Was sind ICS und SCADA?
Industrial Control Systems (ICS) verbinden Komponenten zur Steuerung industrieller Prozesse. SCADA ist eine ICS-Architektur zur Überwachung, Datenerfassung und Steuerung räumlich verteilter Anlagen.
Autoritative technische Einordnung: Nach NIST SP 800-82 Rev. 3 ist ICS der Oberbegriff für miteinander wirkende Steuerungskomponenten, die ein industrielles Ziel erreichen. Zu den möglichen Ausprägungen gehören SCADA, Distributed Control Systems (DCS) und weitere Konfigurationen, etwa mit speicherprogrammierbaren Steuerungen (SPS/PLC). ICS und SCADA sind daher keine Synonyme.
Wie unterscheiden sich ICS, SCADA und OT?
Operational Technology (OT) ist der weitere technische Bereich: Er umfasst programmierbare Systeme und Geräte, die mit der physischen Umgebung interagieren oder solche Geräte verwalten. ICS gehören zur OT, weil sie industrielle Prozesse und physische Vorgänge überwachen oder steuern. Nicht jede OT-Umgebung ist jedoch ein ICS oder SCADA-System.
SCADA verbindet Feldinformationen mit übergeordneten Funktionen zur Datenerfassung, Verarbeitung und Steuerung verteilter Anlagen. Informationen werden typischerweise aus dem Feld an eine übergeordnete Stelle übertragen; erforderliche Steuerbefehle gehen anschließend zurück ins Feld. DCS und SPS/PLC-basierte Konfigurationen sind andere oder angrenzende ICS-Ausprägungen und keine austauschbaren Bezeichnungen für SCADA.
Für wen sind ICS und SCADA relevant?
Die Begriffe sind für Organisationen und Verantwortliche relevant, die programmierbare Systeme zur Überwachung oder Steuerung industrieller Prozesse und physischer Vorgänge entwerfen, betreiben, warten oder absichern. Dazu können beispielsweise Umgebungen der Fertigung sowie des Transports von Stoffen oder Energie gehören.
Quellengrenze: Diese Beschreibung bestimmt einen technischen Anwendungsbereich. Die Bezeichnungen ICS und SCADA legen für sich allein weder einen allgemeinen persönlichen Adressatenkreis noch einen rechtlichen Geltungsbereich fest.
Wann liegt technisch ein ICS oder ein SCADA-System vor?
Für die Einordnung als ICS ist entscheidend, dass Steuerungskomponenten zusammenwirken, um ein industrielles Ziel zu erreichen. Dabei können beispielsweise elektrische, mechanische, hydraulische oder pneumatische Komponenten eingesetzt werden. Die Steuerung kann vollständig automatisiert erfolgen oder einen Menschen in den Regelkreis einbeziehen.
Für SCADA ist die übergeordnete Überwachung und Datenerfassung zur Steuerung räumlich verteilter Anlagen charakteristisch. Eine einzelne SPS ist deshalb nicht automatisch ein SCADA-System; sie kann vielmehr Teil einer kleineren oder lokalen ICS-Konfiguration sein. Aus der technischen Klassifikation folgt keine allgemeine Auslösepflicht.
Welche Grenzen gelten bei der Auswahl von Sicherheitsmaßnahmen?
Schutzmaßnahmen dürfen nicht schematisch aus der Office-IT übernommen werden. Ihre Eignung hängt von der konkreten Architektur, den Risiken und den Leistungs-, Zuverlässigkeits- und Safety-Anforderungen der jeweiligen OT-Umgebung ab. Auch die möglichen physischen Folgen eines Ausfalls oder einer Fehlsteuerung sind einzubeziehen.
Technische Leitlinie: NIST SP 800-82 Rev. 3 beschreibt hierfür risikobasierte OT-Sicherheit. Die Publikation ist eine autoritative technische Empfehlung, keine Quelle einer allgemeinen Rechtspflicht. Die vorliegenden Quellen dokumentieren technische Einordnung und Empfehlungen, nicht eine Vollzugspraxis.
