Für Betreiber kritischer Infrastruktur
Ihre Redundanz ist vorbildlich.
Für Ihre Anlagen.
Leitstelle georedundant, Bündelfunk mit Direktmodus, Satellitenstrecke, getrennte Netze für die Anlagensteuerung. Das ist über Jahre gewachsen, es ist durchdacht, und es funktioniert. Diese Seite handelt nicht davon.
Sie handelt von der Ebene darüber und von einer Frage, die dort meist noch offen ist.
Betriebsebene: mehrfach abgesichert
Verwaltungsebene: ein Anbieter
NIS-2: gesicherte Kommunikation gefordert
1 - Was bereits gelöst ist
Das hier ist keine Seite,
die Ihnen Redundanz erklärt.
Wer eine Leitstelle georedundant auslegt, eine Funkstrecke mit Direktmodus als Rückfallebene betreibt und die Anlagensteuerung in eigenen Zonen vom Rest trennt, muss sich von niemandem erklären lassen, was Ausfallsicherheit bedeutet.
Diese Architektur ist unter Auflagen entstanden, sie wird geprüft, und sie hat sich bewährt. Wenn in den letzten Jahren ein Versorger angegriffen wurde, lief die Versorgung fast immer weiter. Genau deshalb.
Der Punkt dieser Seite ist ein anderer: Diese Redundanz wurde für die Anlagen gebaut. Nicht für die Vorgänge, die den Betrieb am Laufen halten.
2 - DIE ASYMMETRIE
Die Anlagen laufen.
Die Organisation dahinter nicht.
Das ist kein Gedankenspiel. Es ist das wiederkehrende Muster in den dokumentierten Vorfällen der letzten Jahre.
Ein kommunaler Versorger wird angegriffen. Die Netzleittechnik ist getrennt, die Versorgung läuft durchgehend weiter. Keine Unterbrechung, keine Meldung an die Kundschaft nötig. Genau so war es geplant, und genau so hat es funktioniert.
Was mehrere Wochen brauchte, bis es wieder normal lief, waren Abrechnung und Verwaltung. Also: die Instandhaltungsaufträge, die Nachweise gegenüber der Aufsicht, die Vertragsstände mit den Lieferanten, die Genehmigungsverfahren mit laufenden Fristen.
Die Anlage kennt keine Frist. Die Behörde schon.
Anlage und Verwaltung sind nicht die einzigen zwei Kategorien.
Die Einteilung in „minutenkritische Technik“ und „tageskritische Verwaltung“ ist bequem und in der Mitte falsch. Zwischen beiden liegt eine dritte Schicht, die in keinem Anlagenschutzkonzept vorkommt und trotzdem innerhalb von Stunden weh tut.
Minutenkritisch
Die Anlage
Steuerung, Fernwirktechnik, Störungsannahme über Funk. Entkoppelt, mehrfach abgesichert, übersteht den Ausfall der Bürowelt. Hier ist alles getan.
Stundenkritisch
Der Betriebsablauf
Disposition und Einsatzplanung, Schicht- und Bereitschaftsübergaben, Freigaben und Schaltaufträge, Aufnahme und Zuweisung, Materialabruf für laufende Arbeiten. Weder Anlage noch Verwaltung — und meist auf derselben Plattform wie die E-Mail.
Tageskritisch
Die Verwaltung
Instandhaltungsplanung, Beschaffung, Genehmigungen, Dokumentation, Meldewesen. Nichts davon eilt im Minutenbereich — und alles davon eilt im Tagesbereich.
Die mittlere Schicht ist die unangenehmste, weil sie in keiner Zuständigkeit sauber liegt. Für die OT-Seite ist sie Bürokram, für die IT-Seite ist sie Fachanwendung, und im Notfallplan taucht sie unter „Wiederanlauf IT“ ohne eigene Zielzeit auf. Wenn Sie prüfen wollen, ob diese Seite Ihr Haus beschreibt, ist das die Stelle: Schlagen Sie Ihr Notfallhandbuch auf und sehen Sie nach, ob die stundenkritische Schicht eine eigene Wiederanlaufzeit hat.
