Compliance
Gesetzliche Anforderungen und „Best Practise OT-Security“, die mit IRMA® erfüllt werden können:
Eine OT-natives System als die zentrale Informationsquelle für Audits, Betrieb und Maßnahmen. Dokumentiert und nachweisbar für NIS2, IEC 62443, CRA, NIST CSF, ISO 27001 / 27019 sowie ISO 22301 – aufwandsarm in der Installation, inbetriebnahme und dem Betrieb.
01 Cybersecurity der EU
NIS2 Direktive (EU 2022/2555) - Betreiber
Verpflichtet wesentliche und wichtige Einrichtungen (Energie, verarbeitendes Gewerbe, Lebensmittel, Verkehr, Gesundheitswesen, digitale Infrastruktur …) zur Einführung von Maßnahmen in den Bereichen Cyber-Risikomanagement, Governance, Meldung von Vorfällen und Aufrechterhaltung des Betriebs. In Deutschland umgesetzt durch das NIS2UmsCG zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (BGBl. 2025 I Nr. 301 vom 05.12.2025)
Wesentliche Anforderungen:
01
Asset Inventory und Risikomanagement (Art. 21)
02
Technische Maßnahmen: Verschlüsselung, Zugriffskontrolle, Segmentierung, MFA
03
Erkennung und Meldung von Vorfällen innerhalb von 24 Stunden / 72 Stunden / 1 Monat
04
Geschäftskontinuität, Datensicherung, Krisenmanagement
05
Sicherheit der Lieferkette und der OT/ICS-Anbieter
So hilft IRMA®
IRMA® liefert kontinuierlich die von NIS2 geforderten technischen Nachweise zum OT-Netzwerk und zu den OT-Ressourcen: nicht-invasive passive Erfassung, aktuelles Inventar, Kommunikationsübersicht, Erkennung von Anomalien und Korrelation mit CVE/KEV.
- Kontinuierliche Erkennung und Bestandsaufnahme der OT- und It-Assets: Geräte, Systeme und Anwendungen
- Logischer Netzplan und Erkennung anomaler Kommunikationsvorgänge
- Echtzeit-Erkennung + Korrelation von CVE/KEV-Schwachstellen
- Ereignisverfolgung zur Unterstützung der 24/72-Stunden-Meldepflicht
02 – INTERNATIONALER STANDARD
IEC 62443 - Operational Technologie
Referenzstandard für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS). Definiert Zonen, Kanäle, Sicherheitsstufen (SL 1–4) sowie Anforderungen an Anlagenbetreiber, Systemintegratoren und Komponentenlieferanten. Gilt für die Bereiche Fertigung, Energie, Öl und Gas, Wasser sowie Gebäudeautomation.
01
Zone undCconduit Segmentierungen (62443-3-2)
02
Foundational Requirements (FR1-FR7): dentifizierung, Zugriffskontrolle, Datenintegrität, Vertraulichkeit, eingeschränkter Datenfluss, zeitnahe Reaktion, Verfügbarkeit von Ressourcen
03
Risikobewertung und Festlegung des angestrebten Sicherheitsniveaus
03
Dokumentiertes Patch- und Schwachstellenmanagement
03
Kontinuierliche Überwachung der Integrität des OT-Netzwerks
So hilft IRMA®
IRMA® ist OT-nativ: Es erkennt industrielle Protokolle (Modbus, S7, IEC 60870-5-104, IEC 61850 und weitere), identifiziert anhand des beobachteten Datenverkehrs reale Zonen und Leitungen und liefert technische Nachweise zu FR1–FR7. Die CVE/KEV-Korrelation und die erweiterte Anomalieerkennung für ein höheres SL-T-Niveau für kritische Anlagen.
- Native Erkennung von OT- und ICS-Protokollen
- Zonen- und Leitungsplan auf Basis des tatsächlichen Datenverkehrs
- Dokumentierbare technische Nachweise für FR1–FR7
- Patch-Management auf Basis von CVE- und KEV-Bewertungen
03 – – PRODUKTE MIT DIGITALEN ELEMENTEN · EU
CRA - Hersteller und Händler
Cyber Resilience Act (EU-Verordnung 2024/2847)
EU-Verordnung, die Herstellern, Importeuren und Händlern von Produkten mit digitalen Elementen, die auf den europäischen Markt gebracht werden, Anforderungen an die Cybersicherheit auferlegt. Vollständige Geltung ab dem 11.12.2027. Gilt unmittelbar für OEMs, Systemintegratoren und Anbieter von OT-/IoT-Komponenten.
