Cyberresilienz im Facility Management kritischer Infrastrukturen

Der Beitrag ordnet die Vorgaben ein und leitet umsetzbare FM‑Bausteine für Gebäudeautomation, sicherheitsrelevante MSR sowie Brand‑ und Sicherheitstechnik ab.

Als PDF lesen

Ausgangslage und Problemstellung

In der FM-Praxis wurden KRITIS und Cybersicherheit lange primär der Unternehmens-IT zugeordnet. Mit vernetzter Gebäudeautomation, standardisierter Fernwartung und Plattformintegration ist FM jedoch unmittelbar betroffen: Cyberereignisse können Verfügbarkeit, Betriebssicherheit und – je nach Anlage – die funktionale Sicherheit beeinflussen. FM sollte OT risikobasiert steuern, nachvollziehbar dokumentieren und externe Zugänge (Dienstleister/Hersteller) stringent regeln, weil sich an diesen Schnittstellen typischerweise die größte Angriffsfläche sowie die wichtigsten Verantwortungs- und Nachweispunkte bündeln.^{7 9 10}

Rechtsrahmen

NIS-2 und CER sind Richtlinien und adressieren zunächst die Mitgliedstaaten. Betreiberpflichten werden durch nationale Umsetzung verbindlich.^{1 2} In Deutschland konkretisiert das NIS-2‑Umsetzungsgesetz Betreiberanforderungen im BSIG‑Regelungsrahmen, insbesondere zu Leitungs- und Organisationsstrukturen (Rollen, Entscheidungswege, Kontrollmechanismen und Nachweise), risikobasierten Sicherheitsmaßnahmen und Meldeprozessen.^{3 4}

Der KRITIS‑Scope wird über die BSI‑KritisV bestimmt. Für FM ist diese Abgrenzung entscheidend, um Standorte, Assets und Betriebsprozesse mit erhöhtem Pflichtenkorridor zu identifizieren.⁵ Für die Resilienzseite setzt CER den europarechtlichen Rahmen. Der Gesetzentwurf zum KRITIS‑Dachgesetz sieht als nationale Umsetzung u.a. Mindestanforderungen, Risikoanalysen sowie Elemente eines Störungsmonitorings vor (Umfang und Details abhängig von der finalen Gesetzesfassung).^{2 6}

Themen-Zeit-Matrix der KRITIS- und Cybervorgaben mit OT- / FM-Bezug

Die nachfolgende Matrix ergänzt die reine Zeitachse um eine zusätzliche thematische Zuordnung: Auf der Y‑Achse stehen die maßgeblichen Schwerpunkte. Auf der X‑Achse wird die Entwicklung entlang zentraler Jahresmarken dargestellt. Die zusätzliche Spalte zur FM-Umsetzung kennzeichnet, ob ein Themenfeld bzw. Regelwerk für FM unmittelbar handlungsleitend ist „X“ oder überwiegend mittelbar wirkt „(X)“.

Tabelle: Themen-Zeit-Matrix der KRITIS- und Cybervorgaben mit OT-/FM-Bezug

Die Tabelle macht sichtbar, dass FM-OT-Umsetzung nicht mit „einem“ Stichtag beginnt, sondern sich aus dem Zusammenspiel von EU-Zielvorgaben (NIS-2/CER), nationaler Konkretisierung (BSIG-Regelungsrahmen, KRITIS-Scope über BSI-KritisV) und OT-nahen Leitplanken (TRBS, VDMA, VdS) ergibt. Für den weiteren Beitrag dient diese Struktur als Ordnungsrahmen: Zunächst werden OT-Spezifika im Gebäude erläutert, anschließend werden die Umsetzungsleitplanken in konkrete Governance-, Betriebs- und Beschaffungshebel für FM übersetzt.

OT‑Kontext im Gebäude: Besonderheiten für Betrieb und Sicherheit

OT in Gebäuden zeichnet sich typischerweise durch lange Lebenszyklen, eine technisch heterogene Komponentenlandschaft (verschiedene Generationen, Protokolle und Integrationsschichten) sowie die enge Verschränkung von Verfügbarkeit, funktionaler Sicherheit und Cybersicherheit aus. Fernwartung ist in der Gebäudeautomation häufig betriebliche Voraussetzung, erhöht aber zugleich die Angriffsfläche und stellt damit einen zentralen Risikotreiber dar. Konsequenterweise muss OT‑Schutz im FM anlagen‑ und prozessorientiert umgesetzt werden. Maßnahmen sind in Change‑, Wartungs‑ und Störungsprozesse einzubetten und OT‑spezifisch auszugestalten, statt sie unverändert aus der IT zu übernehmen.^{7 8 9 10}

Umsetzungsleitplanken: TRBS, VDMA und VdS

TRBS 1115‑1 konkretisiert Cybersicherheitsanforderungen für sicherheitsrelevante Mess‑, Steuer‑ und Regeleinrichtungen von Arbeitsmitteln (inkl. überwachungsbedürftiger Anlagen) und unterstützt damit die Einbindung entsprechender Schutzmaßnahmen in bestehende Betreiberprozesse wie Instandhaltung, Prüfung und Änderung.⁷

