Drei Referate beleuchteten zentrale Aspekte der IT-Sicherheit und des Risikomanagements aus unterschiedlichen Blickwinkeln.
Grundprinzipien der IT-Sicherheit und regulatorische Vorgaben
Das ENSI erläuterte eingangs die rechtlichen und technischen Rahmenbedingungen für die IT‑Sicherheit in Kernanlagen mit direktem Bezug auf die vertraulich klassifizierte Richtlinie ENSI‑G22 «IT-Sicherheit in Kernanlagen». Es kam in seinen Ausführungen zu folgenden Schlüssen:
- Robuste Schutzkonzepte zur IT-Sicherheit erfordern den Einsatz von mehrstufigen IT‑Sicherheitsmassnahmen, welche administrative, organisatorische, personelle und technische Massnahmen kombinieren.
- Mensch als Schlüsselfaktor: Keine einzelne Massnahme ist unüberwindbar – entscheidend ist das Zusammenspiel von Technologie und Bewusstsein der Mitarbeitenden.
- Dynamische Bedrohungslage: Cyberrisiken entwickeln sich ständig. Die ENSI-Richtlinie fordert daher eine regelmässige Überprüfung der betroffenen Sicherheitskonzepte.
Risikomanagement in der Praxis
Das KKW Gösgen und die Nagra stellten in ihren Referaten die Umsetzung von Sicherheitsmassnahmen zur Erreichung der Schutzziele ihrer IT-Sicherheit vor. Diese sind unter anderem:
- Verfügbarkeit
Redundante Systeme und ein 24/7-Monitoring durch ein Security Operations Center (SOC) stellen sicher, dass Informationen und IT-Systeme jederzeit verfügbar sind. - Integrität
Kritische Daten werden in WORM-Speichern („Write Once, Read Many“) abgelegt. Diese Technologie erschwert nachträgliche Manipulationen und unterstützt die Unversehrtheit der Informationen. - Vertraulichkeit
Sensitive Daten sind durch Verschlüsselung und abgestufte Zugriffsrechte geschützt. - Nichtabstreitbarkeit
Nachweisbarkeit von Ereignissen und Handlungen, sodass diese nicht abgestritten werden können. - Strategische Steuerung und Rahmenbedingungen
Klare Richtlinien und Governance-Strukturen schaffen die Grundlage für ein wirksames IT-Sicherheitsmanagement. IT-Risiken dürfen nicht isoliert betrachtet werden. Sie sind Bestandteile des Gesamtrisikomanagements. - Sensibilisierung und Schulung der Mitarbeitenden
Regelmässige Ausbildungsmassnahmen stellen sicher, dass das Personal für aktuelle Cyberrisiken sensibilisiert ist. Diese umfassen Schulungen zu Phishing, Social Engineering und sicheren Arbeitsmethoden. - Technische Sicherheitsmassnahmen
- Zero-Trust-Prinzip: Zugriffe auf Systeme und Daten werden unabhängig von der Quelle verifiziert.
- Moderne Arbeitsplätze entsprechen dem aktuellen Stand der Technik.
- Resiliente Infrastruktur
- KI-Einsatz unter Kontrolle: Der Einsatz von künstlicher Intelligenz unterliegt klaren Regeln.
- Zonierung: IT-Systeme werden gemäss ihrer Bedeutung für die nukleare Sicherheit in verschiedene IT-Sicherheitszonen unterteilt.
- Verzicht auf unnötige Systemkomponenten und Funktionen
- Verzicht auf Komfortfunktionen ohne Sicherheitsgewinn
Fazit: Sicherheit durch gestaffelte Massnahmen
Die Referate zeigten auf: Cybersicherheit ist in den heutigen Kernanlagen kein statisches Thema und wird es auch in einem zukünftigen Tiefenlager nicht sein. Die Cybersicherheit, wie auch die nukleare Sicherheit im Allgemeinen, ist ein kontinuierlicher Prozess. Die Kombination aus technischen Schutzmassnahmen, regelmässigen Schulungen und klarem Risikomanagement bildet das Fundament – gestützt auf die gesetzlichen Vorgaben und die ENSI-Richtlinien. Besonders hervorgehoben wurde die Rolle des Menschen: Die Wirksamkeit selbst der besten Systeme hängt letztlich von den Mitarbeitenden ab, die sie anwenden.
Weitere Informationen:
