Prävention allein reicht nicht mehr. Warum Incident Readiness in der OT zur strategischen Führungsaufgabe wird.
Die Bedrohungslage für Operational Technology hat sich in den vergangenen Jahren strukturell verändert. Cybervorfälle treffen produzierende Unternehmen, Hafenbetriebe und Logistikdienstleister nicht mehr als Ausnahme, sondern als realistisches Szenario. Gleichzeitig verschieben Regulierungen wie NIS2 und das KRITIS Dachgesetz die Verantwortung eindeutig auf die Managementebene. Die entscheidende Frage lautet daher nicht mehr, ob ein Vorfall eintritt, sondern wie belastbar die Organisation im Ernstfall reagiert.
Genau dieser Frage haben KPMG und adesso SE sich beim LIHH-TECHFAST am 07. Juli gemeinsam mit Entscheiderinnen und Entscheidern der Branche gestellt. Die Diskussion hat bestätigt, was wir in der Praxis regelmäßig beobachten: Reifegrad und Handlungsfähigkeit sind nicht deckungsgleich.
Warum die Angriffsfläche systemisch wächst
Operational Technology steuert die physische Wertschöpfung: Maschinen, Anlagen, Kräne, Kühlketten, Umschlagsysteme. Historisch waren diese Systeme weitgehend isoliert. Heute sind sie über IT, Fernwartung, Zulieferer und Kundenanbindungen tief in vernetzte Wertschöpfungsketten integriert. Diese Konvergenz erhöht die Effizienz, sie vergrößert jedoch zugleich die Angriffsfläche erheblich. Lange Lebenszyklen, eingeschränkter Schutz vor neuen Schwachstellen durch Sicherheitsupdates und fehlender Überblick über die eigenen Systeme und Komponenten im Betrieb erschweren zusätzlich eine klassische IT Sicherheitslogik. Ein OT Vorfall ist damit kein rein technisches Ereignis, sondern trifft Betrieb, Sicherheit, Compliance und Reputation gleichzeitig.
Regulatorik verschärft den Handlungsdruck
Mit regulatorischen Anforderungen wie NIS2 und dem Cyber Resilience Act rückt die Nachweispflicht in den Mittelpunkt. Meldefristen von 24 Stunden, dokumentierte Eskalationswege und persönliche Verantwortlichkeit auf Leitungsebene machen deutlich: Incident Response ist keine operative Nebenaufgabe der IT, sondern ein Element der Unternehmensführung. Wer im Ernstfall nicht belastbar nachweisen kann, wie entschieden, eskaliert und kommuniziert wurde, trägt ein erhebliches Risiko.
Reifegrad ungleich Handlungsfähigkeit
Investitionen in Asset Management, Netzwerksegmentierung, Monitoring und Backup sind notwendig und schaffen wichtige Grundlagen. Die Erfahrung aus Projekten zeigt jedoch, dass ein dokumentierter Reifegrad im Ernstfall nicht automatisch zu tragfähigen Entscheidungen führt. Häufig offenbaren sich unklare Entscheidungsrollen zu Abschalten, Weiterbetrieb und Wiederanlauf, ungetestete Eskalations- und Kommunikationswege zwischen IT, OT und Logistik sowie Recovery Szenarien, die nie unter realem Entscheidungsdruck verprobt wurden. Wenn Anlagen stillstehen, wächst der Schaden mit jeder Minute. Dann zählt nicht das Handbuch im Regal, sondern die geübte Reaktion der Organisation.
Drei Stufen für belastbare Reaktionsfähigkeit
Transparenz. Ohne belastbares Verständnis der kritischen Prozesse, der zugrunde liegenden Assets und der Abhängigkeiten in der Lieferkette ist eine Priorisierung im Vorfall nicht möglich. Eine klare Übersicht der kritischen Prozesse und Assets schafft die Grundlage, um im Ernstfall zu entscheiden.
Governance. Klare Rollen, definierte Entscheidungsbefugnisse und geübte Meldewege bilden das Rückgrat schneller und regulatorisch tragfähiger Reaktionen. Dazu gehören praxisnahe Playbooks, eine belastbare Incident Governance und eine abgestimmte Krisenkommunikation gegenüber Kunden, Behörden und Öffentlichkeit.
Belastbarkeit. Die Wirksamkeit der Prozesse zeigt sich erst unter Druck. Ein OT Incident wirkt wie ein Feueralarm: Ohne regelmäßige Übung verlieren Verantwortliche in den entscheidenden Minuten Zeit, Orientierung und Handlungsspielraum. Simulationen unter Management Beteiligung sowie Stresstests von Governance und Recovery decken Lücken auf, bevor ein Angreifer sie ausnutzt.
Unser Ansatz: OT Incident Readiness
KPMG gemeinsam mit adesso begleitet Unternehmen der Logistik, der Industrie und der kritischen Infrastruktur dabei, ihre Reaktionsfähigkeit im OT Vorfall systematisch und messbar zu erhöhen. Unser Vorgehen ist pragmatisch, entscheidungsorientiert und in kurzer Zeit umsetzbar. Es umfasst eine Incident Readiness Analyse, die Entwicklung praxisnaher Playbooks entlang eines End to End OT Incident Prozesses, die Etablierung einer klaren Incident Governance bis hin zu einer OT Incident Simulation unter Management Druck. Ergebnis sind belastbare Entscheidungsgrundlagen für die Geschäftsführung, geübte Abläufe in realistischen Szenarien und ein regulatorisch nachweisbares Vorgehen bei Eskalation, Kommunikation und NIS2 Meldung.
Direkt handlungsfähig mit dem „Panik Button“
Der digitale Notfallknopf „Panik Button“ kann als digitaler Notfallassistent dienen und die Kommunikation im Vorfall sicherstellen. Als schnell aufsetzbare Komponente ist er ein wichtiger Baustein in der Bewältigung von Notfällen, um rasch zu reagieren und den Übergang in einen geordneten Notfallbetrieb zu ermöglichen, ohne wertvolle Zeit zu verlieren.
Fazit
Prävention bleibt notwendig, sie reicht jedoch nicht aus. Angesichts zunehmender Vernetzung, wachsender Bedrohungslage und verschärfter Regulatorik entscheidet die geübte Reaktionsfähigkeit über die Resilienz einer Organisation. Die zentrale Frage an das Management lautet: Wären Sie heute in der Lage, einen OT Vorfall in den ersten Minuten souverän zu steuern? Wenn diese Frage nicht mit einem klaren Ja beantwortet werden kann, ist es Zeit, die Organisation zu testen, die Abläufe zu üben und vom Vorfall her zu priorisieren. Wir unterstützen Sie dabei.
Kontakt für Rückfragen:
Konstantin Schäfers, Manager Cyber Security & Resilience, KPMG AG Wirtschaftsprüfungsgesellschaft, Hamburg
Marc Dielmann, Director IT-Management Consulting, adesso SE
