Das KRITIS-IT-Grundschutz-Profil für Raffinerien

Die kritische Dienstleistung ist laut Profil die Erzeugung von Kraftstoff, Flugkraftstoff oder Heizöl aus Rohöl (Kap. 2, 3). Andere Produkte wie Bitumen zählen nicht dazu, das Profil weist aber darauf hin, dass alle Produkte aus demselben Rohöl in einer kontinuierlichen Produktion entstehen und eine Störung bei den übrigen Produkten über Logistik und Lieferkette auf die relevanten zurückwirkt (Kap. 3). Als zeitkritischsten Punkt nennt es die Auslieferung: Ausfälle bei Beschaffung und Verarbeitung fangen interne Tanklager eine Zeit lang auf, einen Ausfall der Auslieferung nur die Lager der Abnehmer.

Betrachtet werden sechs Geschäftsprozesse: Betrieb (G1), Asset Management (G2), Instandhaltung (G3), IT/OT-Services mit leittechnischen, nachrichtentechnischen und informationstechnischen Diensten (G4), kommerzielle Abwicklung (G5) und Betriebsplanung (G6). Eine Besonderheit für die kommerzielle Seite: Der Betreiber kauft das Rohöl im Allgemeinen nicht selbst, es wird vom Auftraggeber bereitgestellt; abgerechnet wird über eine Mengen-Masse-Bilanz aus den Zählerdaten des Betriebs (Kap. 5.1.1).

Die Referenzarchitektur besteht aus einer Leitzentrale und mehreren Substationen, mit denen das Profil Teilbereiche wie Tanklager, Destillation oder einzelne Verarbeitungsprozesse meint (Kap. 5.1.2). In der Leitzentrale liegen ein Büronetz mit Servern für Planung, Instandhaltung und kommerzielle Abwicklung und, davon getrennt, das Netz der Prozessdatenverarbeitung (PDV-Netz) mit Echtzeit-Prozessdatenserver, Archivserver, Bedien- und Engineering-Arbeitsplätzen der Leitebene. Zwischen beiden Netzen sitzt ein OPC-Server mit Datenbank für den Informationsaustausch. Jede Substation hat ein eigenes LAN mit Prozessdaten- und Applikationsserver, Bedien- und Engineering-Arbeitsplätzen, einem nur zeitweise angeschlossenen Engineering-Arbeitsplatz für Einheitensteuerungen und darunter die industrielle IT: SPS, Einheitensteuerung, sicherheitsgerichtete Steuerung, Zähler, Aktoren und Sensoren, die beiden letzten auch in sicherheitsgerichteter Ausführung (Kap. 5.1.3, 5.1.4). Auf Feldebene und zwischen den Substationen können Ringtopologien vorkommen, etwa mit Profibus (Kap. 5.2).

Ausgeschlossen sind Komponenten für die Sprachkommunikation, also auch die in Raffinerien üblichen Handfunkgeräte (Kap. 4). Als Abgrenzung nennt das Profil die Mineralölfernleitung, an die eine Raffinerie in der Regel für die Rohölversorgung angeschlossen ist. Die Verbindung dorthin ist als Kommunikationsverbindung KV1 im Geltungsbereich: ein analoges Signal, über das etwa freigegeben wird, dass der Weg in den Tank frei ist und die Übernahme beginnen kann; bei einer Signalstörung sieht der Operator der Fernleitung eine Meldung und stimmt sich telefonisch mit der Raffinerie ab (Tab. 14). Das Profil für Mineralölfernleitungen beschreibt dieselbe Verbindung von der anderen Seite und hält fest, dass die Notabschaltung in den meisten Fällen auf Seite der Raffinerie liegt (dort Kap. 4). Wer beide Anlagen betreibt oder die Übergabe vertraglich regelt, sollte die Schnittstelle deshalb in beiden Sicherheitskonzepten gleich beschreiben.

Das Profil verlangt ausdrücklich nicht, dass die eigene Raffinerie dem Modell entspricht. Betreiber sollen Architektur, Anwendungen, IT-Systeme, industrielle IT, Netzkomponenten, Räume und die Restrisiken gegen ihre Lage prüfen; „sicherheitsrelevante Abweichungen sollten dokumentiert und in ihrer Auswirkung betrachtet werden“ (Kap. 8).

