Ein Fragebogen eines Kunden in der Metall- und Fertigungsindustrie dreht sich fast immer um dasselbe Thema: Wie ist Ihre Produktionsumgebung gesichert, und was geschieht, wenn diese Umgebung durch einen Ausfall oder einen Angriff beeinträchtigt wird. Das ist kein Zufall. Maschinen, Betriebssysteme und Messinstrumente sind zunehmend an dasselbe Netzwerk angeschlossen wie die Büroautomatisierung, und genau diese Verbindung zwischen Produktion und IT ist das, worauf ein Kunde achtet.
Die Fragen unterscheiden sich je nach Kunde, aber die Kategorien sind bemerkenswert konstant: Welche Systeme haben Sie erfasst, ist Ihr Produktionsnetzwerk vom Bürobereich getrennt, wie gehen Sie mit veralteten Maschinen um, wer hat Fernzugriff zur Wartung, und was tun Sie, wenn eine Produktionslinie durch einen Ausfall stillsteht. Wer diese Kategorien erkennt, braucht einen Fragebogen nicht als Überraschung zu erleben.
Warum die Produktionsumgebung im Mittelpunkt steht
Ein Metallverarbeitungs- oder Maschinenbaubetrieb läuft auf Ausrüstungen, die oft Jahre oder Jahrzehnte halten: CNC-Maschinen, Speicherprogrammierbare Steuerungen, SCADA-Systeme. Diese Ausrüstungen wurden selten mit Blick auf eine Internetverbindung entwickelt, werden aber in der Praxis angeschlossen, beispielsweise zur Fernüberwachung oder zur Übertragung von Produktionsdaten. Ein Kunde, der selbst unter die Sorgfaltspflicht der NIS2-Richtlinie fällt, muss beurteilen, welche Risiken seine Lieferanten mit sich bringen. Eine Produktionsumgebung, die an das Netzwerk angeschlossen ist, ohne klare Trennung vom Rest der Infrastruktur, ist darin ein naheliegendes Anliegen.
Dies erklärt, warum Fragebögen in diesem Sektor häufiger als anderswo zur Unterscheidung zwischen IT (Büroumgebung) und OT (Betriebstechnik, Produktionssysteme) nachfragen. Eine allgemeine Frage wie "Haben Sie eine Informationssicherheitsrichtlinie" wird in der Metall- und Fertigungsindustrie fast immer durch eine spezifischere Frage ergänzt: "Ist Ihr Produktionsnetzwerk logisch oder physisch von Ihrem Büronetzwerk getrennt".
Die Fragen, die fast immer wiederkehren
In Fragebögen an Zulieferer in diesem Sektor kommen einige Themen bemerkenswert häufig vor. Zunächst die Übersicht: Haben Sie eine aktuelle Bestandsaufnahme aller Systeme, die mit Ihrer Produktionsumgebung verbunden sind, einschließlich Maschinen, die nicht mehr vom Hersteller unterstützt werden. Danach die Trennung zwischen Netzwerken und die Frage, ob ein separates Segment für Systeme existiert, die nicht mehr gepatcht werden können.
Ein drittes wiederkehrendes Thema befasst sich mit Fernzugriff: Welche Lieferanten oder Servicetechniker können sich ferngesteuert bei Ihren Maschinen anmelden, und wie ist dieser Zugriff gesichert und protokolliert. Ein viertes Thema befasst sich mit Kontinuität: Was geschieht, wenn eine Produktionslinie durch ein technisches Problem oder einen Angriff stillsteht, und wie schnell können Sie weitermachen. Schließlich fragt ein Kunde oft nach Vorfallregistrierung: Dokumentieren Sie, wenn etwas in Ihrer Produktionsumgebung schiefgeht, und wer in Ihrer Organisation wird davon unterrichtet.
Wer überprüfen möchte, ob die eigene Organisation über die Lieferkette mit solchen Fragen konfrontiert wird und in welche Kategorie sie fällt, findet in ein paar Fragen, die in wenigen Minuten einen ersten Anhaltspunkt geben einen Ausgangspunkt für diese Erklärung.
Ältere Maschinen sind nicht immer einfach zu beantworten
Für viele Unternehmen in diesem Sektor ist die schwierigste Frage nicht die Frage selbst, sondern die Antwort darauf. Eine fünfzehn Jahre alte Maschine läuft oft auf Software, die nicht mehr aktualisiert wird, und ein Austausch ist teuer. Eine Frageliste verlangt dann nicht zwingend, diese Maschine zu ersetzen, sondern nachzuweisen, dass Sie wissen, wo das Risiko liegt und welche Maßnahmen Sie dagegen ergriffen haben — beispielsweise durch die Platzierung des Geräts in einem separaten Netzwerksegment ohne direkte Internetverbindung.
Dieser Unterschied — zwischen "das Risiko beseitigen" und "das Risiko kennen und beherrschen" — ist genau das, worauf ein Auftraggeber üblicherweise hinarbeitet. Die Richtlinie selbst und die daraus hervorgegangenen nationalen Gesetze, wie das Cyberbeveiligingswet, beschreiben solche Sorgfaltsmassnahmen in allgemeinen Begriffen; die Aufsichtsbehörde veröffentlicht darüber hinaus praktische Erläuterungen. Eine Übersicht über die genaue Bedeutung dieser Begriffe finden Sie unter den Themen, die je nach Situation ausgearbeitet sind.
Fernzugriff als separater Schwerpunkt
Fernwartung ist in der Metall- und Fertigungsindustrie oft unvermeidlich: ein Maschinenlieferant muss manchmal aus der Ferne eine Störung beobachten können. Fragelisten widmen diesem Punkt bewusst Aufmerksamkeit, weil dies eine der häufigsten Möglichkeiten ist, wie ein Problem bei einer Partei auf eine andere übergreifen kann. Eine klare Antwort beschreibt, wer Zugriff hat, wie dieser Zugriff gewährt und entzogen wird, und ob ein Protokoll über wer wann angemeldet war gepflegt wird.
Was Sie mit einer eingegangenen Frageliste tun
Eine Frageliste eines Auftraggebers ist in erster Linie eine Anfrage um Transparenz, nicht eine Prüfung mit einer festgelegten Punktzahl. Eine klare Antwort, auch wenn dies bedeutet, dass eine Maßnahme noch in Entwicklung ist, wird in der Regel besser aufgenommen als eine Liste mit Häkchen ohne Begründung. Für Fragen darüber, was ein Auftraggeber genau fragen darf und wie weit diese Frage gehen darf, wird empfohlen, die Veröffentlichungen der Aufsichtsbehörde zu konsultieren oder einen Juristen einzubeziehen; secria.eu bereitet Antworten und Dokumente vor, meldet und registriert jedoch niemals im Namen des Kunden.
Weitere Hintergrundinformationen darüber, wie diese Informationen zusammengestellt wurden und welche Quellen dabei verwendet wurden, finden Sie auf der Seite, die zeigt, woher die Informationen stammen. Antworten auf häufig gestellte Fragen zu Fragelisten und die Rolle von Lieferanten finden Sie unter der Sammlung häufig gestellter Fragen.
Möchten Sie wissen, ob Ihr Unternehmen über die Lieferkette mit dieser Art von Fragelisten konfrontiert wird, oder suchen Sie eine Erklärung für einen bestimmten Begriff aus einer Frageliste, die Sie bereits erhalten haben? Der kostenlose Quick-Check und die Wissensdatenbank vermitteln in einer halben Stunde einen ersten Überblick, ohne dass dafür ein Konto erforderlich ist.