Eine Incidentregistrierung im Maschinen- und Anlagenbau beschreibt mindestens vier Dinge: was passiert ist, welche Systeme betroffen sind, wer eingegriffen hat und wann die Situation wieder unter Kontrolle war. Das klingt einfach, aber in einer Produktionsumgebung kommt eine zusätzliche Ebene hinzu: Neben der Büroautomation laufen hier auch Steuerungssysteme von Maschinen, CNC-Geräte und Produktionslinien, die oft auf denselben Netzwerken laufen wie die Büro-IT.
Wer unter die Sorgfaltspflicht der NIS2 fällt oder von einem Auftraggeber aufgefordert wird nachzuweisen, wie Incidents behandelt werden, kann sich nicht mit einer einfachen Excel-Datei begnügen, die nur IT-Ausfälle erfasst. Ein Produktionsstillstand durch einen verschlüsselten Server, eine Steuerungsanlage, die nicht mehr reagiert, oder ein Lieferant, der sich remote auf eine Maschine einloggt und dabei versehentlich Zugang öffnet: das sind alles Ereignisse, die in derselben Registrierung gehören, auch wenn die Ursache nicht sofort klar ist.
Warum dies mehr ist als ein Ticket im Helpdesk
Incidentregistrierung ist eine der Maßnahmen, die sich aus der Sorgfaltspflicht der NIS2-Richtlinie ergeben, für Organisationen, die selbst kritisch oder wichtig sind. Für Unternehmen, die über einen Auftraggeber betroffen sind, ist es inzwischen auch einfach eine Frage in der Frageliste: Wie dokumentieren Sie, was passiert ist, und können Sie das nachweisen. Ein Überblick über das Verhältnis dieser Maßnahme zu den anderen Sorgfaltspflicht-Anforderungen finden Sie in der Übersicht aller Themen, mit für jedes Thema einer kurzen Antwort und der Fundstelle im offiziellen Text.
Der Unterschied zwischen einem Unternehmen, das dies im Griff hat, und einem, das das nicht hat, liegt selten in der Technik. Er liegt in der Gewohnheit, etwas aufzuschreiben, sobald es passiert, statt später zu rekonstruieren, was genau vorgefallen ist.
Produktionssysteme erfordern einen anderen Blick
Ein Büro-Incident ist relativ überschaubar: ein Laptop, ein Postfach, ein freigegebener Laufwerk. Im Maschinen- und Anlagenbau laufen Produktionssysteme oft jahrelang, ohne dass sich jemand noch darum kümmert, mit Zugriff für den Maschinenhersteller, einen Wartungspartner oder einen technischen Dienstleister, der remote mitschaut. Das macht es manchmal schwierig, zwischen einer Störung und einem Sicherheits-Incident zu unterscheiden: steht eine Linie still wegen Verschleiß, wegen eines fehlerhaften Updates, oder weil jemand Unbefugtes eingedrungen ist.
Genau deshalb ist es sinnvoll, in der Registrierung ein separates Feld für die Art des Systems zu haben: Büroautomation, ein Produktionssystem, das an das Unternehmensnetzwerk angebunden ist, oder ein System, das von einer dritten Partei über Fernzugriff verwaltet wird. Diese Einteilung hilft nicht nur bei der späteren Analyse, sondern auch bei der Beantwortung der Frage, die ein Auftraggeber oft stellt: Wie ist Ihre Produktionsumgebung von Ihrer Büro-IT abgegrenzt.
Was mindestens in die Registrierung gehört
Eine brauchbare Registrierung beschreibt den Zeitpunkt, zu dem das Incident bemerkt wurde und von wem, eine kurze Beschreibung dessen, was beobachtet wurde, welche Systeme oder Produktionslinien tatsächlich betroffen sind, welche Schritte unternommen wurden, um den Schaden zu begrenzen, und den Zeitpunkt, zu dem die normale Situation wiederhergestellt war. Dazu gehört auch eine kurze Schlussfolgerung: War dies ein Sicherheits-Incident, eine technische Störung, oder blieb unklar, was die Ursache war. Diese letzte Kategorie darf gerne existieren; nicht jedes Incident lässt sich innerhalb eines Tages erklären, und eine ehrliche Registrierung sagt das auch so.
Der Unterschied zwischen Dokumentation und Meldung
Dokumentation ist etwas anderes als Meldung. Organisationen, die selbst unter der NIS2-Richtlinie wesentliche oder wichtige Einrichtungen sind, unterliegen einer Meldepflicht gegenüber ihrer Aufsichtsbehörde, mit Fristen, die im Gesetz selbst festgelegt sind. Für die genauen Fristen und die Art der Meldung verweisen wir auf den offiziellen Wortlaut und auf die Aufsichtsbehörde in Ihrem Land; das ist bewusst keine Einschätzung, die wir hier treffen. Wer über die Lieferkette betroffen ist, hat in der Regel keine gesetzliche Meldepflicht, aber oft eine vertragliche Vereinbarung mit dem Auftraggeber, Vorfälle innerhalb einer vereinbarten Frist zu melden. Eine ordnungsgemäße Dokumentation ist in beiden Fällen der Ausgangspunkt: ohne Aufzeichnung gibt es nichts, worauf man sich berufen kann, wenn jemand eine Erklärung verlangt.
Wer dies in Ihrem Unternehmen verwaltet
In vielen Montage- und Fertigungsbetrieben liegt die Verantwortung für Produktionssysteme bei der Produktionsleitung, während der IT-Verantwortliche sich hauptsächlich mit der Büroautomatisierung befasst. Dies macht es wichtig, im Voraus zu bestimmen, wer Eigentümer der Vorfallsdokumentation insgesamt ist und wer bei einem konkreten Vorfall als erstes angerufen wird. Eine Dokumentation, die in zwei separaten Systemen – eines für IT und eines für Produktion – geführt wird, führt im entscheidenden Moment vor allem zu Verzögerungen.
Was secria für Sie tut und nicht tut
Secria unterstützt Sie beim Aufbau eines Dossiers, in dem diese Dokumentation einen festen Platz erhält, mit einem Status, einem Beweismittel und einem Eigentümer pro Maßnahme, sowie mit vorbereiteten Texten für den Fall, dass eine Meldung erforderlich ist. Was wir nicht tun, ist das Vorfall selbst zu beheben: keine Vorfallsbewältigung, kein SOC, keine forensische Untersuchung. Dies bleibt Fachleistung spezialisierter Anbieter, und wir bereiten vor, damit Sie, wenn es soweit ist, nicht bei null anfangen. Mehr darüber, wie wir zu unseren Informationen kommen und welche Quellen wir verwenden, lesen Sie auf der Seite über die Funktionsweise. Was das Dossier und die Vorlagen kosten, finden Sie auf der Preisseite.
Möchten Sie zunächst wissen, ob und wie Ihr Unternehmen hier genau passt, als wesentliche oder wichtige Einrichtung oder als kettenbetroffener Lieferant? Machen Sie die kostenlose NIS2-Prüfung und sehen Sie in ein paar Fragen, wo Sie stehen, oder lesen Sie weiter in der Wissensdatenbank für mehr Hintergrund zu diesem Thema.