Dienstleistungen · Cybersicherheit und Konformität
Prüfung und Anpassung der Cybersicherheit von Funknetzen und Überwachungssystemen nach ISA/IEC 62443-3-3 SL2 und der Richtlinie NIS2.
Wir prüfen die Anlage aus Sicht der Cybersicherheit: Trennung zwischen Anlagennetz und Unternehmens-IT, Verwaltung der Benutzerkonten und der Fernzugänge, Verschlüsselung der Verbindungen, Aktualisierung der Geräte, Protokollierung der Ereignisse und Wiederherstellung des Dienstes. Sie erhalten einen Bericht mit dem festgestellten Zustand und den Abweichungen von den Anforderungen der Norm ISA/IEC 62443-3-3 Security Level 2 und der Richtlinie NIS2 sowie einen nach Priorität geordneten Maßnahmenplan.
Funk- und Überwachungsanlagen sind als abgeschottete Systeme entstanden und heute mit dem IT-Netz des Betreibers verbunden. Bei den Standortbegehungen finden wir immer dasselbe: Geräte, die aus dem Büronetz erreichbar sind, Management-Oberflächen noch mit den Zugangsdaten des Herstellers, ein einziges Benutzerkonto, das sich sämtliche Techniker teilen, einen Fernzugang, der für einen Lieferanten geöffnet und nie wieder geschlossen wurde. Im laufenden Betrieb fällt das niemandem auf: Die Rechnung kommt, wenn jemand unbefugt in die Anlage gelangt.
Wir gehen von der realen Anlage aus, nicht von einem Fragebogen. Wir erfassen die Geräte im Netz, ihre Verbindungen untereinander und nach außen, die aktiven Benutzerkonten und die Fernzugänge und vergleichen den festgestellten Zustand anschließend mit den Anforderungen der Norm ISA/IEC 62443-3-3 Security Level 2 und der Richtlinie NIS2 (EU 2022/2555). Sie erhalten einen Bericht mit den Abweichungen und einen nach Priorität geordneten Maßnahmenplan; auf Wunsch führen wir die Maßnahmen aus und prüfen das Ergebnis gemeinsam mit den Technikern des Kunden. Konformitätsbescheinigungen stellen wir nicht aus: Diese Verantwortung bleibt beim Betreiber der Infrastruktur, unser Beitrag ist der technische Teil, den wir realisieren und warten. Die Zertifizierung ISO 27001 unseres Managementsystems für Informationssicherheit ist in Bearbeitung.
Wie wir vorgehen.
Die drei Wege, auf denen wir die Cybersicherheit einer Anlage angehen, von der Bewertung einer Anlage im Betrieb bis zu den Anforderungen an eine neue Anlage.
Bewertung einer Anlage im Betrieb
Wir erfassen Geräte, Verbindungen, Benutzerkonten und Fernzugänge einer Anlage im laufenden Betrieb, vergleichen den festgestellten Zustand mit den Anforderungen der Norm ISA/IEC 62443-3-3 Security Level 2 und der Richtlinie NIS2 und beschreiben jede Abweichung mit Angabe des Geräts oder der Verbindung, auf die sie sich bezieht.
Anpassung der Anlage
Wir führen die vom Kunden freigegebenen Maßnahmen in den vereinbarten Zeitfenstern aus: Trennung zwischen Anlagennetz und Unternehmens-IT, Überarbeitung der Benutzerkonten und der Fernzugänge, Verschlüsselung der Verbindungen, zentrale Erfassung der Ereignisse und Sicherungskopien der Konfigurationen.
Sicherheit in neuen Anlagen
In den Anlagen, die wir planen und realisieren, legen wir die Anforderungen an die Cybersicherheit bereits in der Leistungsbeschreibung und in der Netzarchitektur fest und prüfen sie bei der Abnahme gemeinsam mit den Funkmessungen.
Was wir an der Anlage prüfen.
Die Punkte, die wir bei der Bewertung untersuchen und bei der Anpassung bearbeiten, nach Bereichen gruppiert.
