Das IT-Grundschutz-Profil für Papierfabriken

Das Profil versteht sich als Schablone: „Ein IT-Grundschutz-Profil ist ein Muster-Sicherheitskonzept, das als Schablone für Institutionen mit vergleichbaren Rahmenbedingungen dient“ (Kap. 2). Es richtet sich an Geschäftsleitung, IT-Administration und Qualitätsmanagement einer Papierfabrik (Kap. 7.1) und deckt bewusst nur drei Geschäftsprozesse ab: Order-to-Cash mit Vertrieb und Auftragsabwicklung, Finanzen und Controlling sowie Planung; Produktion mit Rohstoffversorgung, Energieversorgung, Entsorgung, Instandhaltung und Wartung, MES und Prozessleitsystem sowie Qualitätsleitsystem; Logistik mit automatisiertem Lager, Versand und Transport (Kap. 10.1.1). Die Landkarte der Logistik ergänzt Disposition und Zollanmeldung über das Verfahren Atlas (Anhang 3).

Alle anderen Prozesse einer Papierfabrik sind ausgeschlossen. Die Autoren halten die drei Prozesse für „ausreichend repräsentativ für alle nicht berücksichtigten Geschäftsprozesse“ (Kap. 9.2), sagen aber auch: Um den Handlungsbedarf für den gesamten Betrieb zu ermitteln, müssten die übrigen Prozesse nach derselben Vorgehensweise aufgenommen werden (Kap. 7.2). Verweise auf andere Profile gibt es nicht (Kap. 9.3).

Die Referenzarchitektur nennt 23 Anwendungen vom SAP-ERP über EDI, Banking-Software, Office 365 und Zoll-Applikation bis zu Produktionsplanung, MES, Qualitäts- und Prozessleitsystem, Umwelt- und Energiemanagementsystemen, Lagerverwaltung und Yard-Management mit LKW-Selbstbedienung und Waage (Kap. 10.1.2). Bei den IT-Systemen stehen neben Servern, Clients und Mobilgeräten auch Kiosk-Systeme, IP-Kameras, Sensoren, SPS, EWS, HMI und „Maschine“ (Kap. 10.1.3). Das Wort Papiermaschine kommt im Profil nicht vor; die Produktionstechnik erscheint nur in diesen allgemeinen Objektarten. Zu den Räumen zählen ein ausgelagertes Rechenzentrum, Technikraum, Netzverteilschrank oder -raum, das Werksgelände mit Yard, Home-Office und mobiles Arbeiten (Kap. 10.1.5).

Der Netzplan der „Muster-Papierfabrik“ (Kap. 10.3) zeigt Verwaltung mit Serverraum, Produktion mit Produktionssteuerung, Logistik mit Lager und Werksgelände sowie ein „Kraftwerk“ mit eigener Steuerung. Eine Firewall ist nur am Übergang zum mobilen Arbeiten eingezeichnet; Produktion, Kraftwerk und Logistik hängen über Switches am Serverraum. Einen Zugang für die Fernwartung zeigt der Netzplan nicht. Weicht Ihre Fabrik von der Referenzarchitektur ab, sind zusätzliche oder fehlende Zielobjekte zu dokumentieren und passenden Bausteinen zuzuordnen (Kap. 10.2).

Die Landkarten im Anhang sind das eigentliche Arbeitsmittel des Profils. Sie ordnen je Geschäftsprozess Anwendungen, IT-Systeme und Räume den Bausteinen zu und markieren mit Sternen, wo die Bausteine nicht genügen: ein Stern heißt, die Bausteine sind „allein nicht ausreichend“, zwei Sterne, dass „im IT-Grundschutz-Kompendium dazu kein Baustein“ vorliegt und Anforderungen individuell zu entwickeln sind, in der Regel mit Risikoanalyse (Anhang 4). Ausrufezeichen kennzeichnen Objekte mit hoher Priorität.

In der Landkarte der Produktion (Anhang 2) haben sechs von neun Anwendungen zwei Sterne: Produktionsplanung, MES, Qualitätsleitsystem, Prozessleitsystem, Umweltsysteme und Energiemanagementsystem, dazu die Schnittstelle zwischen MES und ERP. Einen Baustein haben nur ERP und Office, die cloudbasierte Personaleinsatzplanung dazu OPS.2.2 mit einem Stern. Bei den Systemen ist es umgekehrt: SPS, EWS, HMI, Maschine, Sensoren und Safety Instrumented Systems bekommen die Industrie-Bausteine IND.2.1, IND.2.2, IND.2.3, IND.2.4 und IND.2.7, EWS, HMI, Maschine und Sensoren aber mit einem Stern. Der übergreifende Baustein IND.1 steht mit Priorität R2 in Kapitel 11.2. Das Profil benennt damit offen, dass es im Kompendium 2019 für die Anwendungen der Leittechnik, also MES, Prozessleit- und Qualitätsleitsystem, keinen Baustein gab.

