Mit einem Pilotprojekt in vier Schritten zum Erfolg
Bild 02: Schottel und Wago legen durch die Implementierung der IACS-Richtlinien UR E26 und E27 eine Basis zur sicheren Schifffahrt. (Quelle: Schottel)
Bild 03: Wago Security Consulting für einen ganzheitlichen Schutz: In vier Schritten zu cyberresilienten Automatisierungslösungen im Marinebereich. (Quelle: Wago)
Bild 03: Zusammenarbeit im Zeichen der Sicherheit (v. l.): Tim Hommrich und Gerald Püschel, Hard- und Softwareentwickler bei Schottel, und Jens Sparmann, Security-Systemspezialist bei Wago. (Quelle: Wago)
Bild 05: Die Antriebssysteme von Schottel erfüllen hohe Securitystandards. Wago unterstützt mit Automatisierungslösungen und Beratungsdienstleistungen im Bereich Cybersecurity. (Quelle: Schottel)
Bild 06: Schottel setzt bei der Entwicklung auf den PFC200 von Wago, mit dem die vielfältigen Anforderungen des maritimen Standards IACS UR E27 optimal umgesetzt werden. (Quelle: Wago)
„Als erstes gemeinsames Projekt haben wir unsere Querstrahlanlage ausgewählt“ (Bild 6), erklärt G. Püschel. „Als Grundlage für die Bewertung und Verbesserung der Sicherheit unserer Systeme konnten wir uns an der Normenreihe IEC 62443 orientieren, nach der Lieferanten und Integratoren gemeinsam eine Risikobeurteilung durchführen müssen.“
J. Sparmann betreut Schottel bei diesem Projekt und führt aus: „Wago Security Consulting unterstützt und koordiniert die enge Zusammenarbeit und Kommunikation zwischen Schottel und anderen Akteuren, um die IACS-Richtlinien zu erfüllen und eine hohe Cyberresilienz des Gesamtsystems zu gewährleisten.“ Er ergänzt: „Wir konnten uns an der DIN EN IEC 62443-3-2 (VDE 0802-3-2):2021- 12 [11] orientieren, die den Ablauf für die Risikoanalyse einer Anlage vorgibt. Die zu erfüllenden Anforderungen im maritimen Umfeld beschreiben wiederum die UR E27 und die DIN EN IEC 62443-3-3 (VDE 0802-3-3): 2020-01 [12].“
Die DIN EN IEC 62443- 3-2 (VDE 0802-3-2):2021-12 sieht zunächst eine oberflächliche Risikoanalyse vor, gefolgt von einem umfassenden Asset Management, um die zu schützenden Systeme und Komponenten zu identifizieren. Anschließend erfolgt eine Zoneneinteilung, bei der das System in Bereiche mit unterschiedlichen Sicherheitsanforderungen und deren Verbindungen unterteilt wird, um gezielte Schutzmaßnahmen zu ermöglichen. „Dazu gehört die Identifikation aller relevanten Komponenten, von den Fahrständen auf der Brücke und deren möglichen Varianten über den lokalen Fahrstand am Schaltschrank, die Visualisierung, die leistungselektrischen Komponenten zur Ansteuerung der Elektromotoren bis hin zu den Schnittstellen zu anderen Systemen“, erklärt J. Sparmann. „Sämtliche Schnittstellen und Kommunikationswege müssen offengelegt werden, um mögliche Angriffspunkte zu identifizieren.“
Nach der Systemdefinition folgt die Bedrohungsanalyse: Sämtliche potenzielle Bedrohungen und Schwachstellen, die sich auf das Gesamtsystem auswirken können, werden identifiziert. „Dabei wurden seitens Wago sowohl externe als auch interne Gefahren berücksichtigt, während wir von Schottel beurteilen konnten, wie diese Komponenten im Gesamtsystem zusammenwirken“, so T. Hommrich. Das Ergebnis dieses Schritts ist eine Liste potenzieller Risiken, die nach Wahrscheinlichkeit und Auswirkung bewertet werden.
„Auf Basis dieser Risikobewertung konnten wir dann gemeinsam spezifische Gegenmaßnahmen definieren, die notwendig sind, um die identifizierten Risiken zu minimieren“, berichtet J. Sparmann. G. Püschel erläutert weiter: „Die definierten Sicherheitsanforderungen können sowohl auf der Komponenten- als auch auf der Systemebene umgesetzt werden (Bild 6).“ „Schließlich haben wir differenzierte Testverfahren definiert, mit denen die Wirksamkeit der umgesetzten Sicherheitsmaßnahmen überprüft werden kann“, ergänzt T. Hommrich.