Netzarchitektur und Segmentierung
- Trennung zwischen dem Netz der Funkanlage und der Unternehmens-IT des Kunden
- Aktuelles Verbindungsschema mit den tatsächlich genutzten Netzen, Geräten und Ports
- Übergänge nach außen: Fernzugänge der Lieferanten, Verbindungen zwischen den Standorten und in die Cloud
- Firewall-Regeln und zugelassener Verkehr zwischen den Netzsegmenten
- Aufspüren von Geräten im Netz, die in keiner Bestandsliste auftauchen
Benutzerkonten, Zugriffe und Identitäten
- Aktive Benutzerkonten auf Geräten und Plattformen, mit der jeweils zugewiesenen Rolle
- Noch genutzte werkseitige Zugangsdaten des Herstellers und von mehreren Technikern geteilte Konten
- Konten von Personen, die die Organisation verlassen oder die Aufgabe gewechselt haben
- Mehr-Faktor-Authentifizierung und Anbindung an das unternehmensweite Single Sign-on (SSO), soweit die Geräte es zulassen
- Nachvollziehbarkeit der Vorgänge je Bediener an den Leitstellenkonsolen
Verschlüsselung von Kommunikation und Daten
- Verschlüsselung der Verbindungen zwischen Geräten, Plattformen und Bedienplätzen: In Respondr ist die Kommunikation mit TLS 1.3 und AES-256 verschlüsselt
- Noch aktive unverschlüsselte Management-Protokolle auf den Geräten: Weboberflächen im Klartext, SNMP v1 und v2c
- Verschlüsselung auf der Luftschnittstelle, sofern die eingesetzte Funktechnik sie vorsieht
- Verwaltung der Zertifikate und Schlüssel: Ausstellung, Austausch und Ablaufdaten
- Schutz der Kommunikationsaufzeichnungen und der auf den Plattformen gespeicherten Daten
Geräte, Firmware und bekannte Schwachstellen
- Geräteliste mit Modell, Standort und installiertem Firmware-Stand
- Abgleich der installierten Stände mit den von den Herstellern bereitgestellten Versionen, einschließlich Prüfung der veröffentlichten Sicherheitshinweise
- Aktive Dienste und Ports auf den Geräten, mit Abschaltung der nicht genutzten
- Planung der Aktualisierungen in den vereinbarten Zeitfenstern, mit Funktionsprüfung vor der Wiederinbetriebnahme
- Bedienplätze: Betriebssystem, installierte Programme und Umgang mit Wechseldatenträgern
Ereignisprotokollierung und Aufbewahrung der Logs
- Von Funkgeräten, Netzwerkgeräten und Überwachungsplattformen protokollierte Ereignisse
- Zentrale Sammlung der Logs über Syslog und über SNMP statt ausschließlich lokaler Protokollierung im Gerät
- Zeitsynchronisierung auf sämtlichen Geräten: ohne gemeinsame Zeitbasis lassen sich die protokollierten Ereignisse nicht vergleichen
- Aufbewahrung der Logs und der Kommunikationsaufzeichnungen für den mit dem Kunden vereinbarten Zeitraum
- Weiterleitung der relevanten Ereignisse an die Leitstelle und an die vom Kunden benannten Ansprechpartner
Betriebskontinuität und Wiederherstellung
- Sicherungskopien der Konfigurationen von Geräten, Endgeräten und Konsolen, außerhalb der Anlage aufbewahrt
- Wiederherstellungstest eines Geräts aus der aufbewahrten Sicherungskopie, um deren Verwendbarkeit zu belegen
- Redundanz von Geräten, Verbindungen und Bedienplätzen, abgeglichen mit den Vorgaben des Projekts
- Schriftliche Verfahrensanweisung für den Wiederanlauf des Dienstes, mit zugewiesenen Rollen und den zu kontaktierenden Ansprechpartnern
- Verhalten der Anlage bei Ausfall der Stromversorgung und beim Wegfall der Verbindungen nach außen
Leitstelle und Kommunikationsplattformen
- Dispatch-Konsolen und Bedienplätze: Benutzerkonten, Profile je Rolle und je Bediener protokollierte Vorgänge
- Sprachaufzeichnung: Zugriff auf die Aufzeichnungen, Suche und Sicherungskopien
- Verbindungen zwischen den Plattformen, den Funknetzen, den Gateways und den Systemen des Kunden
- Betriebsart der Plattformen (Cloud, on premise oder gemischt) und Ort der Datenhaltung
- Im Feld installierte Überwachungsgeräte (TP-CELLX, TP-RFX, TP-CCV2) und deren Anbindung an das Anlagennetz
Konformität und Dokumentation
- Anforderungen der Norm ISA/IEC 62443-3-3 Security Level 2, angewendet auf die Architektur der Anlage
- Technische Maßnahmen nach der Richtlinie NIS2 (EU 2022/2555) für den Anlagenteil, den wir realisieren und warten
- Zwischen dem Kunden und Teleproject vereinbarte Rollen und Verantwortlichkeiten für jede Maßnahme
- Anforderungen an die Cybersicherheit in den Leistungsbeschreibungen von Ausschreibungen und in Wartungsverträgen
- Technische Anlagendokumentation als Beilage zu den Konformitätsnachweisen des Kunden
Wie ein Einsatz abläuft.
