Zugriff einer Servicefirma oder eines Herstellers über ein Netz auf Steuerung oder Software einer Anlage. Betrifft Cybersicherheit, Haftung und Datenzugang.
Fernwartung ist der Zugriff einer Servicefirma oder eines Herstellers über ein Netz auf Steuerung oder Software einer Anlage, um Daten auszulesen, Störungen zu analysieren, Einstellungen zu ändern oder Updates einzuspielen. Das spart Anfahrten und verkürzt Ausfälle. Dafür entsteht ein Zugang von außen in die Anlage, der rechtlich und sicherheitstechnisch geregelt sein muss. Rechtlich berührt das Cybersicherheit, Haftung und Datenzugang.
Bei der Cybersicherheit verpflichtet die NIS-2-Richtlinie wichtige und besonders wichtige Einrichtungen zu Risikomanagementmaßnahmen, zu denen die Sicherheit der Lieferkette gehört, einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern (Art. 21 Abs. 2 Buchst. d). Eine Servicefirma mit Fernzugriff auf Anlagen gehört zu dieser Lieferkette. Die Hersteller vernetzter Komponenten unterliegen dem Cyber Resilience Act. Beim Datenzugang regelt der Data Act, wer die bei der Nutzung entstehenden Daten verwenden und weitergeben darf. In Deutschland ist für NIS2 das BSI zuständig.
Für Betreiber folgt daraus vor allem ein Vertragsthema. Regeln Sie, wer sich wann und wie verbinden darf, ob jede Sitzung freigegeben wird, wie Zugriffe protokolliert werden, wer bei einem Sicherheitsvorfall wen informiert und wer für Schäden einsteht, die durch Fehlkonfiguration oder fremde Zugriffe entstehen. Prüfen Sie auch die Abrechnung: Wird Fernwartungszeit nach Stundensatz berechnet, verlangen Sie auch für Fernzugriffe einen Nachweis mit Datum, Dauer, Zweck und Änderungen. Ein Fernzugriff, der Sicherheitsfunktionen verändert, gehört außerdem in die Gefährdungsbeurteilung und kann eine prüfpflichtige Änderung sein.
Worauf es ankommt
- Erfassen Sie je Anlage, wer Fernzugriff hat, über welchen Weg und mit welchen Rechten.
- Vereinbaren Sie Freigabe je Sitzung oder feste Zeitfenster und die Protokollierung der Zugriffe.
- Regeln Sie Meldewege und Fristen bei Sicherheitsvorfällen.
- Fordern Sie Nachweise für jeden Zugriff und gleichen Sie sie mit den Rechnungen ab.
- Klären Sie, ob der Zugriff Daten betrifft, auf die Sie nach dem Data Act Anspruch haben, und ob die Weitergabe an Dritte geregelt ist.
Angenommen, ein Betreiber gibt einer Servicefirma Fernzugriff auf die Gebäudeleittechnik. Im Vertrag steht nur, dass die Firma Zugriff hat. Der Betreiber ergänzt: Zugriff nur nach Freigabe durch einen Ansprechpartner, Protokoll jeder Sitzung mit Dauer und Änderungen, Meldung von Auffälligkeiten innerhalb einer vereinbarten Frist und Löschung der Zugangsdaten nach Vertragsende.
Im Wortlaut
„Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“