Welche Fristen oder Schwellenwerte gelten für ICS und SCADA?
Die technischen Begriffe enthalten keine begriffsinhärente Frist, keinen Startpunkt und keinen Schwellenwert. Eigenständige Vorgaben können sich aus dem für Betreiber, Sektor, Standort und System anwendbaren regulatorischen, branchenbezogenen oder vertraglichen Kontext ergeben und müssen gesondert geprüft werden. Die technische Definition ersetzt diese Prüfung nicht.
Häufige Fehlannahmen
- „ICS und SCADA bedeuten dasselbe.“ Nein. ICS ist der Oberbegriff; SCADA ist eine Architektur innerhalb dieses Bereichs.
- „Jede OT-Umgebung ist ein ICS.“ Nein. OT ist weiter gefasst und umfasst auch andere programmierbare Systeme mit physischer Wirkung.
- „DCS, SCADA und SPS/PLC sind austauschbare Begriffe.“ Nein. Sie bezeichnen unterschiedliche Systemtypen, Architekturen oder Komponenten, auch wenn sie gemeinsam eingesetzt werden können.
- „Eine einzelne SPS ist bereits ein SCADA-System.“ Nicht automatisch. Für SCADA sind übergeordnete Überwachung und Datenerfassung für räumlich verteilte Anlagen kennzeichnend.
- „Bewährte Office-IT-Maßnahmen lassen sich unverändert übertragen.“ Nein. Leistungs-, Zuverlässigkeits- und Safety-Anforderungen können andere Umsetzungsentscheidungen verlangen.
- „Die NIST-Leitlinie schafft unmittelbar eine allgemeine Pflicht.“ Nein. Sie liefert technische Orientierung; anderweitig anwendbare Vorgaben sind separat zu bestimmen.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Bei Einführung, Betrieb oder wesentlicher Änderung einer ICS-, SCADA- oder sonstigen OT-Umgebung sollte die verantwortliche Leitung:
- die tatsächliche OT-/ICS-/SCADA-Architektur, Komponenten, Schnittstellen und Abhängigkeiten erfassen;
- Risiken einschließlich möglicher physischer Auswirkungen von Ausfall, Fehlsteuerung und Manipulation bewerten;
- Schutzmaßnahmen an Risiko, Leistung, Zuverlässigkeit und Safety der konkreten Umgebung ausrichten;
- Menschen, Prozesse und Technik in einer Defense-in-Depth-Strategie zusammenführen;
- Verfahren zum Überwachen, Reagieren und Anpassen der Abwehr an veränderte Bedingungen festlegen;
Diese Schritte sind bedingte technische Empfehlungen. Ihre konkrete Ausgestaltung hängt von Architektur und Risiko ab und wird hier nicht als allgemeine Rechtspflicht dargestellt.
Für die Geschäftsleitung
Reichweite: ICS ist ein Teilbereich der OT; SCADA ist nur eine mögliche ICS-Architektur. Entscheidung: Sicherheitsmaßnahmen sollten auf Basis der realen Systemlandschaft und ihrer physischen, betrieblichen und sicherheitsbezogenen Auswirkungen ausgewählt werden. Nachweis: Erfasste Architektur und Abhängigkeiten, die Risikobewertung sowie festgelegte Schutz-, Überwachungs-, Reaktions- und Anpassungsverfahren machen das Vorgehen nachvollziehbar.
Quellen
- NIST Special Publication 800-82 Rev. 3: Guide to Operational Technology (OT) Security, insbesondere Executive Summary, Abschnitt 2.1, Abschnitt 5.1.3 und Glossar.
- NIST CSRC: Publikationsseite zu SP 800-82 Rev. 3.
- NIST CSRC Glossary: Industrial Control System.
- NIST CSRC Glossary: Operational Technology.
