Das IT-Grundschutz-Profil für die chemische Industrie

Das Profil richtet sich an Betreiber verfahrenstechnischer Produktionsanlagen, die PLT-S und PLT-Betriebseinrichtungen mit Sicherheitsfunktion (PLT-BS) zur Verhinderung von Störfällen einsetzen, und dort an die Personen, die für alle Lebensphasen der OT verantwortlich sind, sowie an jene, die IT-Services für die OT bereitstellen (Kap. 3.1). Sein Gegenstand ist enger als der Titel vermuten lässt: Im Mittelpunkt steht die Funktion der Sicherheitseinrichtung, bestehend aus Sensor, Logiksystem und Aktor (Kap. 7). Schutzziele wie Anlagenverfügbarkeit oder Know-how-Schutz klammert es bewusst aus, soweit sie nicht die Sicherheitsfunktion berühren (Kap. 3.2, Anhang A).

Die Referenzarchitektur gliedert die Anlage in Zonen (Kap. 6.4). Zone A, der Kern der PLT-S, umfasst alles, was für die Ausführung der Sicherheitsfunktion unerlässlich ist: Logiksystem, Ein- und Ausgabebaugruppen, Remote-I/O, Sensoren, Aktoren und die Verbindungen dazwischen. Zone B, die erweiterte PLT-S, enthält Komponenten, die auf Zone A einwirken können, etwa Bedienstationen, Programmierstationen und Konfigurationsgeräte. Zone C ist die Produktionsumgebung mit der Betriebsleittechnik (PLT-B), also deren Sensoren, Aktoren, Logiksystem, Bedien- und Programmierstation. Dazu kommen die Zone OT-Infrastruktur und DMZ mit unterstützenden Diensten wie Datensicherung und der Anbindung an zentrale IT-Systeme, in der die Abbildungen 1 bis 3 auch das Betriebsdateninformationssystem, Sprungserver, Verzeichnisdienst, ERP-System und Cloud-Service zeigen, sowie die Zone IT-Infrastruktur, die das Profil nur „der Vollständigkeit“ halber darstellt (Kap. 6.4.5).

Quer dazu stehen drei Modellarchitekturen (Kap. 6.6): In Modellarchitektur 1 sind Betriebs- und Sicherheitseinrichtung vollständig getrennt, mit eigenen Sensoren, Aktoren, Logiksystemen, Programmier- und Bedienstationen; der erhöhte Schutzbedarf beschränkt sich dann auf die Zonen A und B. In Modellarchitektur 2 teilen sich beide eine Programmierstation und gemeinsam genutzte Feldgeräte, wodurch Zugriffe aus Zone C nach Zone A möglich werden; der Schutzbedarf der gemeinsam genutzten Feldgeräte vererbt sich auf ihre Verbindungen, und die gemeinsame Programmierstation hat einen höheren Schutzbedarf als eine reine PLT-S-Programmierstation. In Modellarchitektur 3 sind die Logiksysteme in einer Komponente vereint und werden über eine gemeinsame Bedienstation bedient. Das Profil hält fest, dass es in realen Anlagen zu Mischformen kommen kann und der Betreiber seine Anlage anhand der Modelle selbst bewerten muss (Kap. 6.3).

Ausgeschlossen ist die IT-Infrastruktur der Institution: Der Informationsverbund reicht „bis hin zu den Schnittstellen zur allgemeinen IT-Infrastruktur“ (Kap. 5.2). Ebenfalls nicht betrachtet werden die physische Netzstruktur mit Switches, Firewalls und Gateways, weil sie je nach Anlage und Hersteller zu stark variiert (Anhang B, 11.2.15), und Komponenten, die nur beim Versagen weiterer Sicherheitsfunktionen einen Störfall herbeiführen können; deren Absicherung liegt im Ermessen des Betreibers (Kap. 5.2). Für Servicegeräte wie Laptops und Smartphones von Betreiber oder Dienstleistern stellt das Profil keine Verbindungen zu den Zonen A, B und C dar, weil sie in allen Zonen mobil eingesetzt werden (Kap. 6.6).

Schutzbedarf aus der funktionalen Sicherheit: Das Profil verbindet die Schadensszenarien des IT-Grundschutzes mit einer Kategorisierung aus der NAMUR-Empfehlung NA 163 (Anhang A). A1 bedeutet, die Sicherheitsfunktion löst ohne Anforderung aus; das ist nicht gefährlich, kann aber die Produktion unterbrechen, und entspricht normalem Schutzbedarf. A2 bedeutet, die Funktion ist deaktiviert; A3, sie ist deaktiviert und der Anforderungsfall wird zugleich herbeigeführt. A2 und A3 stehen für hohen und sehr hohen Schutzbedarf (Tab. 11 bis 13). Weil eine deaktivierte Funktion bei den regelmäßigen Funktionsprüfungen wahrscheinlich auffiele, unterstellt das Profil als Ziel eines Angriffs stets A3 (Anhang A, 11.1.1). Von den sechs Schadensszenarien hält es nur drei für relevant: Verstoß gegen Gesetze, Vorschriften oder Verträge, Beeinträchtigung der persönlichen Unversehrtheit und finanzielle Auswirkungen (11.1.2).

