Entwicklung eines OT-Notfallmanagement für kritische Infrastrukturen
Ausgangslage: Der Kunde betreibt über 10.000 OT-Anlagen deutschlandweit und fiel entsprechend auch unter die KRITIS-Verordnung. Historisch gewachsen verfügte er bereits über verschiedene Bestandteile eines wirksamen OT-Notfallmanagements.
Problem: Die Bestandteile waren an unterschiedlichen Stellen der Organisation verankert, die individuellen Prozesse griffen nicht ineinander und entsprechend fehlten relevante Bestandteile an den Schnittstellen. Dies wurde auch bei einer KRITIS-Nachweisprüfung festgestellt und als entsprechende Feststellung an das BSI gemeldet.
Bedarf: Entwicklung und Initiierung der Umsetzung eines organisatorischen OT-Notfallkonzepts mit Fokus auf eine Ende-zu-Ende-Wirksamkeit (Notfallvorsorge, Notfallbehandlung und Notfallnachsorge).
High-Level-Definition einer idealtypischen Ende-zu-Ende-Prozesslandkarte für das OT-Notfallmanagement
Identifizierung und Analyse definierter Prozesse, Durchführung von Interviews mit den Prozessinhabern (BCM, CISO-Bereich, Assetverantwortliche, Großstörungsmanagement, SOC, lokale Störungsmanager)
Einordnung der definierten Prozesse in die Prozesslandkarte und Analyse des Zusammenwirkens der Prozesse mittels Szenarioanalyse mit den Beteiligten
Ableitung von prozessualen und organisatorischen Verbesserungsbedarfen um Wirksamkeit des Gesamtprozesses sicherzustellen
Zusammenfassung Ergebnisse in einem OT-Notfallmanagementkonzept und Initiierung dessen Umsetzung
Mehrstufige Prozesslandkarte für das OT-Notfallmanagement für Schulungs- und Prüfungszwecke
Mit allen Beteiligten abgestimmtes OT-Notfallmanagementkonzept
Maßnahmenliste zur Umsetzung des OT-Notfallmanagementkonzepts
Projektplan zur Umsetzung der notwendigen Maßnahmen
Initiierte Umsetzung des Projektplans (Projektaufsatz, Initiierung von Arbeitskreisen, Benennung des OT-Notfallmanagers als Inhaber des Gesamtprozesses)
"Mittels der Szenarioanalyse habe ich wirklich verstanden, wo wir noch Lücken haben – da müssen wir unbedingt dran."
Das Vorgehen eignet sich für Betreiber kritischer Infrastrukturen, die bereits über einzelne Bestandteile eines OT-Notfallmanagements verfügen, diese aber nicht ineinandergreifend organisiert haben. Relevant ist es insbesondere dann, wenn eine KRITIS-Nachweisprüfung Schwachstellen an den Prozessschnittstellen sichtbar gemacht hat und ein abgestimmtes Konzept mit Maßnahmenplan und klarer Prozessverantwortung benötigt wird.