Und danach kommt der Rückstand. Was in Wochen ohne Systeme entstanden ist, muss nachgetragen werden, von denselben Leuten, die gleichzeitig das Liegengebliebene abarbeiten.
3 - WARUM DAS BISHER NICHT ZU LÖSEN WAR
Für Sprache gibt es einen zweiten Weg.
Für den Kontext gab es keinen.
Die Lücke ist kein Versäumnis. Sie existiert, weil es für dieses eine Problem bisher schlicht kein passendes Mittel gab.
Funk trägt Sprache, keine Dokumente
Eine Bündelfunkstrecke ist für kurze, unmittelbare Sprachkommunikation gebaut und darin unschlagbar. Einen Vertragsstand oder eine Revisionszeichnung transportiert sie nicht.
Satellit löst die Leitung, nicht den Inhalt
Wenn die Anbindung fehlt, hilft eine unabhängige Strecke. Wenn die Plattform am anderen Ende nicht erreichbar ist, hilft sie nicht — dann führt die Leitung ins Leere.
Backup stellt Daten her, keine Vorgänge
Eine Rücksicherung bringt Dateien zurück, nach Stunden oder Tagen, in ein System, das gerade nicht läuft. Welche Fassung galt und wer was zugesagt hat, steckt in der Struktur — nicht in den wiederhergestellten Bytes.
Ein zweiter Mandant teilt das Schicksal
Zwei Umgebungen beim selben Anbieter teilen dessen Ausfälle, dessen Identitätsdienst und dessen Rechtsraum. Nach den Kriterien, die Sie an Ihre OT anlegen, wäre das keine Redundanz.
Sie haben für jede Anforderung, die man lösen konnte, eine Lösung gebaut. Diese eine war bisher keine.
4 - WAS JETZT MÖGLICH IST
Dieselbe Denkweise wie bei Ihrer OT.
Nur eine Ebene höher.
Was Sie für die Anlagensteuerung längst tun (eine zweite, unabhängige Strecke vorhalten, die vom Ausfall der ersten nicht betroffen ist) lässt sich auf die Verwaltungsebene übertragen. Inklusive der Inhalte, nicht nur der Verbindung.
Eine zweite Umgebung läuft mit. Chats, Kanäle, Dateien und Kalender werden laufend übernommen, während sie entstehen. Kein Standby, das erst gestartet werden muss, nach demselben Prinzip, nach dem auch Ihre Funkstrecke nicht erst aufgebaut wird, wenn es brennt.
01 - DAS FUNDAMENT
Ihre Identität bleibt bei Ihnen.
Die Anmeldung, die nicht am ausgefallenen Verzeichnis hängt, über staatlichen Identitätsdienst, eigenes Verzeichnis oder hinterlegte Zugangsdaten.
02 - DIE KOMMUNIKATION
Ein Client. Jeder Kanal.
Der Client, in dem Chat, Dateien, Kalender und Konferenzen zusammenlaufen. Im Ereignisfall dieselbe Oberfläche wie im Alltag.
03 - DIE KONTINUITÄT
Handlungsfähig, egal was ausfällt.
Die Spiegelung, die Ihre Vorgänge in der zweiten Umgebung aktuell hält, und nach dem Vorfall zurückspielt.
5 - DIE UNANGENEHME FRAGE
Wer spiegelt, baut ein zweites Ziel.
Darüber muss man reden.
Eine mitlaufende Kopie Ihrer Vorgänge ist per Definition lohnend. Wer an dieser Stelle nur von Verfügbarkeit spricht, hat die Frage nicht beantwortet, sondern verschoben. Vier Punkte, an denen sich entscheidet, ob die zweite Umgebung Ihre Lage verbessert oder verschlechtert.