Zuverlässigkeit und Sicherheit im Schiffsbetrieb
Die Ergebnisse liegen nun einer der größten Klassifikationsgesellschaften, Lloyd’s Register [12], vor und dienen als Grundlage für die Zertifizierung der Querstrahlanlage von Schottel. Schon jetzt können die beteiligten Mitarbeiter ein positives Zwischenfazit ziehen: „Unsere Kunden legen großen Wert darauf, dass die Antriebssysteme hohe Cybersecuritystandards erfüllen“, erklärt T. Hommrich. „Die Entwicklung ist ein dynamischer und kontinuierlicher Prozess. Wie bei anderen sicherheitsrelevanten Themen am Schiff ist die Zertifizierung einer Klassifikationsgesellschaft erforderlich – denn ihre unabhängige Prüfung bestätigt nochmals Zuverlässigkeit und Sicherheit im Schiffsbetrieb.
Auch die Zusammenarbeit mit Wago wird sehr geschätzt: „Cybersecurity ist ein hochsensibles Thema. Wir haben beidseitig ein hohes Maß an Entwicklungskompetenz in ein sicheres Gesamtsystem einfließen lassen. Damit sind wir bestens vorbereitet, um unsere weiteren Antriebssysteme zertifizieren zu lassen“, resümiert G. Püschel. J. Sparmann bekräftigt: „Cybersecurity ist ein zentrales Thema – zu Lande, zu Wasser und in der Luft – wir folgen unseren Kunden dorthin, wo sie uns brauchen. Mit jedem Projekt lernen auch wir dazu und diese Anpassungsfähigkeit ist bei einem so dynamischen Thema ein enormer Vorteil für alle Beteiligten.“
Literatur
- Cyberresilienz-Verordnung/Cyber Resilience Act (CRA): Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828. Amtsblatt der Europäischen Union ABl. L 2024/2847 vom 20.11.2024, S. 1 – 81. Online-Dokument unter http://data.europa.eu/eli/reg/2024/ 2847/oj
- The Network and Information Security (NIS) Directive: Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148. Amtsblatt der Europäischen Union ABl. L 333 vom 27.12.2022, S. 80 – 152. Online-Dokument unter http://data.europa.eu/eli/ dir/2022/2555/oj
- UR E26 REV1 CR (Rev. 1, November 2023): Cyber resilience of ships. London/UK: IACS – the International Association of Classification Societies, https://iacs.org.uk/resolutions/unifiedrequirements/ ur-e
- UR E27 Rev1 CLN (Rev. 1, September 2023): Cyber resilience of on-board systems and equipment. London/UK: IACS – the International Association of Classification Societies,https://iacs.org.uk/resolutions/unified-requirements/ur-e
- IACS – the International Association of Classification Societies, London/UK, https://iacs.org.uk
- International Maritime Organization (IMO), London/UK: www.imo.org
- IEC/TS 62443-1-5:2023-09: Security for industrial automation and control systems – Part 1–5: Scheme for IEC 62443 security profiles. Genf/Schweiz: Bureau Central de la Commission Electrotechnique Internationale
- Wago GmbH & Co. KG, Minden: www.wago.com
- Wago Security Consulting, Minden: www.wago.com/de/offene-automatisierung/cyber-security/cybersecurity- consulting utm_source=press&utm_medium=pr_ad&utm_term=5_5_cover_qr&utm_ content=etz_awareness&utm_campaign=207002
- Schottel GmbH, Spay/Rhein: www.schottel.de
- DIN EN IEC 62443-3-2 (VDE 0802-3-2):2021-12: IT-Sicherheit für industrielle Automatisierungssysteme – Teil 3-2: Sicherheitsrisikobeurteilung und Systemgestaltung. Berlin · Offenbach: VDE VERLAG
- DIN EN IEC 62443-3-3 (VDE 0802-3-3):2020-01: Industrielle Kommunikationsnetze – IT-Sicherheit für Netze und Systeme– Teil 3-3: Systemanforderungen zur IT-Sicherheit und Security-Level. Berlin · Offenbach: VDE VERLAG.
- Lloyd‘s Register Group Services Limited, London/UK: www.lr.org/en