Fernwartung modelliert das Profil nur als übergreifenden Baustein OPS.2.4 mit der Reihenfolge R3, also zur Bearbeitung „erst nach den anderen Bausteinen“ (Kap. 11.2). Keine Landkarte ordnet ihn einem Objekt zu, und der Netzplan zeigt keinen Fernwartungsweg. Was es heute dazu gibt, hat das Profil nicht kennen können: Seit der Edition 2022 enthält das Kompendium den Baustein IND.3.2 „Fernwartung im industriellen Umfeld“; er beschreibt unter anderem Anlagenteile, die Hersteller als geschlossene Einheit liefern und mit eigenen Fernwartungszugängen ausstatten (IND.3.2 Kap. 1.1). Schon in IND.2.4 Maschine verlangt eine Basis-Anforderung eine zentrale Richtlinie für die Fernwartung durch Maschinen- und Anlagenbauer (IND.2.4.A1). Für die Praxis heißt das: Die Fernwartung Ihrer Produktionsanlagen ist nach dem Profil der am schwächsten modellierte Teil, obwohl das Profil selbst empfiehlt, die Anforderungen an Dienstleister in die Verträge zu schreiben: „Die hier formulierten Anforderungen sollten in den Vertragsbedingungen enthalten sein“ (Kap. 7.2).

Für den Teilprozess Energieversorgung empfiehlt das Profil zusätzlich die Standard-Anforderungen (Kap. 8.3, Anhang 4). In der Landkarte sind die zugehörigen Objekte unterstrichen: MES, Prozessleitsystem, Umwelt- und Energiemanagementsystem, Windows-Server und -Clients, Netze, SPS, EWS, HMI, Maschine, Sensoren sowie Smartphones und Tablets. Der Netzplan zeigt dafür das Segment „Kraftwerk“. Im Text heißt der Teilprozess nur Energieversorgung; ob eine eigene Erzeugungsanlage gemeint ist, sagt das Profil nicht.

Die Prüfliste fasst die Objekte zusammen, die das Profil mit einem oder zwei Sternen markiert, uneinheitlich behandelt oder gar nicht abbildet. Gehen Sie sie mit IT-Leitung, Produktions- oder Leittechnik und Einkauf durch. Jede Zeile, die auf Ihre Fabrik zutrifft, ist ein Asset oder eine Schnittstelle, die Sie dokumentieren (Profil Kap. 10.2), und in den meisten Fällen ein Kandidat für die Risikobetrachtung. Die rechte Spalte zeigt, wo das Ergebnis in Grundschutz++ landet: als Asset einer Zielobjektkategorie nach BSI-Standard 300-1 Anhang 1, als Schnittstelle nach Kap. 3.1 oder als ergänzende Anforderung nach Kap. 3.4.3.

Basis-Absicherung als Einstieg: Das Profil setzt bewusst keinen Fokus auf den Schutzbedarf, weil die Basis-Absicherung „eine grundlegende Absicherung in der Breite und nicht Tiefe“ sei (Kap. 8.2). Es geht für alle drei Prozesse von normalem Schutzbedarf aus, empfiehlt aber dringend eine eigene Schutzbedarfsfeststellung (Kap. 13). Die Tabellen zu den drei Kategorien bleiben allgemein, mit tolerierbaren Ausfallzeiten von 24 bis 72 Stunden bei normal, einer bis 24 Stunden bei hoch und unter einer Stunde bei sehr hoch; Beispiele aus der Papierfabrik enthalten sie nicht (Tab. 1 bis 3). ISO-27001-Kompatibilität sieht es erst bei durchgängiger Standard-Absicherung (Kap. 8.4).

Reihenfolge für die Leitung: Die Landkarten sollen zugleich Entscheidungsgrundlage für die Unternehmensleitung und „Umsetzungs-Fahrplan“ für IT-Fachleute sein (Kap. 11.1). Die übergreifenden Bausteine haben Reihenfolgen von R1 bis R3; vorrangig (R1) sind Sicherheitsmanagement, Organisation, Personal, Schulung, Identitäts- und Berechtigungsmanagement, Datensicherung, Löschen, Administration, Patches, Schadprogrammschutz, Protokollierung und Software-Freigaben (Kap. 11.2).