Gemeinsam genutzte Komponenten als Kern der Risikobewertung: Statt Bausteine nur Zielobjekten zuzuordnen, zeigt das Profil für jede Komponente, wie sich dieselbe Gefährdung je nach Modellarchitektur auswirkt. Ein manipulierter Sensor führt bei getrennter Nutzung zu A2, bei gemeinsamer Nutzung durch Betriebs- und Sicherheitseinrichtung zu A3, weil beide Logiksysteme dieselben falschen Werte erhalten (Tab. 14). Für ein integriertes Logiksystem führt jede Manipulation zu A3 (11.2.3.3). Anhang B beschreibt so Sensor, Aktor, Logiksystem, Programmier-, Bedien-, Konfigurations- und Servicegeräte, das Betriebsdateninformationssystem und die Dienste der OT-Infrastruktur mit typischen Protokollen, Gefährdungen und gängigen Absicherungen. Eine Risikobewertung nimmt es ausdrücklich nicht vor (11.2).

Ausnahmen mit Verfahren: Kapitel 9 ist für OT-Betreiber wohl der praktischste Teil. Es trennt generische Restrisiken, die sich schon aus einem Maßnahmenkatalog ergeben, von spezifischen, die erst in der Anlage sichtbar werden, und nennt Beispiele für kompensierende Maßnahmen, etwa ein nicht aktualisierbares System in ein eigenes Segment mit vorgeschalteter DMZ zu stellen oder fehlende persönliche Konten durch Schichttagebücher organisatorisch auszugleichen (Kap. 9.2). Ausnahmen genehmigt ein benanntes Expertengremium des OT-Security-Management-Systems zusammen mit dem Betreiber, zeitlich befristet, zentral gespeichert und mit festen Prüffragen bei Verlängerung (Kap. 9.3).

Bezug zu anderen Regelwerken: Nach eigener Angabe berücksichtigt das Profil die Leitfäden und Arbeitsblätter KAS-51, TRBS 1115-1, VDI/VDE 2182, NA 163, NE 165 und NA 169 und will Betreibern zeigen, welche Aspekte schon durch andere Standards erfüllt sein sollten (Kap. 3.2). Kapitel 1 schließt mit dem Satz, die Vorgehensweise des IT-Grundschutzes stelle „eine Lösungsvariante für die Erfüllung der Anforderungen aus dem KAS-51 dar“. Anhang C ordnet Abschnitte von KAS-51 Normabschnitten und Bausteinen zu. Wir geben diese Bezüge wieder, prüfen sie aber nicht.

Bausteinauswahl nach Mehrheitsprinzip: Kapitel 8 wählt die Bausteine, die „für eine Mehrheit der Anlagen zur Anwendung kommen“, und lässt ausdrücklich zu, auf Grundlage einer systemischen Risikobeurteilung auf bausteinspezifische Anforderungen zu verzichten. Über die Basis- und Standard-Anforderungen hinaus fordert es nur eine Anforderung für erhöhten Schutzbedarf ausdrücklich: ISMS.1.A16 „Erstellung von zielgruppengerechten Sicherheitsrichtlinien“ (Tab. 4). Welche weiteren Anforderungen das in Kap. 4.1 beschriebene, über normal liegende Schutzniveau erfordert, bleibt dem Betreiber überlassen.

Das Profil setzt voraus, dass die IT-Infrastruktur in einem eigenen ISMS geführt wird, und betrachtet seinen Informationsverbund nur bis zu den Schnittstellen dorthin. Die Objekte, die an dieser Grenze stehen oder sie überqueren, beschreibt es in Anhang B, lässt aber offen, wer für sie zuständig ist. Die Matrix fasst diese Objekte zusammen. Legen Sie für jede Zeile drei Dinge fest: wer das Objekt betreibt (OT-Betrieb, IT-Betrieb oder Dienstleister), in welchem Informationsverbund es geführt wird und wer Änderungen freigibt. Jede Zeile, in der zwei Verbünde berührt sind, ist eine Schnittstelle, die Sie nach BSI-Standard 300-1 Kap. 3.1 dokumentieren.

Für eine Chemieanlage ändert der Wechsel nach Grundschutz++ drei Dinge: Die NA-163-Stufen müssen auf zwei Schutzbedarfskategorien passen, Steuerungen, Sensoren und Aktoren finden keine eigene Zielobjektkategorie, und der Katalog nennt OT nur in einer Anforderung. Eine Fassung des Chemieprofils für Grundschutz++ haben wir bis zum 02.11.2026 nicht gefunden; es beruht auf BSI-Standard 200-2 und Bausteinen der Editionen 2022 und 2023.

