Ich plane industrielle Leitsysteme und ihre Absicherung, für Kraftwerke, eine Gasanlage, Umspannwerke und Cyber-Einheiten von Behörden, in Israel, der Türkei, Ghana, Singapur und Japan. Diese Seite ordnet ein, welche Regeln in Deutschland für Betreiber gelten und wo ein externer OT-Ingenieur hilft.

Welche Regeln gelten

NIS2UmsuCG und das neue BSI-Gesetz

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz neu gefasst. Es unterscheidet besonders wichtige Einrichtungen, wichtige Einrichtungen und Betreiber kritischer Anlagen und verlangt unter anderem:

Risikomanagementmaßnahmen nach dem Stand der Technik, einschließlich der Sicherheit der Lieferkette
Meldungen erheblicher Sicherheitsvorfälle an das BSI: eine frühe Erstmeldung binnen 24 Stunden, die Meldung binnen 72 Stunden und einen Abschlussbericht nach einem Monat
die Registrierung beim BSI
Geschäftsleitungen, die die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen
für Betreiber kritischer Anlagen zusätzlich Systeme zur Angriffserkennung und regelmäßige Nachweise gegenüber dem BSI

KRITIS-Dachgesetz

Das KRITIS-Dachgesetz setzt die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER) um und ist seit März 2026 in Kraft. Es regelt den physischen Schutz und die Resilienz der Anlagen: Risikobewertungen, Resilienzmaßnahmen und Meldungen von Störungen, mit dem BBK als zuständiger Behörde. Die Cybersicherheit bleibt im BSIG. Beide Gesetze treffen sich an derselben Anlage, und eine gute Risikoanalyse deckt beide Blickwinkel ab.

IEC 62443 und BSI IT-Grundschutz

Die Gesetze sagen, was erreicht werden muss. ISA/IEC 62443 und der IT-Grundschutz sagen, wie: Zonen und Conduits, Security Level und die Anforderungen an Hersteller und Integratoren. Im IT-Grundschutz-Kompendium beschreiben die IND-Bausteine die Leittechnik, darunter IND.1 Prozessleit- und Automatisierungstechnik, IND.2.1 Allgemeine ICS-Komponente, IND.2.2 Speicherprogrammierbare Steuerung (SPS) und IND.3.2 Fernwartung im industriellen Umfeld. Branchenspezifische Sicherheitsstandards (B3S), etwa für Wasser und Abwasser, und für Energienetze der IT-Sicherheitskatalog der Bundesnetzagentur ergänzen das.

Was die vier Leistungen dazu beitragen

Risikoanalysen Die Bestandsaufnahme, mit der das Risikomanagement nach BSIG und die Risikobewertung nach dem KRITIS-Dachgesetz beginnen: jede Steuerung, Station, jeder Switch, jede Firewall und Diode, die Zugänge, die Angriffsszenarien und ein Bericht, den Aufsicht und Prüfer lesen können.
OT-Sicherheitsarchitektur IT/OT-Trennung, Zonen und Conduits nach IEC 62443, abgesicherte Fernwartung (IND.3.2) und passive Überwachung im Leitnetz als Grundlage eines Systems zur Angriffserkennung.
Leittechnik-Planung Neue Anlagen und Modernisierungen mit den Sicherheitsanforderungen schon im Lastenheft und in den Lieferverträgen, damit Lieferkette und Stand der Technik nicht nachträglich hergestellt werden müssen.
Unternehmensberatung Für Geschäftsleitungen, die nach dem BSIG die Maßnahmen billigen und überwachen: Prioritäten, Budget und der kontrollierte Einsatz von KI neben Betriebsdaten.

Für das Betriebspersonal gibt es den ICS-Sicherheitskurs in ein-, zwei- und dreiwöchigen Fassungen, mit Laboren für Angriff und Abwehr an echten Steuerungen.

Nachweise aus der Praxis

ICL-Kraftwerke, 2017 und 2018. Eine vollständige Erfassung der Leitsysteme, Komponenten, Teilsysteme, Switches, Stationen, Server, Firewalls und Dioden; das Ergebnis wurde der Aufsichtsbehörde vorgelegt. Risikoanalysen
EnerjiSA, Türkei, 2017: Wasserkraftwerke. Eine Risikoanalyse nach Cyberangriffen auf die Anlagen, mit vollständiger Erfassung des Leitnetzes, der Schwachstellen und der Herkunft der Angriffe.
Delek, 2016. Eine Risikoanalyse der Gasanlage.
Neun Umspannwerke, Ghana, 2018. GRAPHENE, passive Angriffserkennung, überwacht die Leitnetze der Umspannwerke.
SPARTA. Ein Schutzmodul für den HMI-Server, in den USA patentiert als 11,621,972 B2.
Schulungen für Behörden. Ein dreiwöchiger ICS-Sicherheitskurs für das Innenministerium Singapurs und ein zweiwöchiger Kurs für die Cyber-Einheiten der japanischen Polizei. Der Kurs

Diese Projekte fanden in Israel, der Türkei, Ghana, Singapur und Japan statt. Die Arbeitsweise ist die, die auch das BSIG verlangt: zuerst die Bestandsaufnahme, dann Segmentierung, Überwachung und ein Plan für den Ernstfall.

Erstes Gespräch

Ein erstes Gespräch ist kostenlos und dauert eine halbe Stunde. Nennen Sie mir die Branche, Ihre Einstufung nach dem BSIG und ungefähr die Zahl der Standorte und Steuerungen. Bestandsaufnahmen finden vor Ort statt; Analyse, Planung und Prüfungen gehen auch aus der Ferne. Israel liegt den größten Teil des Jahres eine Stunde vor Deutschland.

Erstgespräch vereinbaren

Oder schreiben Sie an mail@ilanshaya.com.

OT-Sicherheit für KRITIS-Betreiber