Fachbeiträge zur OT Security
Kompakte Antworten auf konkrete Fragen aus Betrieb, Engineering und Compliance – mit Primärquellen und fachlichem Stand.
NIS2 in Deutschland: Was OT-Betreiber jetzt prüfen müssen
Seit dem 6. Dezember 2025 gilt das neu gefasste BSIG. OT-Betreiber prüfen zuerst, ob eine ihrer Tätigkeiten einem Sektor nach Anlage 1 oder 2 BSIG zuzuordnen ist, dann Größenkriterien und Sonderregeln. Betroffene Einrichtungen registrieren sich beim BSI, beziehen die relevante OT in ihr Risikomanagement nach § 30 BSIG ein, bereiten die gestufte Meldung erheblicher Sicherheitsvorfälle vor und binden die Geschäftsleitung nach § 38 BSIG ein.
Stand:
Internetverbundene OT-Systeme absichern: Priorisierte Maßnahmen für Betreiber
Zuerst exponierte Systeme identifizieren, dann direkte Internet-Erreichbarkeit von Steuerungen und HMIs beenden, Fernzugriffe über ein zentrales, stark authentisiertes Gateway führen, Standardpasswörter ersetzen und verbleibende Übergänge überwachen. Ziel ist, dass kein OT-Gerät ohne kontrollierten Übergang von außen erreichbar ist.
Stand:
Fernwartung in der Produktion: Sicherheitsarchitektur, Zuständigkeiten und Nachweise
Sichere Fernwartung bündelt alle externen Zugriffe in einem zentralen Zugangsweg über eine industrielle DMZ. Der Betreiber gibt jede Sitzung frei, Techniker melden sich personalisiert mit Multi-Faktor-Authentisierung an, erreichen nur die freigegebenen Systeme, und jede Sitzung wird protokolliert. Zuständigkeiten sind vertraglich zwischen Betreiber und Hersteller geregelt.
Stand:
IEC 62443 und ISO 27001: Wie technische OT-Sicherheit und ISMS zusammenwirken
ISO 27001 ist ein Managementsystem-Standard für Informationssicherheit im gesamten Unternehmen. IEC 62443 ist eine Normenreihe für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme mit Anforderungen an Betreiber, Integratoren und Komponentenhersteller, etwa Zonen, Conduits und Security Level. In der Praxis setzt das ISMS den Rahmen, IEC 62443 liefert die OT-spezifischen technischen Anforderungen.
Stand:
OT-Security-Gap-Analyse: Von der Bestandsaufnahme zur umsetzbaren Zielarchitektur
Eine OT-Security-Gap-Analyse vergleicht den tatsächlichen Sicherheitszustand von Anlagen, Netzen und Prozessen mit einem definierten Sollbild, etwa aus IEC 62443 oder § 30 BSIG. Ergebnis ist eine Liste bewerteter Lücken, eine Zielarchitektur und ein nach Risiko, Umsetzbarkeit und Betriebsrelevanz priorisierter Maßnahmenplan mit Zuständigkeiten.
Stand:
Cyber Resilience Act und OT-Security: Was Maschinenbauer und Hersteller vernetzter Industrieprodukte jetzt vorbereiten sollten
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) legt Herstellern von Produkten mit digitalen Elementen Cybersicherheitspflichten über den gesamten Produktlebenszyklus auf: sichere Entwicklung, Schwachstellenbehandlung, Sicherheitsupdates und technische Dokumentation. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten seit dem 11. September 2026, die übrigen wesentlichen Pflichten grundsätzlich ab dem 11. Dezember 2027. Der CRA richtet sich an Hersteller – NIS2/BSIG an erfasste Einrichtungen als Betreiber.
Stand:
OT Recovery Readiness Check: Produktionssysteme nach einem Cybervorfall sicher wiederherstellen
Voraussetzung ist, dass vor dem Vorfall bekannt ist, welche Steuerungen, Engineering-Systeme und Abhängigkeiten kritisch sind, dass aktuelle und integre Sicherungen von SPS-Programmen, Konfigurationen und Projektdaten offline oder unveränderbar vorliegen und dass ein abgestimmter Wiederanlaufplan mit Reihenfolge, Zuständigkeiten und Abnahmekriterien existiert. Ein OT Recovery Readiness Check prüft genau diese Punkte und dokumentiert Lücken mit Prioritäten.
Stand:
NIST SP 800-82 Revision 4: Welche Entwicklungen für die OT-Security relevant sind
NIST hat am 21. September 2026 den öffentlichen Entwurf der Revision 4 des Guide to Operational Technology Security veröffentlicht. Für die Praxis relevant sind ein breiteres OT-Sektorenverständnis, ein stärkerer Fokus auf Asset Management und Netzwerküberwachung, die Übertragung von Zero-Trust-Prinzipien auf OT und die Einbettung von OT-Risiken in das unternehmensweite Risikomanagement. SP 800-82 ist eine internationale Orientierungshilfe, keine verbindliche deutsche Vorgabe.
Stand: