Lesen Sie auch »Schutz vor Cyber-Attacken ist Pflicht« >>
