← Zurück

ENGINEERING NOTES · Mai 2026

Drei häufige Fehler bei einem ICS-Gap-Assessment

Nach Jahren, in denen ich Gap Assessments in industriellen Umgebungen durchgeführt und geprüft habe, tauchen diese drei häufiger auf als alle anderen.

• Das Asset-Inventar als einmalige Übung behandeln. In OT veraltet das Inventar schnell — ein Dienstleister ergänzt ein Gerät, ein Firmware-Update ändert eine Version — und ein Gap Assessment auf Basis eines acht Monate alten Inventars misst bereits ein Netzwerk, das so nicht mehr existiert.
• IT-Kontrollen kopieren, ohne sie an die OT-Verfügbarkeit anzupassen. „Sofortiger Neustart nach kritischem Patch” klingt gut auf einer Checkliste, aber auf einer Anlage, die nicht ohne Produktionsabstimmung stoppen kann, ist diese Kontrolle Papier, keine reale Praxis.
• Reife nur an Technik messen, nicht an Prozess und Menschen. Eine gut konfigurierte Industrie-Firewall nützt wenig, wenn niemand klar weiß, wer eine Regeländerung genehmigt, oder wenn das Vorfallreaktionsverfahren in einem Dokument steckt, das seit der Unterschrift niemand mehr gelesen hat.

Der gemeinsame Nenner aller drei: Ein Gap Assessment, das nur auf Technik schaut, liefert ein hübsches Foto und ein falsches Sicherheitsgefühl. Eines, das auch Prozess, Menschen und das Verfallsdatum seiner eigenen Daten betrachtet, verringert tatsächlich Risiko.