Chemie: Häufig gestellte Fragen

Die Registrierung läuft über das BSI-Portal MELDEX unter bsi.bund.de und setzt ein ELSTER-Organisationszertifikat voraus. Prüfen Sie vorab, mit welcher rechtlichen Einheit Sie sich registrieren: In Chemieparks betreiben häufig mehrere Gesellschaften gemeinsam genutzte Infrastruktur, und die Registrierungspflicht trifft jede betroffene Gesellschaft einzeln. Betreiber einer kritischen Anlage nach BSI-KritisV registrieren sich zusätzlich in dieser Eigenschaft, weil daran weitergehende Pflichten hängen.

Erhebliche Vorfälle gehen als Erstmeldung binnen 24 Stunden, mit Bewertung binnen 72 Stunden und als Abschlussbericht binnen eines Monats über MELDEX an das BSI. Die Besonderheit im Chemiebereich ist die Parallelität: Wirkt sich derselbe Vorfall auf eine Anlage nach der 12. BImSchV aus, bestehen zusätzlich immissionsschutzrechtliche Pflichten gegenüber der zuständigen Landesbehörde. Legen Sie vorab schriftlich fest, wer welchen Meldeweg verantwortet, damit im Ereignisfall nicht zwei Stellen unabgestimmt kommunizieren.

Betreiber von Störfallanlagen führen bereits ein Sicherheitsmanagementsystem mit Gefährdungsbeurteilungen, Prüfzyklen und Dokumentation. Der wirtschaftlichste Weg ist, NIS2 dort anzudocken statt ein zweites System aufzubauen: Cyberangriffe werden als auslösendes Ereignis in die bestehenden Szenarien aufgenommen, die IT-Sicherheitsverantwortung wird in die vorhandene Organisationsstruktur eingehängt, und die Nachweisführung nutzt dieselbe Ablage. Die Aufsicht erwartet ein widerspruchsfreies Gesamtbild, keine zwei getrennten Aktenwelten.

Anlagensteuerungen laufen zwanzig Jahre und länger, Herstellersupport endet deutlich früher. NIS2 verlangt keinen Austausch, sondern angemessene Maßnahmen: Dokumentieren Sie für jede nicht patchbare Komponente, warum ein Update ausscheidet, und belegen Sie die kompensierenden Maßnahmen — strikte Netzwerkzonen nach IEC 62443, Zugriff nur über kontrollierte Übergänge, Überwachung des Datenverkehrs und ein definierter Notbetrieb. Entscheidend für die Prüfung ist, dass diese Herleitung nachvollziehbar aufgeschrieben ist.

Gefordert ist der Nachweis, dass eine Kompromittierung des Prozessleitsystems die Schutzfunktion nicht aushebeln kann. Praktisch heißt das: eine Topologiedokumentation, die jeden Zugangspfad zur Sicherheitsleittechnik zeigt, eine Bewertung möglicher Rückwirkungen und ein wiederkehrender Test. Findet sich ein gemeinsamer Zugangsweg zwischen Bediensystem und Notabschaltung, ist das ein vorrangig zu behebender Mangel — dieser Punkt steht in Prüfungen regelmäßig an erster Stelle.

NIS2 verlangt nicht, jeden Lieferanten zu auditieren, sondern die eigenen Abhängigkeiten zu kennen und risikobasiert zu steuern. Beginnen Sie mit einer Übersicht, welche Vorprodukte und Dienstleister produktionskritisch sind und welche davon Zugriff auf Ihre Systeme haben. Für diese Gruppe gehören Sicherheitsanforderungen in die Beschaffungsunterlagen und eine regelmäßige Abfrage in die laufende Lieferantenbewertung. Lohnfertiger und Fernwartungsdienstleister verdienen dabei die höchste Aufmerksamkeit.

Standardisierte Phishing-Schulungen greifen im Anlagenbetrieb zu kurz. Wirksam ist eine Schulung, die an der eigenen Fahrweise ansetzt: Woran erkennt die Schicht eine unplausible Sollwertvorgabe, wann ist ein auffälliger Anlagenzustand meldepflichtig und an wen geht die Meldung außerhalb der Regelarbeitszeit. Ergänzend braucht die Geschäftsleitung eine eigene Unterweisung zu ihren Pflichten nach § 38 BSIG, weil die Verantwortung dort persönlich zugeordnet ist. Alle Nachweise gehören in dieselbe Ablage wie die übrigen Unterweisungen.