01
„Security by Design“ über den gesamten Produktlebenszyklus hinweg
02
Umgang mit Sicherheitslücken und koordinierte Offenlegung
03
Verwaltung von Softwarekomponenten, einschließlich SBOM
04
Meldung aktiv ausgenutzter Sicherheitslücken innerhalb von 24 Stunden
05
Sicherheitsupdates während des gesamten angegebenen Supportzeitraums
SO hilft IRMA®
IRMA® ist OT: Erkennung industrielle Protokolle (Modbus, S7, IEC 60870-5-104, IEC 61850 und weitere), identifiziert anhand des beobachteten Datenverkehrs reale Zonen und Leitungswege und liefert technische Nachweise für Teil 3-2: Sicherheitsrisikobeurteilung und Systemgestaltung, z.B. (ZCR-1)(ZCR-3) (ZCR-5) und
Teil 3-3: Systemanforderungen zur IT-Sicherheit und Security-Level, z.B. (SR 1.2) (SR 1.11) (SR 1.12) (SR 1.13) (SR 2.2)(SR 5.1) (SR 5.2) (SR 6.2) (SR 7.7)(SR 7.8. Management beklannter softwareschwachstellen CVE/EPSS-.
- Native Erkennung von OT-/ICS-Protokollen
- Zonen- und Leitungsübersicht auf Basis des tatsächlichen Datenverkehrs
- Dokumentierbare technische Nachweise Teil 3-2 und 3-3
- Schwachstellen-Management auf Basis von CPE, CVE- und KEV-Bewertungen
- IEC 62443- Dokumentation und Berichterstattung
04 – Information Security Management System
ISO /IEC 27001
ISO/IEC 27001:2022 – Managementsysteme für die Informationssicherheit
Zertifizierbare Norm für das Informationssicherheits-management. Zusammen mit Anhang A:2022 (93 Kontrollmaßnahmen, gegliedert in 4 Themenbereiche: Organisation, Personal, physische Sicherheit, Technologie) ist sie der Maßstab, der in Ausschreibungen, Unternehmensverträgen und Lieferketten am häufigsten gefordert wird.
01
Festlegung der Gültigkeitserklärung (Statement of Applicability, SoA) und des Geltungsbereichs
02
Dokumentierte Risikobewertung und Risikobehandlungsplan
03
Umsetzung der anwendbaren Kontrollmaßnahmen aus Anhang A
04
Interne Auditierung, Managementbewertung und kontinuierliche Verbesserung
05
Technische Kontrollmaßnahmen: A.8 (Technisch), z.B. A.8.7 Schutz vor Schadsoftware, A.8.8 Schwachstellenmanagement, A.8.16 Überwachungsmaßnahme
So Hilft IRMA®
IRMA® liefert objektive Informationen für zahlreiche Kontrollmaßnahmen gemäß Anhang A:2022, die auf den OT-Perimeter angewendet werden – in der Regel der am wenigsten abgedeckte Bereich in IT-orientierten ISMS. Kontinuierliche Überwachung (A.8.16), Schwachstellenmanagement (A.8.8), Bestandsaufnahme der Ressourcen (A.5.9) und Netzwerkmanagement (A.8.20–A.8.23) werden automatisch dokumentiert.
- A.5.9 Bestandsaufnahme von Informationen und zugehörigen Assets
- A.8.8 Management technischer Schwachstellen (CPE, CVE + KEV)
- A.8.16 Überwachungsaktivitäten im OT-Netzwerk
- A-8.20–23 Netzwerksicherheit und -segregation (Zonen/Übergänge)
- Exportierbare Berichte als Nachweis für Zertifizierungsaudits.
05 – Energie: Erzeugung und Verteilung
ISO /IEC 27019 - Energie
Erweiterung der Norm ISO/IEC 27002 speziell für die Energieversorgungsbranche: Erzeugung, Übertragung, Verteilung, Speicherung. Definiert zusätzliche Kontrollmaßnahmen für Prozessleitsysteme und den Prozesssteuerungsbereich (PCD), der die Energieinfrastruktur verwaltet.
