Den physischen Betrieb hinter dem digitalen Dienst sehen
Ein digitaler Ausfall kann Räume unzugänglich machen, Versorgung beeinträchtigen oder notwendige Informationen für einen Eingriff unbrauchbar werden lassen. Cyberphysische Resilienz betrachtet deshalb die Verbindung zwischen digitalen Systemen und realen Betriebsfunktionen. NIST ordnet unter anderem Gebäudeautomation und physische Zutrittskontrolle der Operational Technology zu. Deren Schutz muss Verfügbarkeit, Zuverlässigkeit und Sicherheit der physischen Umgebung berücksichtigen. Die strategische Aufgabe besteht nicht darin, jede technische Einstellung selbst festzulegen, sondern geeignete Schutz- und Wiederherstellungsfähigkeiten mit klarer Verantwortung und ausreichenden Mitteln zu ermöglichen.
Physische Betriebsfähigkeit bei digitalen Störungen schützen
Kritikalität aus der Nutzung ableiten
Nicht jeder vernetzte Sensor ist gleich wichtig. Die Beurteilung folgt der Wirkung eines Ausfalls, einer falschen Information oder eines unzulässigen Eingriffs auf den unterstützten Prozess. Gemeinsame Plattformen, Identitätsdienste, Fernzugänge und Netzverbindungen können mehrere Systeme zugleich betreffen. Die Strategie betrachtet diese gemeinsamen Ursachen ausdrücklich. Ein formales Verzeichnis von Geräten genügt nicht; die Abhängigkeiten zwischen Leistung, Steuerung und notwendiger Hilfe müssen verständlich sein. Besonders wichtig ist, welche Betriebsfunktion bei Ausfall fortgeführt werden muss und welche Nutzung begrenzt oder eingestellt werden muss.
|
| Betriebsfunktion | Welche reale Leistung hängt vom System ab? | Kritikalität aus dem Auftrag ableiten. |
| Gemeinsame Ursache | Identität, Netz oder Fernzugang | Mehrfachausfälle nicht als unabhängig behandeln. |
| Schutz | Vorbeugung und kontrollierte Änderungen | Technische und betriebliche Anforderungen abstimmen. |
| Rückfall und Wiederanlauf | Menschen, Daten und überprüfte Verfahren | Sicherungsdatei allein genügt nicht. |
| Führungsentscheidung | Vertretbare Grenzen und finanzierte Fähigkeit | Unzulässigen Betrieb nicht durch Risikofreigabe erlauben. |
Schutz und Wiederherstellung gemeinsam finanzieren
Vorbeugende Sicherheitsmaßnahmen reduzieren Risiken, können aber nicht jedes Ereignis ausschließen. Die Planung umfasst daher auch Erkennung, fachlich abgestimmte Reaktion und Wiederherstellung. Datenkopien sind nur dann hilfreich, wenn erforderliche Systeme, Konfigurationen, Zugänge und Menschen ebenfalls verfügbar sind. Wiederanlaufpläne berücksichtigen die physische Situation; eine Anlage kann nach einem digitalen Vorfall eine fachliche Zustandsprüfung benötigen. Die dafür erforderlichen Zeiträume und Mittel werden im Betriebsmodell berücksichtigt. Eine Versicherungsleistung oder ein externes Serviceversprechen ersetzt diese tatsächlichen Fähigkeiten nicht.
Fachübergreifende Verantwortung organisieren
FM, Informationstechnik, Informationssicherheit, technische Fachverantwortliche und Dienstleister klären ihre Beiträge gemeinsam. Wer darf einen Fernzugang freigeben? Wer bewertet die betriebliche Folge einer Abschaltung? Wer bestätigt einen sicheren Wiederanlauf? Die Antworten müssen im Ereignisfall ausführbar sein. Pauschale Zuständigkeiten wie „Cyber ist IT“ lassen die physische Wirkung häufig offen. Umgekehrt kann FM nicht eigenständig sämtliche Informationssicherheitsanforderungen festlegen. Die gemeinsame Architektur verbindet fachliche Grenzen mit klaren Entscheidungs- und Eskalationswegen.
Geschützte Funktionen und Wiederherstellung belegen
In fachlich freigegebenen, sicher begrenzten Übungen wird geprüft, ob notwendige Betriebsfunktionen bei einem digitalen Ausfall erhalten bleiben und geordnet wiederhergestellt werden können. Dazu gehören erreichbare Menschen, wirksame Befugnisse, verfügbare Informationen und tatsächlich nutzbare Ersatzverfahren. Der Beitrag wird anhand bestätigter Wiederherstellungsfähigkeit beurteilt, nicht aus dem bloßen Ausbleiben eines Vorfalls abgeleitet. FM, IT und Fachverantwortliche entscheiden festgestellte Lücken und finanzieren deren Bearbeitung. Ein Schadenereignis kann weiterhin eintreten. Entscheidend ist, ob seine Auswirkungen verantwortbar begrenzt und erforderliche Funktionen wieder verfügbar werden, ohne Schutzgrenzen für einen schnellen Wiederanlauf außer Kraft zu setzen.
