TSA Security Directives im Überblick: Cyberpflichten für US-Pipelines und Bahnen

Problem in der Praxis

Deutsche Muttergesellschaften erfahren von den Pflichten ihrer US-Tochter oft erst, wenn TSA eine Benachrichtigung schickt oder der Betreiber seine Pläne vorlegen muss. Dann zeigt sich, dass zentrale Konzernfunktionen (Konzern-IT, SOC, Fernwartung aus Deutschland) in den Pflichtenkreis hineinwirken: Netzsegmentierung, Zugriffskontrolle für Fernzugriffe, Überwachung und Vorfallsmeldung betreffen auch Systeme, die aus Deutschland betrieben werden. Hinzu kommen Anforderungen an die Staatsangehörigkeit des Koordinators und an den Umgang mit Informationen, die US-Personen vorbehalten sind (tsa-002).

CISO-Einordnung

Aufbau der Richtlinien:

• Die 01-Serien (Pipeline-2021-01G, 1580-21-01E, 1582-21-01E) verlangen insbesondere einen Cybersecurity Coordinator und die Meldung von Cybersicherheitsvorfällen an die Cyberbehörde CISA binnen 72 Stunden (tsa-002); die Bahnserien 1580-21-01E und 1582-21-01E verlangen zudem einen Cybersecurity Incident Response Plan mit Übungen.
• Die Mitigations-Richtlinien (Pipeline-2021-02G, 1580/82-2022-01E) verlangen insbesondere einen von TSA genehmigten Cybersecurity Implementation Plan und einen Cybersecurity Assessment Plan mit jährlicher Berichterstattung; SD Pipeline-2021-02G verlangt zusätzlich einen Incident Response Plan mit Übungen (tsa-003).

Adressaten: Die Pipeline-Richtlinien richten sich an Betreiber von Pipelines für gefährliche Flüssigkeiten und Erdgas sowie von LNG-Anlagen, die TSA als kritisch benachrichtigt hat, und an weitere von TSA bestimmte Betreiber. Die Kritikalität richtet sich laut Richtlinie unter anderem nach transportierter Menge und Bedeutung für andere kritische Sektoren. SD 1580-21-01E erfasst die in 49 CFR 1580.101 genannten Güterbahnen. Für nicht erfasste Betreiber empfiehlt TSA laut einer Bekanntmachung von 2026 freiwillige Maßnahmen und Meldungen (Information Circular 2021-01, IC Surface-2025-01).

Vertraulichkeit: Security Directives sind allgemein Sensitive Security Information (SSI) nach 49 CFR Part 1520. Die auf tsa.gov veröffentlichten Fassungen tragen den Vermerk, dass TSA das jeweilige Dokument nicht als SSI einstuft; Informationen, die Betreiber nach den Richtlinien an TSA oder CISA übermitteln, sind SSI. Wer SSI besitzt, muss sie schützen, nur an erfasste Personen mit Need-to-know weitergeben, sofern TSA, die Coast Guard oder das US-Verkehrsministerium nichts anderes schriftlich gestatten, und unbefugte Offenlegungen umgehend an TSA melden (49 CFR 1520.9); Verstöße können zivilrechtliche Geldbußen nach sich ziehen (1520.17).

Befristung: Jede Richtlinie trägt ein Ablaufdatum und wurde bisher fortlaufend in neuen Fassungen erlassen (Buchstaben A bis G). Ob und mit welchem Inhalt eine Fassung nach dem jeweiligen Ablauf folgt, ist offen.

Umsetzungsperspektive

• Klären, ob eine US-Gesellschaft der Gruppe eine Benachrichtigung von TSA erhalten hat oder unter eine der genannten Adressatengruppen fällt.
• Konzernfunktionen identifizieren, die auf Systeme des US-Betreibers einwirken (Fernwartung, SOC, gemeinsame IT), und sie in die Pläne einbeziehen.
• SSI-Regeln in der Konzernkommunikation umsetzen: Pläne und Meldungen nur an Personen mit Need-to-know.
• Ablaufdaten der Richtlinien überwachen und neue Fassungen zeitnah auswerten.
• Den Stand der vorgeschlagenen Regel 89 FR 88488 verfolgen.

Typische Fehler

1. Die Muttergesellschaft hält die Richtlinien für ein reines US-Thema, obwohl Konzernfunktionen betroffen sind.
2. Unterlagen mit SSI werden ohne Need-to-know-Prüfung im Konzern verteilt.
3. Nach Ablauf einer Richtlinie wird die neue Fassung nicht ausgewertet.
4. Der Regelentwurf von 2024 wird als geltendes Recht behandelt.
5. Freiwillige Empfehlungen für nicht erfasste Betreiber werden ignoriert, obwohl sie den Erwartungshorizont zeigen.

Risiken und Trade-offs

Die Steuerung über befristete Richtlinien erlaubt TSA schnelle Anpassungen, erschwert aber die langfristige Planung. Eine konzernweite Harmonisierung der OT-Sicherheit hilft bei der Umsetzung, muss aber die SSI-Grenzen und die besonderen Koordinatoranforderungen respektieren.

Entscheidungspunkte

• Welche US-Gesellschaften sind von TSA benachrichtigt oder als Adressaten bezeichnet?
• Welche Konzernfunktionen wirken auf deren Systeme ein?
• Wie wird SSI im Konzern geschützt?
• Wer verfolgt neue Fassungen und die Rechtsetzung?

Praktische Empfehlungen

1. Erfassen Sie benachrichtigte US-Betreiber in Ihrer Gruppe und die für sie geltenden Richtlinien.
2. Binden Sie Konzern-IT, SOC und Fernwartung in die Umsetzungsplanung ein.
3. Richten Sie einen SSI-konformen Informationsfluss ein.
4. Überwachen Sie Ablaufdaten und neue Fassungen der Richtlinien.
5. Verfolgen Sie den Stand der vorgeschlagenen Regel und kennzeichnen Sie Vorschlagsinhalte als solche.

Relevante Normreferenzen

• TSA Security Directives SD Pipeline-2021-01G, SD Pipeline-2021-02G, SD 1580-21-01E, SD 1582-21-01E, SD 1580/82-2022-01E (veröffentlichte Fassungen, tsa.gov).
• Proposed Rule "Enhancing Surface Cyber Risk Management", 89 FR 88488 (07.11.2024); Bekanntmachung 91 FR 56154 (01.09.2026).
• 49 CFR Part 1520 (Sensitive Security Information); 49 CFR 1580.101.