Schutzbedarf am Versorgungsauftrag: Die drei Kategorien sind auf die kritische Dienstleistung bezogen. Normal heißt, Schäden haben keinen Einfluss auf ihre Erbringung, hoch, sie können sie beeinträchtigen, sehr hoch: „Schäden können zu einem Ausfall der kritischen Dienstleistung führen“ (Tab. 8). Bewertet werden vier Schutzziele, neben Vertraulichkeit, Integrität und Verfügbarkeit auch die Authentizität. Der Betrieb (G1) ist bei Verfügbarkeit, Integrität und Authentizität sehr hoch, die IT/OT-Services (G4) bei Integrität und Authentizität; als Beispiel nennt das Profil manipulierte Grenzwerte für die Notabschaltung (Kap. 5.3). Die Vertraulichkeit ist bei allen Prozessen normal. Über das Maximumprinzip werden SCADA und Leitstand, Mengen-Masse-Bilanz, Stationssteuerung, alle Bedienplätze, die gesamte industrielle IT, alle Netzkomponenten, PDV-Netz und Substations-LAN sowie Leitzentrale, Substation, Leitstandsraum und Technikraum sehr hoch (Tab. 10 bis 15). Begründete Abweichungen gibt es wenige: Office-Anwendung, E-Mail-Client, Browser und Labor-Dokumentation bleiben bei Integrität und Authentizität normal, weil sie nur für unkritische Tätigkeiten dienen; das Prozessdatenarchiv hat normalen Schutzbedarf, weil es nur historische Daten hält; die Engineering-Arbeitsplätze haben bei der Verfügbarkeit nur hohen oder normalen.

Modellierung der Prozessleittechnik: Die industrielle IT modelliert das Profil mit den Bausteinen IND.2.1 Allgemeine ICS-Komponente, IND.2.2 SPS, IND.2.3 Sensoren und Aktoren, IND.2.7 Safety Instrumented Systems und IND.3.2 Fernwartung im industriellen Umfeld; die Leittechnik-Anwendungen wie SCADA, Stationssteuerung und Engineering-Software dagegen nur mit APP.6 Allgemeine Software, gegebenenfalls ergänzt um APP.7, APP.3.1 und APP.4.3 (Kap. 6.2, 6.4). Für die Netze verweist das Profil auf IEC 62443: Prozessdatenserver der Leit- und der Stationsebene müssen laut Profil in einer eigenen Schutzzone stehen, der OPC-Server soll als demilitarisierte Zone zwischen Büro- und PDV-Netz dienen, und je nach Zonenkonzept können auch SPS oder Einheitensteuerungen innerhalb einer Substation eigene Zonen haben (Kap. 5.2, 6.3).

Was aus der Schablone stammt und was neu ist: Ein Großteil der Zusatzanforderungen in Kapitel 6.1 steht fast wortgleich in der Schablone zur Erstellung von KRITIS-IT-Grundschutz-Profilen, etwa die Regeln zu Altsystemen ohne aktuelle Authentisierung oder Kryptografie, zur Parametrierung von Steuerungen als Entwicklungstätigkeit, zum Virenschutz auf Steuerungssystemen, zum Offline-Backup und zur Mehr-Faktor-Authentisierung bei Fernwartung. Dasselbe gilt für das Verbot unkontrollierter Wartungslaptops. Raffineriespezifisch sind nach unserem Abgleich die Schutzzonen für die Prozessdatenserver, der OPC-Server als Zwischenzone, die Pflicht zur Kenntnis von Unterauftragnehmern bei Herstellern und Outsourcing-Partnern, die verschlüsselte Cloud-Anbindung von Einheitensteuerungen an Hersteller, etwa für die Abgasreinigung, die Redundanz von Servern, Bedienplätzen, Steuerungen, Aktoren, Sensoren und Netzen für den Betrieb, die Normen und die gesetzlich vorgeschriebene Prüfung für sicherheitsgerichtete Komponenten, geeichte Zähler mit Alarm bei Ausfall, die jährliche Inventur des Ersatzteillagers und baulicher Schutz der Leitzentrale; dazu beschreibt es eine telefonische Rückfallebene an der Übergabe zur Fernleitung. Die Prüfliste weiter unten greift genau diese Punkte auf.

Was die Schablone empfiehlt und das Profil weglässt: Die Schablone ergänzt unter anderem NET.1.1.A2 um einen bereinigten Netzplan, der Geltungsbereich und Schnittstellen nach außen klar erkennen lässt, verlangt einen vom Rest getrennten Verzeichnisdienst, verweist für die Referenzarchitektur ausdrücklich auf IND.1.A4 und IND.1.A5 und empfiehlt alternative Kommunikationswege im Störfall. Das Raffinerieprofil übernimmt diese Ergänzungen nicht; Zonen beschreibt es nach IEC 62443 (Kap. 5.2, 6.3), ohne IND.1.A5 zu nennen. Den Verzeichnisdienst und die WLAN-Bausteine erklärt es sogar für „Nicht Gegenstand“ (Anhang). Wenn Sie das Profil übernehmen, legen Sie die Schablone daneben.

