Business Continuity Management NIS2-konform umsetzen und die Resilienz im Betrieb steigern

In der vernetzten Produktion von Lebensmitteln gibt es viele Risiken für die Anlagenverfügbarkeit. Wenn kritische Geschäftsprozesse ausfallen, beispielsweise als Folge eines Cyberangriffs, kann das weitreichende Folgen für viele Unternehmen in der Supply Chain haben. Business Continuity Management steuert gegen und setzt auf eine gute Vorbereitung für den Ernstfall. Die EU-Richtlinie NIS2 macht BCM-Maßnahmen für viele Betriebe verpflichtend, der Mehrwert geht aber weit über die Erfüllung von Compliance-Anforderungen hinaus.

Rahmenbedingungen in der Produktion

In der Produktion findet die Kommunikation zwischen den Systemen in Echtzeit statt, es gibt viele Abhängigkeiten in aufeinander abgestimmten sensiblen Prozessen. Um möglichst effizient zu produzieren, gibt es kaum Leerläufe mit Zeitfenstern im laufenden Betrieb, in denen auf Ausfälle reagiert und die Folgen dadurch eingedämmt werden könnten.

Ein weiterer wichtiger Aspekt in der OT sind Safety-Anforderungen. Menschen und Umwelt müssen vor Gefahren geschützt werden, die vom Anlagenbetrieb ausgehen können. Werden Prozesse gestört, ist die Betriebssicherheit nicht mehr gewährleistet.

Damit die Auswirkungen eines potenziellen Vorfalls kontrollierbar bleiben, müssen Unternehmen präventiv entsprechende Vorkehrungen treffen. Wenn es dabei um die OT geht, ist meistens noch Einiges aufzuholen.

Anforderungen in der Lebensmittelindustrie

Wenn Anlagen in Unternehmen der Lebensmittelindustrie ausfallen, ist ihre Wiederinbetriebnahme mit enormen Aufwänden verbunden. Für sensible verderbliche Rohstoffe und Erzeugnisse gelten strenge Hygiene- und Qualitätsstandards. Die Lebensmittelsicherheit hat höchste Priorität und ist gesetzlich geregelt. Wird beispielsweise die Kühlkette im Produktionsprozess unterbrochen, wird eine kostenintensive Entsorgung notwendig und die Anlagen müssen gereinigt werden.

Der Anlagenverfügbarkeit kommt ein sehr hoher Stellenwert zu. Im Notfall ist es wichtig, handlungsfähig zu bleiben und schnell angemessen zu reagieren.

Was ist Business Continuity Management?

Damit die Supply Chain funktionsfähig ist, sind verfügbare Prozesse in jedem beteiligten Unternehmen erforderlich. Dabei geht es einerseits um die Implementierung wirksamer technische Security-Maßnahmen und andererseits um einen ganzheitlichen Ansatz für eine effektive “organisatorische Resilienz”.

Mit Notfallplänen und organisatorischen Vorkehrungen werden die Grundlagen dafür gelegt, dass der Betrieb bei einem Security-Vorfall am Laufen gehalten oder schnell wieder aufgenommen werden kann.

BCM ist mehr als eine Compliance-Anforderung

Bei der Umsetzung von Security-Maßnahmen geht es für eine wachsende Zahl von Unternehmen um die Erfüllung regulatorischer Anforderungen. Die wichtigste Motivation ist aber ein starkes Eigeninteresse. In komplex vernetzten Lieferketten und rasant zunehmenden Schnittstellen in der Produktion ist die Absicherung kritischer Prozesse eine existenzielle Aufgabe. Sie ist für Ihren Unternehmenserfolg grundlegend. Es gibt viele Gründe, warum der Aufbau eines BCMs Priorität haben sollte.

Investitionssicherheit und Marktanforderungen im Blick

Viele Unternehmen investieren in Modernisierungen und bauen Ihre Produktionsanlagen aus, um die Effizienz zu erhöhen und die Infrastrukturen zukunftsfähig zu machen. Business Continuity Management ist ein wichtiger Baustein für Ihre Investitionssicherheit.

Security-Vorfälle schwächen das Vertrauen des Marktes in betroffene Unternehmen, besonders in Branchen, die für die Gesellschaft wichtige Versorgungsleistungen übernehmen. Andersherum unterstützt eine umfassende Security-Kompetenz eine positive Wahrnehmung sowohl durch Ihre Kunden als auch durch Unternehmen, mit denen Sie zusammenarbeiten. Das zahlt sich aus.

Eine fundierte BCM-Strategie ist außerdem wichtig im Kontext Ihres Versicherungsschutzes und für Haftungsfragen. Die Konditionen für Ihre Policen, z.B. für eine Cyberversicherung, hängen davon ab, ob Sie Ihrer Eigenverantwortung gerecht werden und eine hinreichende Schadensvorsorge betreiben.