Der Umfang
Gespiegelt wird, was Sie festlegen
Nicht der gesamte Mandant. Sie bestimmen, welche Teams, Kanäle und Ablagen übernommen werden — üblicherweise die Bereiche, die den Betrieb tragen, nicht jede Projektablage aus zehn Jahren. Je enger der Umfang, desto kleiner die Kopie und desto geringer das, was im schlimmsten Fall an zwei Stellen liegt.
Die Trennung
Eigene Administration, eigener Weg hinein
Die zweite Umgebung hat eigene Administratoren und eine Anmeldung, die nicht am Verzeichnis der Primärplattform hängt. Genau das macht sie im Ausfall überhaupt erst nutzbar — und es bedeutet zugleich, dass ein übernommenes Konto aus der ersten Welt dort nicht automatisch Rechte hat. Wer beides mit denselben Kennungen administriert, hat sich die Redundanz wieder weggenommen.
Der Ernstfall
Eine Verschlüsselungswelle wandert nicht mit
Die Übernahme ist keine Synchronisierung im Sinne von „beide Seiten immer gleich“. Löschungen und Überschreibungen werden in der zweiten Umgebung als Ereignis vermerkt, frühere Stände bleiben erhalten und rückholbar. Das ist der Unterschied zwischen einer Spiegelung und einem Ordner-Sync — und der Grund, warum ein Ordner-Sync hier keine Antwort wäre.
Die Sicht
Kein Ort mit weniger Telemetrie
Zugriffe, Anmeldungen und administrative Änderungen werden protokolliert und lassen sich in Ihr bestehendes SIEM ausleiten. Eine zweite Umgebung, in die Ihr Monitoring nicht hineinsieht, wäre kein Gewinn an Resilienz, sondern ein blinder Fleck.
Bleibt der Punkt, der sich nicht wegargumentieren lässt: Eine zweite Umgebung ist ein zweites Ziel. Die Frage ist nicht, ob — sondern wem sie gehört. Bei den Betriebsmodellen, die für Betreiber mit harten Auflagen in Frage kommen, steht sie in Ihrem Rechenzentrum oder vollständig abgeschottet ohne Verbindung nach außen.
Damit tauschen Sie nicht ein Risiko gegen ein neues, sondern ein fremdverwaltetes gegen ein eigenverwaltetes.
6 - Die Übung
Prüfbar wie alles andere,
was Sie regelmäßig üben.
Sie proben Netzwiederaufbau und Notstrom. Für die Kommunikationsebene war eine echte Probe bisher unattraktiv, weil sie den Betrieb angehalten hätte. Diese hier nicht: Es wird kein System abgeschaltet, nur die Anmeldung umgeroutet und danach wieder zurück.
|
Was geprüft wird
|
Bestanden, wenn
|
|---|---|
Eine Übung, die den Betrieb nicht anhält, kann man so oft wiederholen, bis das Ergebnis langweilig ist. Genau das ist das Ziel.
7 - DIE PFLICHTSEITE
NIS-2 nennt gesicherte Kommunikation
ausdrücklich beim Namen.
Für die Anlagenebene sind Ihre Nachweise erbracht. Für die Kommunikationsebene wird bisher meist auf Alarmierung und Funk verwiesen — was die Anforderung nur teilweise trifft.
|
Anforderung
|
Herkunft
|
Was sie trägt
|
Woran Sie es zeigen
|
|---|---|---|---|
Diese Übersicht ordnet Funktionen den Anforderungen zu und ersetzt keine rechtliche Prüfung im Einzelfall. Maßgeblich sind der Wortlaut der Rechtsakte und die jeweilige nationale Umsetzung.
Lass uns reden!
Schreib uns eine Nachricht – wir freuen uns, von dir zu hören.
Kein Fan von Formularen? Gerne auch per Mail an office@keengen.eu!
8 - HÄUFIGE FRAGEN
Wir haben Bündelfunk, Satellit und eine georedundante Leitstelle. Was fehlt da noch?
