Cybersecurity in der Gebäudetechnik. (Quelle: Siemens AG)
Der Trend zur Digitalisierung in der Gebäudetechnik und zum Smart Building ist unumkehrbar. Die gesetzlich vorgeschriebenen Nachhaltigkeitsziele können nur durch eine intelligente Vernetzung der Energiezähler, eine kontinuierliche Datenanalyse und ein effektives Monitoring der Energieverbräuche der Gebäudetechnik erreicht werden. Allerdings birgt die Digitalisierung auch Risiken. So sind Cyberbedrohungen auch in der Gebäudetechnik zu einem allgegenwärtigen Thema geworden. Angesichts dieser Herausforderung ist ein spezifisches Sicherheitskonzept zum Schutz vernetzter Gebäudetechnik unerlässlich.
Kritische Infrastruktur besonders gefährdet
Die Betreiber kritischer Infrastruktur sind von dieser Entwicklung insofern besonders betroffen, als erfolgreiche Cyberattacken nicht nur das Unternehmen, sondern potenziell auch eine große Anzahl an Menschen direkt betreffen. Dazu zählen sowohl Versorgungsunternehmen, wie Energie- und Wasserversorger, als auch Verkehrsbetriebe, Krankenhäuser oder produzierende Unternehmen.
Jeder kann sich vorstellen, was es bedeutet, wenn in einem Industriebetrieb die Mitarbeiter keinen Zugang zum Gebäude oder Gelände haben, wenn die Kühlkette in der Lebensmittel- oder Pharmaindustrie unterbrochen wird oder wenn in einem Operationssaal das Licht ausgeht und nicht mehr eingeschaltet werden kann.
Die europäische NIS2-Richtlinie
Für kritische Infrastrukturen (Kritis) ist das Thema Cyberund Informationssicherheit naturgemäß besonders relevant. Die EU reagiert darauf mit der NIS2-Richtlinie (Network and Information Security Directive), die seit Januar 2023 in Kraft ist. Die Richtlinie hat auch Konsequenzen für die technische Ausstattung von Gebäuden: Zum einen betreffen die Neuregelungen sämtliche Netzwerke inklusive der Gebäudeautomation. Zum anderen gelten praktisch rund 80 % aller Unternehmen und Institutionen in der EU als kritische Infrastruktur im Sinne der Richtlinie.
Das heißt im Umkehrschluss: In 18 definierten Industrie-Sektoren müssen künftig alle Unternehmen mit mehr als 50 Mitarbeitenden bzw. mehr als 10 Mio. € Jahresumsatz höhere Cybersecurity-Mindeststandards erfüllen. Auch kleinere Betriebe können von NIS2 betroffen sein, etwa wenn ein Ausfall dieses Betriebs erhebliche Konsequenzen hätte. Alles in allem werden allein in Deutschland rund 20 000 zusätzliche Betriebe von diesen Regulierungen betroffen sein.