Szenarien für Business Continuity Management

Der Einsatz neuer Technologien in der Produktion vergrößert die Komplexität in den heterogenen vernetzten Infrastrukturen. Damit erweitern sich sowohl Angriffsvektoren für Cyberkriminelle als auch das Potenzial für Störfälle, die technische Ursachen haben.

Der BSI-Standard 200-4 Business Continuity Management unterscheidet bei Ereignissen, die die Verfügbarkeit von IT-Systemen beeinträchtigen, zwischen:

• Störung:

Es kommt zu einer Unterbrechung des Betriebs, weil Prozesse nicht funktionieren. Die Störung kann während des Normalbetriebes im Rahmen des Incident-Managements behoben werden. Dafür sind keine Notfallpläne erforderlich. Eine Störung kann jedoch eskalieren und zu einem Notfall werden.

• Notfall:

Eine Unterbrechung des Geschäftsbetriebes, die nicht in der als akzeptabel definierten Zeit behoben werden kann, ist absehbar oder bereits eingetreten. Für die Bewältigung sind Notfallpläne und eine zuständige Sonderorganisation notwendig.

• Krise:

Ein Schadensereignis mit dem Potenzial massiver existenzgefährdender Folgen für das Unternehmen, für das keine Notfallpläne existieren. Eine Krise kann plötzlich auftreten oder sich aus einem Notfall oder aus einer Störung heraus entwickeln.

Um schnell und angemessen reagieren zu können, ist es wichtig, das Ausmaß eines Vorfalls in kurzer Zeit richtig einzuschätzen. Im BCM wird definiert, was für das eigene Unternehmen ein Notfall oder eine Krise ist. Es ist festgelegt, wer als verantwortliche Instanz anstehende Entscheidungen trifft und die Umsetzung des Notfallplans koordiniert.

Ein solches Szenarium sollte im Rahmen der Prävention von den betroffenen Personen regelmäßig geübt werden, damit die Abläufe erprobt und im Ernstfall allen geläufig sind.

NIS2 – Mindestanforderungen für Risikomanagement

KRITIS-Unternehmen sind schon heute durch das IT-Sicherheitsgesetz (IT-SiG 2.0) zu Business Continuity Management verpflichtet. Sie müssen “ein verbindliches Rahmenwerk zur Planung der Kontinuität der für die kritische Dienstleistung notwendigen IT-Systeme (einschließlich Notfallplänen)” einführen, dokumentieren und anwenden. Die relevanten Aspekte und Verantwortlichkeiten, sowie Anforderungen an eine jährliche Prüfung und Übungen beschreibt das BSI im Punkt 2.4 eines Dokuments, das die Anforderungen des §8a BSIG konkretisiert .

Die EU-Richtlinie NIS2 verpflichtet Unternehmen zur Umsetzung von Maßnahmen,

• „um die Risiken für die Sicherheit von Netz- und Informationssystemen zu beherrschen

• und die Auswirkungen von Sicherheitsvorfällen zu verhindern oder möglichst gering zu halten”.

Es geht dabei sowohl um technische als auch um operative und organisatorische Maßnahmen. Sie sollen geeignet und im Hinblick auf die Risiken verhältnismäßig sein und Gefahren aller Art berücksichtigen. Der Paragraf 21 definiert dafür Mindestanforderungen.

Betroffen sind Unternehmen aus definierten Sektoren (Anlage I und II), die mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von mindestens 10 Mio. EUR erwirtschaften. Die Lebensmittelindustrie fällt in den Sektor der Sonstigen Kritischen Sektoren des Anhang II.

Aktuell steht die Umsetzung der NIS2 in nationales Recht weiterhin aus. Die Verzögerung im Gesetzgebungsprozess verschafft Unternehmen mehr Zeit für die Vorbereitung. Wer die Mindestanforderungen, die in der NIS2 bereits ersichtlich sind, erfüllt, ist gut gerüstet für ein kommendes Gesetz.

BCM im Kontext der NIS2-Risikomanagementmaßnahmen

An erster Stelle werden grundlegende Maßnahmen gelistet, nämlich Konzepte für die Risikoanalyse und für die Sicherheit für Informationssysteme.

Darauf bauen die Mindestanforderungen für Business Continuity Management auf:

• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs (Backup Management)
• Wiederherstellung nach einem Notfall
• Krisenmanagement

Risiken für kritische Prozesse identifizieren und analysieren

Um geeignete Maßnahmen dafür konzipieren zu können, müssen Risiken für die Sicherheit von IT-Systemen frühzeitig erkannt und analysiert werden. Dafür gibt es bewährte Methoden:

• Eine Risk Impact Analyse (RIA) ermittelt und analysiert potenzielle Risiken für die Geschäftskontinuität, deren Eintrittswahrscheinlichkeiten und die Auswirkungen auf das OT-Netzwerk. Mit diesen Erkenntnissen können Maßnahmen gegen Bedrohungen mit einer hohen Eintrittswahrscheinlichkeit und einem großes Schadenspotenzial priorisiert werden.

