Wiederherstellung vor dem Neustart planen
Der Wiederanlauf beginnt mit einer bestätigten Lagebewertung, nicht mit einem pauschalen Neustart. Ursache, betroffene Komponenten, aktuelle Schutzmaßnahmen und vorübergehende Einstellungen werden zusammengeführt. Bei Hinweisen auf einen Cybervorfall stimmen Betriebsführung und Informationssicherheit Sicherung, Untersuchung und Wiederherstellung ab. Für besonders wichtige und wichtige Einrichtungen gehört die Wiederherstellung nach einem Notfall zu den Risikomanagementmaßnahmen des § 30 BSIG. Das Praxisverfahren empfiehlt auch unabhängig davon eine dokumentierte Wiederanlaufentscheidung. Fehlende Ursachenkenntnis wird als Unsicherheit ausgewiesen und darf nicht durch einen erfolgreichen Login verdeckt werden.
MSR-Systeme kontrolliert wiederherstellen und freigeben
Mehr als eine Serverkopie bereithalten
Für die Gebäudeautomation sollte das Wiederherstellungspaket alle zum ausgewählten Zielzustand erforderlichen Bestandteile enthalten. Dazu zählen je nach System Programme, Parameter, Projektierungsdaten, kompatible Softwarestände, Lizenzen und gesicherte Zugangsmöglichkeiten. Die vorhandenen MSR-Schaltschrankunterlagen bilden einen wichtigen Bezugspunkt. Die Tabelle ist eine eigenständige Prüfhilfe; der tatsächliche Umfang wird vom Systemverantwortlichen bestätigt. Sicherungen werden gegen unbefugte Veränderung geschützt und auf ihre Nutzbarkeit geprüft. Zugangsdaten gehören in ein geeignetes geschütztes Verfahren, nicht offen in eine allgemein zugängliche Notfallmappe. Ein vorhandener Datenträger allein belegt noch keine Wiederherstellbarkeit.
|
| Automationsprojekt | Programme, Parameter, Signalzuordnung | Passend zur Anlage und freigegebenen Version |
| Systemumgebung | Software, Lizenzen, kompatible Komponenten | Verfügbar und wiederherstellbar |
| Kommunikation | Adressen, Schnittstellen, Berechtigungsverfahren | Konsistent und geschützt |
| Betriebsunterlagen | Funktionsbeschreibung, Schaltpläne, Änderungsstand | Aktuell und offline verfügbar |
| Funktionsprüfung | Prüfschritte, Akzeptanz- und Abbruchkriterien | Eindeutiger Nachweis der tatsächlichen Wirkung |
| Erprobungsnachweis | Dokumentierter Wiederherstellungstest | Ergebnis, Dauer und offene Punkte bewertet |
Abhängigkeiten und Prüfbedarf vorab klären
Die Wiederherstellungsreihenfolge folgt der konkreten Systemarchitektur und dem sicheren Anlagenzustand. Energie, Kommunikation, Steuerung und Bedienung erhalten abgestimmte Übergabepunkte; eine für alle Anlagen gültige Einschaltfolge wird nicht vorgegeben. Vor weiterer Verwendung ist zu prüfen, ob besondere Prüfpflichten bestehen. § 14 BetrSichV verlangt unter anderem Prüfungen nach prüfpflichtigen Änderungen und nach bestimmten außergewöhnlichen Ereignissen mit möglichen Sicherheitsfolgen; bei überwachungsbedürftigen Anlagen gelten gegebenenfalls gesonderte Vorschriften. Nicht jeder Software-Neustart löst automatisch dieselbe Prüfung aus. Eine fachkundige Entscheidung dokumentiert den Anlass und die erforderlichen Nachweise.
Tatsächliche Wirkung vor Freigabe überprüfen
Im fiktiven Fall K-01 wird nicht nur die GLT-Anzeige kontrolliert. Das vereinbarte Prüfprogramm verfolgt relevante Signale über Verarbeitung, Anzeige und Alarmweg bis zur tatsächlichen Anlagenreaktion. Vorgeschriebene Schutzfunktionen und betroffene Schnittstellen werden nach dem anwendbaren Prüfverfahren bewertet. Änderungen, Handvorgaben und Sperren aus dem Ersatzbetrieb bleiben bis zur kontrollierten Rücknahme sichtbar. Die technische Funktionsbestätigung wird von der betrieblichen Wiederaufnahme unterschieden. Nutzer bestätigen das benötigte Leistungsniveau; die befugte Betriebsverantwortung entscheidet über Nutzung und mögliche Einschränkungen. Fehlende Fachfreigaben werden nicht durch eine allgemeine Managementzustimmung ersetzt.
Daten und Betrieb konsistent zusammenführen
Nach Wiederaufnahme sollte eine risikobezogen festgelegte Beobachtungsphase auffällige Regelabweichungen und erneute Ausfälle erkennen. Das Abschlussprotokoll benennt freigegebene Funktionen, verwendete Versionen, Prüfergebnisse und offene Restaufgaben. Während des Ausfalls entstandene Aufträge, Messungen und Änderungen werden nachvollziehbar nachgeführt; Lücken in Zeitreihen bleiben gekennzeichnet. Die operative Einordnung erfolgt unter Betrieb, Überwachung und Wartung. Erst danach wird die Notfallbearbeitung geordnet abgeschlossen. Der Wertbeitrag liegt in einem nachgewiesenen Betriebszustand: Technik erhält eine konsistente Ausgangslage, Nutzer verlässliche Funktionen und die Leitung eine belastbare Grundlage für Verbesserungen statt einer bloßen Meldung „System läuft wieder“.
