EmpfBS 1115: Umgang mit Risiken durch Angriffe auf die Cyber-Sicherheit von sicherheitsrelevanten MSR-Einrichtungen [aufgehoben]

[Vorspann]

Die Empfehlungen zur Betriebssicherheit (EmpfBS) werden gemäß § 21 Absatz 5 Nummer 1 der Betriebssicherheitsverordnung (BetrSichV) vom Ausschuss für Betriebssicherheit (ABS) ausgesprochen und geben den Stand der Technik, Arbeitsmedizin und Arbeitshygiene sowie sonstige gesicherte arbeitswissenschaftliche Erkenntnisse für die Verwendung von Arbeitsmitteln wieder.

Die EmpfBS lösen im Gegensatz zu den Technischen Regeln für Betriebssicherheit (TRBS) nicht die Vermutungswirkung im Sinne von § 4 Absatz 3 Satz 2 BetrSichV aus.

1 Anwendungsbereich

(1) Diese Empfehlung richtet sich an Arbeitgeber, die im Rahmen der Betriebssicherheitsverordnung (BetrSichV) eine Gefährdungsbeurteilung im Hinblick auf die sichere Verwendung von Arbeitsmitteln durchzuführen und daraus geeignete Schutzmaßnahmen abzuleiten haben.

(2) Sie beschreibt in allgemeiner Form Wege zur Ermittlung von Risiken durch Angriffe auf die Cyber-Sicherheit von sicherheitsrelevanten Mess-, Steuer- und Regeleinrichtungen (MSR-Einrichtungen) sowie Maßnahmen zur wirksamen Reduzierung der ermittelten Risiken.

2 Begriffsbestimmungen

Cyber-Sicherheit	Cyber-Sicherheit im Sinne dieser Empfehlung umfasst die Aspekte der Sicherheit von MSR-Einrichtungen, soweit deren Informationstechnik durch Cyber-Bedrohungen kompromittiert werden kann.
Cyber-Bedrohung	Bedrohung der Integrität, Verfügbarkeit und Vertraulichkeit der MSR-Einrichtung mit Methoden und Werkzeugen der IT
Prozessleitsystem	Automatisierungssystem, mit dem eine Anlage/ein technischer Prozess automatisch gesteuert, geregelt und visualisiert wird.
Sicherheitsrelevante MSR-Einrichtungen	Sicherheitsrelevante MSR-Einrichtungen sind Mess-, Steuer- und Regeleinrichtungen an Arbeitsmitteln, die deren sicherer Verwendung dienen. Sie bestehen aus Sensor-, Aktor- und Logikeinheiten sowie zugehörigen Verbindungseinrichtungen.

3 Ermittlung von Gefährdungen durch Angriffe auf die Cyber-Sicherheit

3.1 Allgemeine Anforderungen

(1) Der Arbeitgeber hat nach § 3 BetrSichV die auftretenden Gefährdungen zu beurteilen und daraus notwendige Maßnahmen für das sichere Verwenden von Arbeitsmitteln abzuleiten. Nach § 5 Absatz 1 BetrSichV dürfen nur Arbeitsmittel zur Verfügung gestellt werden, die unter Berücksichtigung der am Arbeitsplatz gegebenen Bedingungen geeignet sind und gemäß § 6 Absatz 1 BetrSichV sicher verwendet werden können.

(2) Durch den Einsatz von IT-basierten Technologien und steigendem Vernetzungsgrad von Automatisierungssystemen können sicherheitsrelevante MSR-Einrichtungen zum Ziel von Manipulationen werden.

(3) Cyber-Sicherheitsaspekte sind während der gesamten Verwendungsdauer (Lebenszyklus), d. h. in der Planung, der Beschaffung, der Bereitstellung, im Betrieb, bei Änderungen und bei der Außerbetriebnahme, zu berücksichtigen. Betroffen sind die folgenden Komponenten einer sicherheitsrelevanten MSR-Einrichtung:

• Hardware,
• Software,
• Daten,
• Netzwerk(-verbindungen) sowie die mit ihrer Verwendung verbundenen
• Prozesse,
• Organisationen sowie
• Personen.

3.2 Gefährdungen durch Cyber-Bedrohungen ermitteln und bewerten

(1) Im Rahmen der Gefährdungsbeurteilung ist zu ermitteln, welche Möglichkeiten bestehen, dass durch Manipulation eine sicherheitsrelevante MSR-Einrichtung ihre Sicherheitsfunktion nicht mehr ausüben kann und damit Gefährdungen nicht mehr verhindert bzw. sogar herbeigeführt werden können. Dazu ist erforderlich:

1.	Erfassen aller Elemente gemäß Nummer 3.1 Absatz 3 des betrachteten Systems und ihrer Aufgaben,

2.	Erfassen und Bewerten von Bedrohungen der Integrität der sicherheitsrelevanten MSR-Einrichtungen, die durch Manipulation dieser Elemente ausgehen.

(2) Sicherheitsrelevante MSR-Einrichtungen können in Bezug auf Cyber-Sicherheit in drei wesentliche Bereiche unterteilt werden (siehe Abbildung):

• Zone A (sicherheitsrelevante MSR-Einrichtung) umfasst sicherheitsrelevante MSR-Einrichtungen, die für die Sicherheitsfunktion zwingend erforderlich sind:

  • Logiksystem,
  • Ein- und Ausgabebaugruppen inkl. Remote-I/O sowie den Aktoren und Sensoren, Verbindungen und
  • ggf. vorhandene Netzwerkkomponenten (Switches, Router, Server etc.), die der Verbindung zwischen Geräten der Zone A dienen.
• Zone B (erweiterte sicherheitsrelevante MSR-Einrichtung) umfasst Komponenten, die für die Auslösung der Sicherheitsfunktion nicht notwendig sind, jedoch das Verhalten der sicherheitsrelevanten MSR-Einrichtung beeinflussen können. Typische Beispiele sind Bedien-/Eingabestationen und Visualisierungsstationen mit sicherheitsrelevanter Funktion, das Programmiergerät (Engineering Station) für die sicherheitsrelevante MSR-Einrichtung und das Asset Management System (AMS) bzw. Vorrichtungen zu Sensor/Aktor-Konfiguration.
• Die Umgebung umfasst Komponenten und Systeme, die weder direkt noch indirekt der sicherheitsrelevanten MSR-Einrichtung zuzuordnen sind, aber in Verbindung mit der Sicherheitsfunktion stehen können (z. B. Betriebsdateninformationssystem – BDIS, Visualisierung Sicherheitsfunktion-Zustand etc., Service-IT für z. B. Patchmanagement, Domain Control und Virenschutz, Internet).

Abb. Funktionale Zonen einer sicherheitsrelevanten MSR-Einrichtung (nach NAMUR-Arbeitsblatt 163)

4 Schutzmaßnahmen

4.1 Allgemeine Anforderungen

(1) Ziel der Maßnahmen ist der Schutz der Komponenten und Konfigu...