Der Ablauf von der ersten Aufnahme vor Ort bis zur Schlussprüfung der ausgeführten Maßnahmen.
- Schritt 01
Aufnahme der Anlage
Wir erfassen Geräte, Verbindungen, Benutzerkonten und Fernzugänge gemeinsam mit den Technikern des Kunden und sammeln die vorhandene Netzdokumentation und die verfügbaren Konfigurationen.
- Schritt 02
Abgleich mit den Anforderungen
Wir vergleichen den festgestellten Zustand mit den Anforderungen der Norm ISA/IEC 62443-3-3 Security Level 2 und der Richtlinie NIS2 und beschreiben anschließend jede Abweichung mit Angabe des Geräts oder der Verbindung, auf die sie sich bezieht.
- Schritt 03
Bericht und Maßnahmenplan
Wir übergeben den Bericht mit den festgestellten Abweichungen und den nach Priorität geordneten Maßnahmenplan und unterscheiden dabei die im Betrieb ausführbaren Maßnahmen von denen, die eine Abschaltung der Anlage erfordern.
- Schritt 04
Anpassung der Anlage
Wir führen die vom Kunden freigegebenen Maßnahmen in den vereinbarten Zeitfenstern aus: Trennung der Netze, Überarbeitung der Benutzerkonten, Verschlüsselung der Verbindungen, zentrale Erfassung der Ereignisse und Sicherungskopien der Konfigurationen.
- Schritt 05
Prüfung und Übergabe
Wir prüfen gemeinsam mit dem Kunden, dass jede Maßnahme ausgeführt wurde, aktualisieren die Anlagendokumentation und halten das Ergebnis im Protokoll fest. Auf Wunsch schulen wir das Personal, das die Geräte betreut.
Was Sie erhalten.
Die Unterlagen, die beim Kunden verbleiben, nutzbar im Betrieb, für die Konformitätsnachweise sowie bei Audits und Ausschreibungen.
- Bericht zum Sicherheitszustand
Der festgestellte Zustand Gerät für Gerät und Verbindung für Verbindung, mit den Abweichungen von den Anforderungen der Norm ISA/IEC 62443-3-3 Security Level 2 und der Richtlinie NIS2.
- Netz- und Verbindungsschema
Das aktualisierte Schema der Verbindungen zwischen den Geräten der Anlage und den Systemen des Kunden, mit den Netzen, den genutzten Ports und den Zugangspunkten von außen.
- Maßnahmenplan
Die vorgeschlagenen Maßnahmen, nach Priorität geordnet, mit dem Hinweis, welche im laufenden Betrieb ausführbar sind und welche ein vereinbartes Zeitfenster erfordern.
- Geräteliste mit den Firmware-Ständen
Modell, Standort und Firmware-Stand jedes mit dem Netz verbundenen Geräts: die Grundlage, um die Aktualisierungen zu planen und die von den Herstellern veröffentlichten Sicherheitshinweise zu bewerten.
- Verzeichnis der Benutzerkonten und Profile
Die aktiven Benutzerkonten auf Geräten und Plattformen, die jeweils zugewiesene Rolle und die vereinbarten Regeln, um sie anzulegen, zu ändern und zu deaktivieren.
- Unterlagen für Nachweise und Ausschreibungen
Die technischen Unterlagen als Beilage zu den Konformitätsnachweisen des Kunden und zu Ausschreibungsangeboten, zusammen mit den Verfahren für den Wiederanlauf des Dienstes.
Für welche Branchen.
Die Branchen, die diese Dienstleistung am häufigsten in Anspruch nehmen.
Autobahnen und Tunnel
Wir planen, installieren und warten die Funkversorgung und die Überwachungssysteme für Autostrade per l’Italia, SITMB, SAV, RAV, Asti-Cuneo und viele weitere Konzessionäre: In über zwanzig Jahren haben wir mehr als 500 km Strecke und über 100 Tunnel ausgestattet.