Für Sprache und Alarmierung nichts. Diese Mittel sind für unmittelbare, kurze Kommunikation gebaut und darin ausgezeichnet. Was sie nicht transportieren, sind Vorgänge: der aktuelle Instandhaltungsauftrag, die Revisionszeichnung, der Vertragsstand, der Nachweis, wann was an die Aufsicht ging. Das ist keine Kritik an Ihrer Architektur — es war nie ihre Aufgabe.
Berührt das unsere OT?
Nein. Die Lösung setzt ausschließlich auf der Verwaltungsebene an. Es gibt keine Kopplung zur Anlagensteuerung, keine neuen Übergänge zwischen Zonen und keinen zusätzlichen Pfad in Ihre getrennten Netze. Die Trennung, die Sie aufgebaut haben, bleibt unangetastet.
Ist das nicht einfach ein weiteres System, das wir betreiben müssen?
Es ist ein System mehr, aber keines, das im Ernstfall bedient werden muss. Es läuft im Normalbetrieb mit und wird dort von dem Personenkreis genutzt, der ohnehin einen abgeschirmten Kanal braucht. Der Aufwand liegt in der Einrichtung, nicht im Ereignisfall — dort ist der Aufwand gerade der Punkt: Es gibt keinen.
Wo läuft das, wenn nicht in einer fremden Cloud?
Sie wählen: im eigenen Rechenzentrum, in einer EU-souveränen Cloud, hybrid mit Verwaltung in der Cloud und Daten im Haus, oder vollständig abgeschottet ohne Verbindung nach außen. Für Betreiber mit harten Auflagen ist meist eine der beiden letzten Varianten die richtige.
Wer kann die Inhalte lesen?
Die Gespräche sind Ende-zu-Ende verschlüsselt. Die Administration verwaltet Zugänge und Richtlinien, sie kann Inhalte nicht mitlesen. Das gilt in jedem Betriebsmodell, auch im abgeschotteten.
Wie viele Nutzer brauchen das?
Sie entscheiden pro Nutzer aus drei Stufen. Erfahrungsgemäß braucht ein kleiner Kreis die volle Stufe — Krisenstab, Bereitschaft, alle mit vertraulichen Gesprächen. Entscheidend ist die mittlere Stufe: die vielen, die im Ereignisfall nicht kommandiert werden, sondern ihre laufenden Vorgänge weiterbearbeiten müssen.
Was passiert bei einer Übung mit unserem Produktivsystem?
Nichts. Es wird kein System abgeschaltet und keine Anlage berührt. Die Anmeldung wird auf die alternative Quelle umgeroutet und danach zurückgeschaltet. Deshalb lässt sich die Übung im laufenden Betrieb wiederholen, statt einmal jährlich in einem Wartungsfenster.
Wir sind an Vergabeverfahren gebunden. Passt das dazu?
Die Leistung ist als Stufenmodell beschreibbar und damit ausschreibungsfähig. Weil kein Datenumzug und keine Ablösung eines Bestandssystems stattfindet, entfällt der Teil, der solche Verfahren üblicherweise kompliziert macht: die Abhängigkeit vom Altsystem-Anbieter während der Umstellung.
Wie lange dauert die Einführung?
Das hängt vom Datenbestand ab und lässt sich seriös erst nach einer Bestandsaufnahme sagen. Wichtiger für die Planung ist ohnehin, dass keine der Phasen einen Stichtag hat: Der Betrieb läuft die ganze Zeit weiter, auch während die Spiegelung noch aufbaut.
Wir haben schon eine Souveränitätsstrategie. Wo passt das hinein?
Meist bei der Frage, die in solchen Strategien am längsten offen bleibt: die Kommunikation. Fachanwendungen lassen sich schrittweise verlagern, weil sie klar abgegrenzt sind. Kommunikation ist überall gleichzeitig — Identität, Chat, Mail, Dateien, Telefonie hängen aneinander. Genau deshalb steht sie in vielen Fahrplänen am Ende. Der Parallelbetrieb dreht diese Reihenfolge um.