Erstens der Schutzbedarf. Das Profil ordnet A1 dem normalen, A2 und A3 dem hohen und sehr hohen Schutzbedarf zu; Grundschutz++ kennt für Geschäftsprozesse nur normal und hoch, und eigene Kategorien „sind hierbei auf die Schutzbedarfskategorien des GS++ zu mappen“ (300-1 Kap. 2.6). Unter den Hilfen zur Ermittlung eines hohen Schutzbedarfs nennt 300-1 die Beeinträchtigung der persönlichen Unversehrtheit ohne Einschränkung (ebd.). Ein Produktionsprozess, dessen Sicherheitseinrichtungen nach Profil vor A2 und A3 schützen, wird nach dieser Hilfestellung in aller Regel als hoch einzustufen sein; die Einstufung trifft der Betreiber. Für Prozesse mit hohem Schutzbedarf ist eine Risikobetrachtung erforderlich (Kap. 2.6, 2.11). Die NA-163-Einstufung des Profils können Sie als Begründung verwenden. Die Unterscheidung der Modellarchitekturen bleibt wichtig: Sie entscheidet, welche Assets dem Prozess mit hohem Schutzbedarf zugeordnet sind.

Zweitens die Zielobjekte. Anhang 1 von 300-1 kennt keine Zielobjektkategorie für Steuerungen, Sensoren oder Aktoren; auch im Anwenderkatalog Build 2026-10-29 ist keine Anforderung einer solchen Kategorie zugeordnet. Logiksysteme, Programmier- und Bedienstationen führen Sie als IT-Systeme, den EMSR-Schaltraum als Raum für technische Infrastruktur, für den 300-1 „Schaltraum“ ausdrücklich als Beispiel nennt. Für Sensoren und Aktoren, die mit den vorhandenen Kategorien „nicht hinreichend abgedeckt“ sind, ist nach 300-1 Kap. 2.11 eine explizite Risikobetrachtung erforderlich.

Drittens der Katalog selbst. Von 1.000 Anforderungen des Anwenderkatalogs spricht genau eine OT ausdrücklich an: ARCH.2.2.5 „OT-Systeme“ verlangt, Verbindungen zwischen OT-Systemen und anderen IT-Systemen einzuschränken (normal-SdT, SOLLTE). Daneben nennen einige Erläuterungen OT oder industrielle Steuerungssysteme, etwa zu ARCH.2.1 „Netzsegmente“ und ARCH.2.4 „Inventar der Netze“, zu BES.2.1.4.1 „Kompatibilität der Schnittstellen“ und zu DET.4.2 „Automatische Angriffserkennung“, die für OT-Systeme ohne Installationsmöglichkeit einen kombinierten Ansatz aus Netzwerk- und Loganalyse als sinnvoll nennt. Eine Anforderung zur funktionalen Sicherheit, zur Rückwirkungsfreiheit einer Sicherheitseinrichtung oder zum Änderungsmanagement nach Functional Safety Management enthält der Katalog nicht. Was das Profil und die IND-Bausteine dazu verlangen, führen Sie in Grundschutz++ als ergänzende Anforderungen (300-1 Kap. 3.4.3).

Für die 91 Bausteine, die das Profil als relevant markiert, haben wir den Mapping-Entwurf IT-Grundschutz 2023 → Grundschutz++ ausgezählt. Mitgezählt sind auch die Bausteine, die das Profil nur bedingt für relevant hält; SYS.2.2.2 ist nicht mitgezählt, für die entfallenen OPS.2.1 und OPS.3.1 haben wir ihre Nachfolger OPS.2.3 und OPS.3.2 eingesetzt (unser Vorschlag). Die Datei steht auf Status „draft“ (Stand 21.07.2026), die Ziele haben wir im Anwenderkatalog Build 2026-10-29 aufgelöst. Das Ergebnis ist ein Entwurf und keine amtliche Zuordnung.

Das Profil nennt die Störfall-Verordnung (12. BImSchV), die Gefahrstoffverordnung, die Betriebssicherheitsverordnung, KAS-Leitfäden, TRBS 1115-1, NAMUR-Empfehlungen, VDI/VDE-Richtlinien und IEC 61511. Unter anderem grenzt es PLT-S von sicherheitsrelevanten Anlagenteilen im Sinne der Störfall-Verordnung ab und hält fest, dass es auf beide angewendet werden kann (Kap. 5.1). Diese Einordnungen geben wir nur wieder. Welche Pflichten aus Anlagensicherheits-, Arbeitsschutz- oder Immissionsschutzrecht für Ihre Anlage gelten und ob die Umsetzung des Profils sie erfüllt, entscheidet diese Seite nicht.

Ob und mit welchen Pflichten das heutige BSI-Gesetz für Ihr Unternehmen gilt, entscheidet diese Seite ebenfalls nicht. Der Verweis des Profils auf § 8a BSIG bezieht sich auf die Rechtslage vor der Neufassung des Gesetzes.

Die Umsetzung des Profils ist kein Nachweis gegenüber einer Behörde, einem Sachverständigen oder einer Zertifizierungsstelle. Das Profil selbst erwartet, dass sich der Aufwand für die Vorbereitung von Audits verringert (Kap. 3.2); eine Nachweiswirkung schreibt es sich nicht zu. Dass das BSI es herausgegeben hat, macht es nicht zu einer Vorgabe für Ihre Anlage.