Regelwerke für die IT-Sicherheit in der Gebäudeautomation
Gesetzliche Vorgaben und technische Standards bilden das Fundament der IT-Sicherheit in der Gebäudeautomation. Mit der Umsetzung der kommenden NIS-2-Richtlinie ist die Einhaltung solcher Vorgaben für immer mehr Unternehmen und Organisationen nicht mehr nur Empfehlung, sondern Pflicht. Auch kleinere Unternehmen und deren Zulieferer müssen sich nun an die erweiterten Regelungen halten.
Relevante Regelwerke und Normen:
Standards und das Grundschutzkompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI). Die enthaltenen Module Infrastruktur für Gebäudemanagement (INF.13) und Gebäudeautomation (INF.14) sind verpflichtend für Bundesbehörden und Betreiber kritischer Infrastrukturen.
Das im Gesetzgebungsverfahren befindliche NIS2 Umsetzungsgesetz (NIS2UmsuCG), das die Grundzüge des Informationssicherheitsmanagements festlegt, die Gruppe der betroffenen Unternehmen und Organisationen festlegt, Meldepflichten bei Cybervorfällen einführt und die Einhaltung von Risikomanagementstandards vorschreibt.
Das VDMA-Einheitsblatt 24774 (2023-03) als Leitfaden zur IT-Sicherheit in der Gebäudeautomation.
EU-DSGVO (Verordnung 2016/679): Datenschutzgrundverordnung für den Schutz personenbezogener Daten in der Gebäudeautomation.
Dennoch gibt es auch für die Gebäudeautomation keine 100 %-ige IT-Sicherheit. Welche Vorkehrungen im Gewerk Gebäudeautomation konkret zu treffen sind, müssen aus einer Risikoanalyse für die jeweilige Nutzung abgeleitet werden.
Im BSI-Standards- und Grundschutzkompendium werden z. B. folgende typische Gefährdungslagen für die Gebäudeautomation genannt:
Unzureichende Planung der Gebäudeautomation, z. B. durch fehlende Redundanzen oder hohe Komplexität der Zusammenarbeit unterschiedlicher Gewerke.
Fehlerhafte Integration von TGA-Anlagen in die Gebäudeautomation bzw. fehlerhafte Konfiguration der Gebäudeautomation.
Nutzung unsicherer Systeme und Protokolle in der Gebäudeautomation, zum Beispiel das „alte“ BACnet-Protokoll oder KNX oder ModBus.
Manipulation der Schnittstellen von eigenständigen TGA-Anlagen zur Gebäudeautomation (zum Beispiel über eine manipulierte Brandmeldung, die alle Türen öffnet).
