KRITIS-Penetrationstest für Energie und Wasser

Das Risiko lässt sich durch sorgfältige Planung sehr gering halten – darauf liegt unser Schwerpunkt. Für jede Zone halten wir schriftlich fest, ob wir aktiv testen, nur passiv mitlesen oder gar nicht eingreifen. Während der Tests ist eine Ansprechperson aus Netz- oder Betriebsführung erreichbar, die jederzeit einen Abbruch veranlassen kann. Systeme ohne Redundanz prüfen wir bevorzugt im Labor, an Ersatzkomponenten oder indirekt über die Übergänge zu ihnen.

Ja – nach sorgfältiger Planung und nur mit ausdrücklicher Freigabe, bevorzugt an Labor- oder Testsystemen oder in abgestimmten Wartungsfenstern. Dabei interessiert uns etwa, ob Fernwirkprotokolle wie IEC 60870-5-104 ungeschützt erreichbar sind oder ob sich Engineering-Software ohne wirksame Authentifizierung mit Steuerungen verbinden lässt. Oft zeigt schon die Analyse von Übergängen und Fernzugängen, wo der größte Handlungsbedarf liegt.

Nein. Das Nachweisaudit führt eine dafür qualifizierte prüfende Stelle durch, die Zertifizierung nach dem IT-Sicherheitskatalog eine akkreditierte Zertifizierungsstelle. Unser Bericht liefert technische Belege, die in Audit und Zertifizierung einfließen können.

Das hängt von Sektor und Größe ab. Energie sowie Trink- und Abwasser zählen zu den Sektoren mit hoher Kritikalität; erfasst sind in der Regel Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Betreiber kritischer Anlagen gelten unabhängig davon als besonders wichtige Einrichtungen. Die verbindliche Einstufung sollten Sie rechtlich prüfen lassen.

Ja – sie gehören zu den wichtigsten Angriffswegen in OT-Umgebungen. Wir prüfen VPN- und Jump-Host-Zugänge, Authentifizierung, Rechtevergabe und Protokollierung, soweit sie im vereinbarten Umfang liegen und der Dienstleister zugestimmt hat.

Ja. In einem Red-Teaming-Projekt oder in gezielten Szenarien simulieren wir Angriffstechniken nach MITRE ATT&CK und MITRE ATT&CK for ICS. So sehen Sie, welche Aktivitäten Ihre Angriffserkennung bemerkt – und wo blinde Flecken bestehen.

Dann unterstützt Sie unser Team für Incident Response & Forensik remote und vor Ort – bei Eindämmung, forensischer Aufklärung und Wiederanlauf. Für die gesetzlichen Meldepflichten liefern wir die technischen Fakten und behalten die Fristen mit Ihnen im Blick, etwa die frühe Erstmeldung erheblicher Sicherheitsvorfälle binnen 24 Stunden nach NIS2. Außerhalb der Geschäftszeiten erreichen Sie uns über die 24/7-Notfall-Hotline unter +49 2932 465265-0.