Versorger und Industrie
Wir planen, installieren und warten professionelle Funknetze, ATEX-zertifizierte PoC-Geräte und LoRaWAN-Sensornetze für Energieversorger, Versorgungsunternehmen und industrielle Hochrisikoumgebungen: für Kunden wie Iren bringen wir über zwanzig Jahre Erfahrung in der Mission-critical-Kommunikation ein.
Öffentliche Sicherheit
Wir planen, realisieren und warten Mission-critical-Funknetze und Leitstellen für Ordnungskräfte, Rettungsdienste und die Protezione Civile: TETRA-, DMR- und P25-Netze mit der Dispatching-Plattform Respondr und über zwanzig Jahren Erfahrung in der Kommunikation, in der ein Ausfall nicht zulässig ist.
Häufige Fragen.
Die Fragen, die uns zu dieser Dienstleistung am häufigsten gestellt werden.
Betrifft die Richtlinie NIS2 auch unser Funknetz?
Die Richtlinie NIS2 (EU 2022/2555) gilt für Organisationen, nicht für einzelne Geräte: Sie bestimmt anhand von Sektor und Größe, welche Einrichtungen den Pflichten unterliegen, und jeder Mitgliedstaat setzt sie in nationales Recht um. Fällt die Organisation darunter, müssen das Funknetz und die Überwachungssysteme, die den Dienst tragen, gemeinsam mit der übrigen IT-Infrastruktur abgesichert werden. Ob die Pflicht besteht, stellt die Organisation selbst fest: Wir arbeiten an den technischen Maßnahmen des Anlagenteils, den wir realisieren und warten.
Ist eine Sicherheitsprüfung auch dann nötig, wenn das Funknetz nicht mit dem Internet verbunden ist?
Ja, denn ein wirklich abgeschottetes Netz ist selten. Bei den Standortbegehungen finden wir fast immer einen für einen Lieferanten geöffneten Fernzugang, eine Verbindung zum Büronetz oder zu einem anderen Standort oder die Wechseldatenträger und Notebooks, mit denen die Techniker an den Geräten arbeiten. Abschottung behebt ohnehin nicht die Mängel, die uns am häufigsten begegnen: noch aktive werkseitige Zugangsdaten des Herstellers, ein einziges Benutzerkonto für sämtliche Techniker und Konfigurationen, von denen niemand eine Sicherungskopie aufbewahrt.
Muss ein Gerät, das für die Anforderungen zu alt ist, zwangsläufig ersetzt werden?
Nicht immer. Wenn ein Gerät keine Mehr-Faktor-Authentifizierung zulässt oder nur unverschlüsselte Management-Protokolle anbietet, lässt sich das Risiko über die übrige Anlage senken: Trennung des Netzes, in dem das Gerät steht, Zugriff nur von festgelegten Arbeitsplätzen, Abschaltung nicht genutzter Dienste und zentrale Erfassung der Ereignisse. Fast sämtliche dieser Maßnahmen lassen sich im laufenden Betrieb ausführen; die Maßnahmen, die einen Neustart erfordern, werden in einem Zeitfenster vereinbart. Reichen auch diese Maßnahmen nicht aus, benennt der Bericht die verbleibende Abweichung und die Gründe, aus denen sich ein geplanter Austausch empfiehlt, sodass der Kunde ihn in die Investitionsplanung aufnehmen kann, statt ihn als unvorhergesehenes Ereignis zu bewältigen.
Wie oft muss die Sicherheitsbewertung wiederholt werden?
Eine feste Frist gibt es nicht: Die Bewertung wird wiederholt, wenn sich die Anlage ändert. Eine neue Verbindung nach außen, ein Lieferant, der einen Fernzugang erhält, der Austausch von Geräten oder ein zusätzlicher Standort verändern das zuvor festgestellte Bild und machen den Bericht in diesen Punkten hinfällig. Besteht ein Wartungsvertrag, lässt sich die regelmäßige Prüfung der Benutzerkonten, der Firmware-Stände und der Sicherungskopien darin vereinbaren.
Fordern Sie ein Angebot für Cybersicherheit und Konformität an.
Einer unserer Project Manager analysiert die spezifischen Anforderungen des Projekts und erstellt ein eigens darauf zugeschnittenes technisch-wirtschaftliches Angebot.