Implementation Plan, Incident Response und Assessment: die Mitigations-Richtlinien der TSA und die Rolle von Dienstleistern

Problem in der Praxis

US-Betreiber in deutschen Konzernen nutzen oft Konzerndienste: zentrales SOC, Fernwartung durch den Hersteller, gemeinsame Identitäts- und Patchsysteme. Diese Leistungen fallen in die Maßnahmenfelder der Richtlinie, wenn sie Critical Cyber Systems betreffen. Wer die Leistungen erbringt, ändert nichts daran, dass der Betreiber gegenüber TSA verantwortlich bleibt; ein Konzerndienstleister, der als Authorized Representative auftritt, haftet zudem selbst.

CISO-Einordnung

Maßnahmenfelder nach SD Pipeline-2021-02G (Abschnitt III, für Critical Cyber Systems):

• Identifikation der Critical Cyber Systems; TSA kann widersprechen und zusätzliche Systeme verlangen. Hat ein Betreiber keine Critical Cyber Systems, muss er das TSA binnen 60 Tagen nach Wirksamwerden schriftlich mitteilen.
• Netzsegmentierung, die Betriebsstörungen der OT verhindern soll, wenn die IT kompromittiert ist, und umgekehrt.
• Zugriffskontrolle, auch für lokalen und Fernzugriff.
• Kontinuierliche Überwachung und Erkennung.
• Verringerung des Risikos durch ungepatchte Systeme.
• Incident Response Plan mit Übungen mindestens jährlich und benannten Verantwortlichen.
• Cybersecurity Assessment Plan mit jährlicher Vorlage zur Genehmigung und jährlichem Ergebnisbericht; dazu gehört eine Architektur-Designprüfung mindestens alle zwei Jahre.

Die Richtlinie erlaubt, frühere Pläne, Bewertungen und Tests zu nutzen, soweit sie die Anforderungen erfüllen. Pläne und Berichte sind als SSI zu schützen.

Adressaten von SD Pipeline-2021-02G sind Betreiber TSA-designierter kritischer Pipelinesysteme oder -anlagen, die vor dem 26.07.2022 zur 02-Serie benachrichtigt wurden, sowie weitere Betreiber, die TSA benachrichtigt und denen sie eigene Fristen setzt.

Umsetzungsperspektive

• Critical Cyber Systems des US-Betreibers bestimmen und Konzerndienste, die auf sie einwirken, zuordnen.
• Verträge mit Konzern- und Drittdienstleistern so gestalten, dass der Betreiber seine Verantwortung tatsächlich ausüben kann: Nachweise, Mitwirkung bei Übungen und Assessments, Meldewege.
• Klären, wer als Authorized Representative auftritt, und die gemeinsame Haftung im Konzern regeln.
• Fernzugriffe aus Deutschland in Segmentierung und Zugriffskontrolle einbeziehen.
• Jahreszyklus aus Assessment Plan, Bericht und Übung im Konzernkalender verankern.

Typische Fehler

1. Der Betreiber verweist gegenüber TSA auf das Konzern-SOC, ohne selbst Nachweise vorhalten zu können.
2. Fernzugriffe von Herstellern oder Konzern-IT fehlen in der Segmentierungsbeschreibung.
3. Ein Konzerndienstleister tritt als Authorized Representative auf, ohne seine eigene Haftung zu kennen.
4. Übungen und Architekturprüfung werden nicht im vorgegebenen Rhythmus durchgeführt.
5. Pläne und Berichte werden ohne SSI-Schutz im Konzern geteilt.

Risiken und Trade-offs

Zentrale Konzerndienste sind effizient, verlagern aber keine Verantwortung. Eine eigene US-Sicherheitsorganisation erleichtert den Nachweis gegenüber TSA, verursacht aber Doppelstrukturen. Bestehende Bewertungen weiterzunutzen spart Aufwand, setzt aber voraus, dass sie die Anforderungen der Richtlinie wirklich abdecken.

Entscheidungspunkte

• Welche Systeme sind Critical Cyber Systems, und welche Konzerndienste wirken auf sie ein?
• Wer ist Authorized Representative, und wie ist die Haftung verteilt?
• Wie stellt der Betreiber Nachweise über ausgelagerte Maßnahmen sicher?
• Wie sind Übungs- und Assessmentzyklen organisiert?

Praktische Empfehlungen

1. Ordnen Sie Konzerndienste den Critical Cyber Systems des US-Betreibers zu.
2. Sichern Sie Nachweis- und Mitwirkungsrechte vertraglich ab.
3. Regeln Sie Rolle und Haftung von Authorized Representatives ausdrücklich.
4. Beziehen Sie Fernzugriffe aus Deutschland in Segmentierung und Zugriffskontrolle ein.
5. Planen Sie Übungen, Assessments und die Architekturprüfung im festen Zyklus.

Relevante Normreferenzen

• SD Pipeline-2021-02G, Abschnitte II.A (Anwendbarkeit, Dienstleister, Authorized Representative), III (Maßnahmen) und IV (frühere Pläne, SSI, Nachweise) (veröffentlichte Fassung, tsa.gov).
• SD 1580/82-2022-01E (Bahn, veröffentlichte Fassung, tsa.gov).
• 49 CFR Part 1520 (Sensitive Security Information).