Unstimmigkeiten, auf die Sie beim Übernehmen achten sollten: INF.8 Häuslicher Arbeitsplatz steht in der Landkarte der Produktion beim Home-Office, fehlt aber in der Bausteinliste von Kapitel 11.3. Safety Instrumented Systems stehen mit IND.2.7 in Landkarte und Bausteinliste, nicht aber in der Liste der IT-Systeme in Kapitel 10.1.3. Technikraum und Schaltschrank haben in der Landkarte Order-to-Cash einen Stern, in Produktion und Logistik zwei Sterne. Das Datum der Finalisierung lautet in der Änderungshistorie 01.07.2019, in Kapitel 3 „Juni 2019“.

Das Papierfabrikprofil ist zwei Schritte von Grundschutz++ entfernt: Es nutzt Bausteine der Edition 2019, von denen neun im Kompendium 2023 nicht mehr unter ihrer Kennung stehen, und es bleibt bei der Basis-Absicherung, die BSI-Standard 300-1 nicht mehr kennt. Eine Fassung für das Kompendium 2023 oder für Grundschutz++ haben wir bis zum 02.11.2026 nicht gefunden.

Erstens das Niveau. Das Profil verlangt als Minimum die Basis-Anforderungen, Standard-Anforderungen nur für die Energieversorgung. BSI-Standard 300-1 kennt keine Basis-Absicherung. Er gibt zwei Schutzbedarfskategorien vor, normal und hoch, und hält fest: „Im Ergebnis muss, für ein zertifizierbares ISMS, in der niedrigsten Kategorie stets der Stand der Technik eingehalten werden“ (Kap. 2.6). Für normalen Schutzbedarf gilt das Sicherheitsniveau normal-SdT des Anwenderkatalogs (Kap. 3.4.2). Wer nur die Basis-Anforderungen des Profils umgesetzt hat, findet im Katalog also deutlich mehr Anforderungen, die für die Produktion gelten.

Zweitens die Kennungen. Das Profil nennt 74 Bausteine in Kapitel 11 und einen weiteren, INF.8, nur in einer Landkarte. Neun der 74 gibt es im Kompendium 2023 nicht mehr unter ihrer Kennung. Für sechs nennt das Kompendium einen Nachfolger: CON.4 wurde APP.6 Allgemeine Software, CON.5 wurde APP.7 Entwicklung von Individualsoftware, APP.5.1 wurde APP.5.3 Allgemeiner E-Mail-Client und -Server, INF.3 und INF.4 gingen in INF.12 Verkabelung auf (Kompendium 2021, Tabelle der umbenannten und verschobenen Bausteine), und OPS.2.1 wurde durch OPS.2.3 Nutzung von Outsourcing ersetzt (Kompendium 2023, Kapitel „Neues“). Für OPS.2.4 Fernwartung, OPS.1.2.3 Informations- und Datenträgeraustausch und SYS.3.4 Mobile Datenträger haben wir keinen ausdrücklich genannten Nachfolger gefunden; nach Titel und Gegenstand ordnen wir OPS.1.2.5 Fernwartung, CON.9 Informationsaustausch und SYS.4.5 Wechseldatenträger zu und zählen sie getrennt. Mehrere Bausteine heißen heute anders, IND.1 etwa seit 2021 „Prozessleit- und Automatisierungstechnik“ statt „Betriebs- und Steuerungstechnik“.

Drittens die Bausteine selbst. Für die 66 Bausteine, die es 2023 unter gleicher Kennung gibt, haben wir den Mapping-Entwurf IT-Grundschutz 2023 → Grundschutz++ ausgezählt. Die Datei steht auf Status „draft“ (Stand 21.07.2026), die Ziele haben wir im Anwenderkatalog Build 2026-10-29 aufgelöst. Das Ergebnis ist ein Entwurf und keine amtliche Zuordnung.

Das Profil nennt weder einzelne Gesetze noch eine Aufsicht. Ob eine Papierfabrik unter das heutige BSI-Gesetz fällt, prüft diese Seite nicht. Dasselbe gilt für Pflichten aus dem Umwelt- oder Energierecht, die Umweltsysteme und eine eigene Energieerzeugung berühren können.

Die funktionale Sicherheit von Sicherheitssteuerungen (Safety Instrumented Systems) ist ein eigenes Fachgebiet. Das Profil ordnet ihnen den Baustein IND.2.7 zu; ob eine Änderung an diesen Systemen sicherheitstechnisch zulässig ist, beantworten weder Profil noch Grundschutz++.

Die Umsetzung des Profils ist kein Nachweis gegenüber einer Behörde und keine Zertifizierung; die Autorinnen und Autoren übernehmen laut Kap. 4 des Profils für die Auswirkungen auf die Rechtsposition der Parteien keine Haftung. Dass das BSI die Workshops moderiert und das Profil veröffentlicht hat, macht es nicht zu einer Vorgabe für Ihre Fabrik.