Netzpläne und Notfallpläne mit Dienstleistern teilen: sicher im Sinne von NIS2
Stadtwerke und Netzbetreiber geben Netzpläne und Notfallhandbücher an Dienstleister. NIS2 verlangt, dass dabei auch die Lieferkette gesichert ist.
- Netzpläne und Notfallhandbücher gehören zu den sensibelsten Unterlagen eines Versorgers und liegen trotzdem oft bei Dutzenden Dienstleistern.
- NIS2 verlangt ausdrücklich, die Sicherheit in der Lieferkette zu berücksichtigen, also auch die Weitergabe an Dienstleister.
- Freigaben auf Zeit, nur Ansehen und ein Protokoll machen die Weitergabe kontrollierbar und nachweisbar.
Ein Stadtwerk beauftragt einen Tiefbauer, ein Ingenieurbüro und einen IT-Dienstleister für die Netzleittechnik. Jeder braucht Pläne: Leitungsverläufe, Schaltpläne von Umspannwerken, Ansprechpartner im Notfall. Am Ende des Projekts weiß niemand mehr, wo die Unterlagen überall liegen. Wer Netzpläne mit Dienstleistern teilt, gibt einen Bauplan der eigenen Verwundbarkeit aus der Hand.
Warum das Thema jetzt auf den Tisch kommt
Mit der europäischen NIS2-Richtlinie und ihrer Umsetzung in nationales Recht müssen deutlich mehr Unternehmen Maßnahmen für ihre Informationssicherheit nachweisen, darunter viele Energieversorger, Netzbetreiber und ihre Dienstleister. Artikel 21 nennt ausdrücklich die Sicherheit der Lieferkette und die Sicherheit bei der Beziehung zu direkten Anbietern und Dienstleistern. Die Leitung haftet für die Umsetzung.
Für die tägliche Praxis heißt das: Es reicht nicht, die eigenen Server zu schützen. Auch die Wege, auf denen sensible Unterlagen zu Partnern gelangen, müssen geregelt und belegbar sein.
Die typischen Schwachstellen
- Pläne als PDF per E-Mail, ohne Ablaufdatum, weitergeleitet an Subunternehmer.
- Gemeinsame Ordner bei Cloud-Diensten, deren Zugänge nach Projektende niemand entfernt.
- Notfallhandbücher in Papierform, deren Aktualität niemand prüft.
- Kein Nachweis, wer welche Fassung bekommen hat.
Merksatz: Für NIS2 zählt nicht, ob Sie Ihren Dienstleistern vertrauen, sondern ob Sie belegen können, wie Sie ihnen Informationen gegeben haben.
So wird die Weitergabe kontrollierbar
- Projekträume je Auftrag: Der Dienstleister sieht nur die Pläne seines Bauabschnitts.
- Freigabe auf Zeit: Zugang bis zum Projektende, danach automatisch beendet.
- Nur ansehen: Detailpläne im Browser mit Wasserzeichen, Download nur, wo nötig.
- Fassungen statt Kopien: Bei einer Änderung sehen alle die neue Fassung, die alte ist als ersetzt markiert.
- Protokoll: Wer hat welchen Plan wann geöffnet, als Nachweis für Prüfungen.
Für den Ernstfall braucht es zusätzlich einen Kanal, der auch dann funktioniert, wenn die eigene IT betroffen ist. Mehr dazu im Beitrag Krisenkommunikation bei einem Cyberangriff.
Lange Schutzdauer bedenken
Leitungsnetze und Umspannwerke bestehen Jahrzehnte. Ein Plan, der heute abgefangen wird, kann auch in zehn Jahren noch wertvoll sein. Deshalb lohnt der Schutz gegen künftige Angriffe mit Quantencomputern schon jetzt, siehe Harvest now, decrypt later.
PQVault für Versorger und ihre Dienstleister
PQVault Spaces bietet Projekträume je Auftrag mit Freigaben auf Zeit, Wasserzeichen und Protokoll. Einzelne Dateien geben Sie mit PQVault Files per Policy frei und holen sie nach Projektende zurück. Für Abstimmung und Ernstfall steht PQVault Collaboration mit Ende-zu-Ende verschlüsseltem Chat und Video bereit. Alles zusätzlich mit NIST-standardisierten Post-Quanten-Verfahren. Mehr aus der Branche: Energie & Chemie.
PQVault ist ein Produkt der QuantiCor Security GmbH aus Darmstadt — Spezialist für Post-Quanten-Kryptografie.PQVault is a product of QuantiCor Security GmbH, Darmstadt — specialists in post-quantum cryptography. Mehr über QuantiCor SecurityMore about QuantiCor Security