Widersprüche zwischen Text und Anhang: Die Modellierungstabelle im Anhang stimmt an mehreren Stellen nicht mit Kapitel 6 überein. OPS.1.2.6 NTP-Zeitsynchronisation steht in Kapitel 6.1 als Baustein, im Anhang als „Nicht Gegenstand“. SYS.1.3 Server unter Linux und Unix ist in Kapitel 6.3 für alle Server und in 6.4 für Stationssteuerung und Einheitensteuerung vorgesehen, im Anhang nicht Gegenstand, mit der Fußnote, die Referenz gehe von Windows-Servern aus; ebenso SYS.2.3 und SYS.2.4 bei den Clients. NET.3.3 VPN ordnet Kapitel 6.5 der VPN-Komponente N4 zu, der Anhang dem Perimeter-Router N3. APP.3.2 Webserver gehört im Text zum Webserver A4, im Anhang zu sechs anderen Anwendungen. IND.1 Prozessleit- und Automatisierungstechnik, INF.9 Mobiler Arbeitsplatz und OPS.3.1 tauchen nur im Anhang auf. Dazu kommen Bezeichnerfehler: IND1 heißt in Tabelle 4 „SPS“, sonst „Stationssteuerung“; das PDV-Netz NE2 heißt in Tabelle 14 „LAN Zentrale“; Kapitel 6.3 führt den Stationsserver ein zweites Mal als „S2“ statt S5; und KV1 ist in Kapitel 4 eine „Datenschnittstelle“, in Tabelle 6 eine Analogkommunikation. Klären Sie für jede dieser Stellen, welche Lesart Sie übernehmen, bevor Sie die Modellierung in ein Werkzeug übertragen.

Das Profil sagt selbst, wofür es gedacht ist: Es bietet Betreibern Informationen, um ihren Betrieb nach IT-Grundschutz abzusichern, und auch Betreiber ohne Grundschutz-ISMS können ihm Anforderungen entnehmen (Kap. 2). Für Prüfer heißt es: „Prüforganisationen kann dieses KRITIS-IT-Grundschutz-Profil bei der Herleitung einer geeigneten Prüfgrundlage im KRITIS-Kontext unterstützen.“ (Kap. 2). Mehr steht dazu im Dokument nicht. Die folgende Tabelle hält auseinander, was oft vermischt wird.

Die Prüfliste enthält neun raffineriespezifische Zusatzanforderungen des Profils, drei Vorgaben aus der Schablone, die das Profil auf bestimmte Zielobjekte der Raffinerie bezieht (Nr. 3, 4 und 11), und mit Nr. 12 eine Schnittstelle, die das Profil nur beschreibt. Gehen Sie jede Zeile mit den Verantwortlichen der genannten Rolle durch. Die rechte Spalte zeigt, wo die Vorgabe in Grundschutz++ landet: bei einer Anforderung, die wir im Anwenderkatalog Build 2026-10-29 gefunden haben, als externe Verpflichtung nach STM.2.1.7 oder als ergänzende Anforderung nach BSI-Standard 300-1 Kapitel 3.4.3. Rollen und Zuordnungen sind unser Vorschlag; KANN bedeutet Sicherheitsniveau „erhöht“, also optional.

Für eine Raffinerie ändern sich beim Wechsel nach Grundschutz++ drei Dinge: Die sehr hohen Werte für Betrieb und IT/OT-Services fallen in die Kategorie hoch, für die Prozessleittechnik gibt es weder IND-Bausteine noch eine eigene Zielobjektkategorie, und von den 1.129 gültigen Anforderungen der 70 Bausteine haben 357 einen Eintrag im Mapping-Entwurf. Eine Fassung des Profils für Grundschutz++ haben wir am 02.11.2026 nicht gefunden; es beruht auf BSI-Standard 200-2 und dem Kompendium 2022.

Erstens der Schutzbedarf. Grundschutz++ stellt ihn für Geschäftsprozesse fest, mit den Grundwerten Vertraulichkeit, Integrität und Verfügbarkeit und zwei Kategorien, normal und hoch; eigene Kategorien „sind hierbei auf die Schutzbedarfskategorien des GS++ zu mappen“ (300-1 Kap. 2.6). Hoch und sehr hoch des Profils fallen damit nach unserem Verständnis beide in die Kategorie hoch. Für Betrieb, IT/OT-Services, Instandhaltung, kommerzielle Abwicklung und Betriebsplanung ist dann eine Risikobetrachtung erforderlich (Kap. 2.6, 2.11). Die Authentizität ist in Grundschutz++ kein eigener Grundwert; unser Vorschlag ist, die Begründungen des Profils zur Authentizität bei der Integrität mitzuführen, weil das Profil beide gleich bewertet und gleich begründet. Die Vererbung über das Maximumprinzip ersetzen Sie durch die Zuordnung der Assets zu Prozessen (300-1 Kap. 3.4.2).