01
Erweiterung des ISMS auf den Prozesssteuerungsbereich (PCD)
02
Trennung zwischen Unternehmens-IT, Prozess-IT und Steuerungssystemen
03
Absicherung und Überwachung von SCADA-/DMS-/EMS-Systemen
04
Lebenszyklusmanagement von Altanlagen mit betrieblichen Einschränkungen
05
Resilienz und Kontinuität kritischer Energieprozesse
So Hilft IRMA®
IRMA® für Energieversorger und Betreiber in der Branche überwacht passiv den SCADA/DMS/EMS-Datenverkehr, erkennt branchenspezifische Protokolle (IEC 61850, IEC 60870-5-104), identifiziert fehlende Trennungen zwischen PCD und Unternehmens-IT und überwacht ältere Anlagen, ohne dass invasive Installationen an SPSen/RTUs erforderlich sind.
- Erkennung von Energieprotokollen (IEC 61850, IEC 60870-5-104, weitere)
- Netzplan zur Trennung von PCD, IT und OT
- Bestandsaufnahme der Anlagen auf RTUs, SPSen, IEDs und Gateways
- Anomalieerkennung unter Berücksichtigung betrieblicher Einschränkungen bei Altanlagen
- Nachweis für ENE-spezifische Kontrollen gemäß dem erweiterten Anhang A
06 -Business Continuity Management Systems
ISO 22301 - Management der Verfügbarkeit
Zertifizierbare Norm für das Management der Geschäftskontinuität. Wird häufig zusammen mit ISO 27001 verlangt und in NIS2 (Art. 21) sowie DORA ausdrücklich für den Bereich der Betriebskontinuität genannt. Relevant für jede Organisation, bei der eine Dienstunterbrechung erhebliche Auswirkungen hätte.
01
Business Impact Analysis (BIA) für kritische Prozesse
02
Festlegung von RTO und RPO für jeden Dienst
03
Dokumentierte Kontinuitätsstrategien und -pläne
03
Regelmäßige Übungen und Tests der Pläne
03
Überwachung technologischer Abhängigkeiten
lorem ipsum
Die Verfügbarkeit der Betriebsabläufe hängt vom Zustand des industriellen Netzwerks ab. IRMA® überwacht kontinuierlich die Kommunikation zwischen kritischen Anlagen, erkennt Beeinträchtigungen, bevor es zu Anlagenausfällen führen, und liefert der BIA ein objektives Bild der tatsächlichen technischen Abhängigkeiten – nicht nur der deklarierten.
- Netzplan der Bereiche der kritischen OT-Anlagen
- Früherkennung von Leistungsbeeinträchtigungen und Anomalien
- Evidenz für die BIA auf Basis des tatsächlichen Datenverkehrs
- Wiederverwendbare Verlaufsdaten für die Ursachenanalyse (RCA) nach Ereignissen
- Unterstützung bei der Überwachung technologischer SLAs.
07 – INTERNATIONAL FRAMEWORK ·
NIST CSF 2.0
Das freiwillige NIST-Rahmenwerk wird weltweit als gemeinsame Sprache zur Beschreibung des Reifegrades und der Fähigkeiten im Bereich Cybersicherheit eingesetzt. Mit Version 2.0 (2024) wird die Funktion „GOVERN“ eingeführt und der Anwendungsbereich auf alle Organisationen ausgeweitet – nicht nur auf kritische Infrastrukturen in den USA.
01
GOVERN: Governance, Risikoanalyse, Rollen und Verantwortlichkeiten
02
IDENTIFY: Asset-Management, Kontext zum Prozess, Risikobewertung
03
PROTECT: Zugriffskontrolle, Datensicherheit, Schutztechnologie planen
04
DETECT: Anomalien, kontinuierliche Überwachung, Erkennungsprozesse
05
RESPOND + RECOVER: Planung, Kommunikation, Schadensbegrenzung, Wiederherstellung
SO HILFT IRMA®
IRMA® deckt direkt die Funktionen IDENTIFY (Asset-Management, Kommunikation, Identifizierung von Schwachstellen) und DETECT (Erkennung von Anomalien, kontinuierliche Überwachung) am OT-Perimeter ab. Die gewonnenen Erkenntnisse unterstützen die Funktionen GOVERN (Management-Berichterstattung) und RESPOND (Ereigniskorrelation, CVE/KEV-gesteuerte Priorisierung).
- ID.AM – Asset-Management im OT-Netzwerk
- ID.RA – Risikobewertung auf Basis von CVE + KEV
- DE.CM – Kontinuierliche Überwachung des industriellen Datenverkehrs
- DE.AE – Anomalieerkennung in Realzeit
- Reports und Berichte zur Unterstützung von GOVERN und RESPOND.