• Im Rahmen einer Business Impact Analyse (BIA) werden kritische Prozesse identifiziert. Es wird bewertet, welche Auswirkungen sich durch eine Störung oder durch den Ausfall dieser Prozesse für die Geschäftskontinuität ergeben. Dafür werden wichtige Kennzahlen festgelegt: die maximal tolerierbare Ausfallzeit kritischer Prozesse (Recovery Time Objective RTO) und der Datenverlust, bis zu dem die Prozesse nach einem Ausfall wieder funktionieren (Recovery Point Objective RPO).

Ein wichtiges Instrument für eine fortlaufende Risikoanalyse ist ein OT-Asset-Management. Es liefert aktuelle Daten über den gesamten Lebenszyklus Ihrer OT-Assets, deren Zuständen, Abhängigkeiten sowie Schwachstellen. Daraus ergibt sich Klarheit darüber, welche Assets und Prozesse kritisch sind. Auf deren Absicherung müssen Security-Maßnahmen ausgerichtet werden.

Technische Maßnahmen für BCM

Zeit ist ein entscheidender Faktor für angemessene Reaktionen. Daher geht es bei geeigneten technischen Maßnahmen darum, die Transparenz in Ihrem Netzwerk zu erhöhen und Gefährdungen für ihre kritischen Prozesse frühzeitig sichtbar machen. Außerdem müssen Sie sicherstellen, dass betriebsfähige Zustände rasch wiederhergestellt werden können, sollte es zu einem Ausfall kommen. Ein funktionierendes Betriebskonzept bildet neben technischen Lösungen auch organisatorische Grundlagen und personelle Belange ab.

Business Continuity Management konform umsetzen

Der BSI-Standard 200-4 liefert eine Orientierung für den Aufbau, den Betrieb und die Weiterentwicklung eines Business Continuity Managements nach dem Stand der Technik. Bei der Vorgehensweise sind die individuellen Anforderungen und die Rahmenbedingungen in Ihrem Unternehmen maßgeblich.

Business Continuity Management System

Ein Management System für Business Continuity legt fest, wie ein Unternehmen die Aufrechterhaltung des Geschäftsbetriebes bei sicherheitsrelevanten Vorfällen erreichen kann. Die Reife des Business Continuity Managements wird dabei kontinuierlich erhöht.

Ein BCMS ist genau wie ein Information Security Management System (ISMS) ein wichtiger Teil der übergeordneten Sicherheitsstrategie im Unternehmen. Während ein ISMS die Anlagenverfügbarkeit im Normalbetrieb unterstützt, greift ein BCMS bei sicherheitsrelevanten Ereignissen. Beide Managementsysteme dienen derselben Zielsetzung. Daraus ergeben sich hilfreiche Synergieeffekte, die sowohl für den Aufbau als auch für den Betrieb eines BCM genutzt werden können.

Der BSI-Standard 200-4 gibt für den Aufbau eines BCMS einen systemischen Ansatz mit folgenden Bestandteilen vor:

• Organisation
  Rollen, Aufgaben und Zuständigkeiten der Notfallbewältigung 

• Methoden
  Business-Impact-Analyse, BCM-Risikoanalyse, Entwicklung einer BCM-Strategie und Notfallpläne

• Prozess
  Aufbau, Betrieb und Weiterentwicklung des BCM (PDCA – Plan, Do, Check, Act)

• Ressourcen
  Budget, Personal, Zeit

• Dokumentation
  Beschreibung des BCM und Notfallhandbuch

• Schnittstellen
  für die Abstimmung mit anderen Managementsystemen

Smarte Vorgehensweise bei der Umsetzung

Richten Sie Ihr Konzept grundsätzlich an die konkreten Anforderungen in Ihrem Betrieb aus. Viel wichtiger als Checklisten abzuhaken ist es, solche Maßnahmen zu priorisieren, die echte Mehrwerte für Ihr Security-Niveau bringen.

Für die notwendigen Grundlagen sorgen

Für eine erfolgreiche Implementierung Ihres Business Continuity Management ist eine gute Basis-Arbeit notwendig, auf der Ihr Projekt aufbauen kann.

Fazit

Die Komplexität der Infrastrukturen in der Produktion wächst mit dem Einsatz innovativer Technologien, die Effizienzsteigerungen und Optimierungen ermöglichen. Damit nehmen auch die Risiken für die Anlagenverfügbarkeit zu. Business Continuity Management ist nicht nur eine Anforderung aus der Regulierung, sondern im ureigenen Interesse jedes Unternehmens. Wie folgenreich ein sicherheitskritisches Ereignis im Ernstfall ist, hängt wesentlich davon ab, wie gut ein Unternehmen darauf vorbereitet ist.

BCM ist eingebettet in die unternehmensweite Security-Strategie und wird ganzheitlich auf die individuellen Anforderungen in Ihrem Betrieb ausgerichtet. Eine Umsetzung nach dem Stand der Technik kann mit dem BSI-Standard 200-4 erreicht werden.