Zweitens die Zielobjekte. Für SPS, Einheitensteuerungen, sicherheitsgerichtete Steuerungen, Zähler und Feldgeräte der Substationen hat Anhang 1 von 300-1 keine eigene Kategorie; wir ordnen sie den IT-Systemen zu. SCADA, Stationssteuerung und Engineering-Software passen zu den Anwendungen, die laut Definition in Anhang 1 auch Software zur „Steuerung, Konfiguration, Überwachung oder Administration von Hardware, technischen Anlagen“ umfassen. Was diese Kategorien für die Substationen nicht abdecken, behandeln Sie über die Risikobetrachtung und ergänzende Anforderungen (Kap. 2.11, 3.4.3). Aus dem Anwenderkatalog passt ARCH.2.2.5 „OT-Systeme“ (normal-SdT, SOLLTE), die einzige Anforderung, deren Anforderungstext OT nennt, auf die Übergänge zwischen Büronetz, OPC-Zwischenzone und PDV-Netz. Für Zonen innerhalb einer Substation bleibt ARCH.2.1 „Netzsegmente“, dessen Erläuterung industrielle Steuerungssysteme als eigene Segmente nennt; den Weiterbetrieb einer Zone bei Ausfall der anderen verlangt es nicht (siehe Grafik). Für das Zusammenspiel von Firmware-Updates an Steuerungen und den jährlichen Prüfungen der sicherheitsgerichteten Einrichtungen (Prüfliste Nr. 8) eignet sich TEST.3.2 „Testabdeckung“ (normal-SdT, SOLLTE) als Anknüpfungspunkt; seine Erläuterung nennt als Beispiel eine ungenügend getestete Firmware-Aktualisierung an einer industriellen Steuerungsanlage.

Drittens die Bausteine. Kapitel 6 und Anhang ergeben zusammen 70 Bausteine in der Kennung der Edition 2023. Dafür haben wir OPS.2.1 durch OPS.2.3 und OPS.3.1 durch OPS.3.2 ersetzt, SYS.2.2.2 Clients unter Windows 8.1 weggelassen, weil der Baustein in der Edition 2023 entfallen ist, und SYS.2.2.3 unter seinem neuen Titel „Clients unter Windows“ gezählt. SYS.1.2.2 Windows Server 2012 gibt es in der Edition 2023 noch; für aktuelle Server ist dort SYS.1.2.3 Windows Server hinzugekommen. Bausteine, die nur im Text oder nur im Anhang stehen, haben wir mitgezählt. Gezählt haben wir mit der Mapping-Datei im Status „draft“ vom 21.07.2026 und die Ziele gegen den Anwenderkatalog Build 2026-10-29 aufgelöst; alle Zahlen unten beschreiben also einen Entwurf und keine amtliche Zuordnung.

Das Profil stützt sich auf das BSI-Gesetz und die BSI-Kritisverordnung in ihren damaligen Fassungen: Es berücksichtigt nach eigener Aussage § 8a Absatz 1 und 1a BSIG, verweist zur Kontaktstelle für das BSI auf § 8b BSIG und bestimmt die Anlagenkategorie Raffinerie über die BSI-Kritisverordnung von 2016 und ihre erste Änderung von 2017 (Kap. 3, 6.1). Das neu gefasste BSI-Gesetz ist am 6. Dezember 2025 in Kraft getreten, einen Tag nach dem Datum des Profils. Diese Verweise beziehen sich deshalb auf das BSI-Gesetz in der Fassung vor dem 06.12.2025. Die BSI-Kritisverordnung selbst gilt in geänderter Fassung fort, heute unter dem Titel „Verordnung zur Bestimmung kritischer Anlagen nach dem BSI-Gesetz“. Ob und mit welchen Pflichten das geltende Recht Ihre Raffinerie erfasst, legt diese Seite nicht aus.

Dasselbe gilt für die übrigen Regelwerke, die das Profil nennt: IEC 62443, DIN EN 61511 und IEC 61508, das NAMUR-Arbeitsblatt NA 163, die Störfall-Verordnung, Umweltschutzvorschriften, Eichvorschriften für Zähler und gesetzlich vorgeschriebene Prüfungen sicherheitsgerichteter Einrichtungen. Wir nennen sie, wie das Profil sie nennt, haben ihren Inhalt aber nicht geprüft.

Eine Aussage, dass die Umsetzung des Profils als gesetzlicher Nachweis gilt, enthält das Profil nicht (siehe Tabelle oben); eine Zertifizierung ist mit dem Profil nicht verbunden. Das Profil verlangt selbst, die beschriebene Struktur an die eigene Anlage anzupassen und die Risiken entsprechend zu behandeln (Kap. 2, 8). Welche Bedeutung das Profil für die Pflichten Ihrer Raffinerie hat, legt diese Seite nicht aus.