VDMA 24774 strukturiert die IT‑ / Cyber‑Sicherheit in der Gebäudeautomation entlang des Lebenszyklus (Planung und Ausschreibung, Inbetriebnahme, Betrieb und Modernisierung) und lässt sich dadurch in FM‑Leistungsbeschreibungen, Betreiberhandbücher sowie Service‑ und Sicherheitsanforderungen (z.B. SLAs) überführen.⁹ VdS 3836 bündelt Anforderungen an die Cyber‑Sicherheit von Systemen und Komponenten der Brand‑ und Sicherheitstechnik und ist insbesondere bei vernetzten und fernwartbaren Lösungen als Referenz für Beschaffung, Integration und Betrieb nutzbar.¹⁰

FM‑Umsetzung: Zielbild in drei Blöcken

Governance & Zugänge: FM benötigt klare Steuerungs‑ und Verantwortungsstrukturen für OT und sollte externe Zugriffe als privilegierte Tätigkeiten behandeln.^{4 9} Zentral sind eindeutige Rollen (Betreiber / OT‑Verantwortung, Serviceverantwortung, Security‑Funktion), dokumentierte Ausnahmeregelungen sowie ein einheitliches Verfahren für Freigabe, zeitliche Begrenzung und Protokollierung von Fernwartung – einschließlich der Steuerung von Unterauftragnehmern und Herstellerketten.^{9 10}

Scope & Inventar: Voraussetzung für wirksames Risikomanagement ist Transparenz über Assets, Schnittstellen und Abhängigkeiten. Dazu gehört die korrekte Scope‑Bestimmung (KRITIS‑Abgrenzung über BSI‑KritisV, soweit anwendbar).⁵ Erforderlich sind zudem ein OT‑Asset‑Register mit zentralen Komponenten und Schnittstellen sowie ein Kommunikations‑ / Abhängigkeitsmodell (Netzsegmente, Remote‑Zugänge, Plattformen, Energieversorgung, Datenschnittstellen).⁹ Die Kritikalität sollte aus dem Beitrag zur kritischen Dienstleistung und der funktionalen Sicherheitsrelevanz abgeleitet werden, um Wartungsfenster, Patchprioritäten und Kompensationsmaßnahmen begründen zu können.^{7 9}

Kontrollen & Nachweis: Auf dieser Grundlage sind OT‑taugliche Mindestkontrollen zu etablieren (u.a. Zonen / Segmentierung, rollenbasierte Rechte, getrennte Administrationskonten). Remote‑Access ist über kontrollierte Sprungpunkte mit starker Authentisierung und Logging auszugestalten.^{9 10} Ergänzend ist eine OT‑fähige Vulnerability‑/Patchstrategie erforderlich (Test, Rollback, Kompensation bei Legacy).^{7 9} Für die Nachweisfähigkeit im Regelbetrieb müssen Change‑ und Incident‑Prozesse die technischen Kontrollen flankieren; Resilienzanforderungen (Notbetrieb / Wiederanlauf) sind so anzuschließen, dass sie in Betriebsdokumentation und Dienstleistersteuerung wirksam werden.^{2 6}

Fazit

OT‑Cyberresilienz im FM ist kein Einzelprojekt, sondern ein dauerhaftes Steuerungs‑ und Betriebssystem. EU‑Vorgaben und deren nationale Umsetzung erhöhen die Erwartung an risikobasierte Sicherheitsmaßnahmen sowie an nachvollziehbare Prozesse für Vorfälle und Nachweise. Für FM bedeutet das, OT‑Schutz über den gesamten Lebenszyklus der Anlagen zu organisieren – von Ausschreibung und Inbetriebnahme bis Betrieb, Modernisierung und Dienstleistersteuerung.

Praktisch führt dies zu drei Prioritäten: Erstens müssen Scope und Kritikalität (inkl. KRITIS‑Abgrenzung, wo einschlägig) in einem gepflegten OT‑Inventar abgebildet werden. Zweitens ist der externe Zugriff – insbesondere Fernwartung – als privilegierter Prozess zu beherrschen (Freigaben, starke Authentisierung, Protokollierung, Steuerung von Unterauftragnehmerketten). Drittens sind OT‑taugliche Mindestkontrollen (Segmentierung, Rollenrechte, Patch‑ / Kompensationsstrategie) mit Change‑ und Incident‑Prozessen zu verbinden und um Notbetrieb / Wiederanlauf zu ergänzen, sodass Resilienz im Regelbetrieb überprüfbar wird.

TRBS 1115‑1, VDMA 24774 und VdS 3836 liefern hierfür praxistaugliche Leitplanken, um abstrakte Pflichten in prüffähige Anforderungen zu übersetzen.

Unsere TOP-Veranstaltungen im Bereich Facility Management und Betreiberverantwortung

Aus dem Newsletter
„Fokus Immobilien“

Quellen und Anmerkungen:

1 Richtlinie (EU) 2022/2555 (NIS-2) Richtlinie […] über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union
(Zweite Netzwerk- und Informationssicherheitsrichtlinie).
2 Richtlinie (EU) 2022/2557 (CER) Richtlinie […] über die Resilienz kritischer Einrichtungen.
3 BSI-Gesetz (BSIG) v. 14.8.2009, zul. geänd. d.G.v. 2.12.2025 BGBl. I Nr. 301.
4 NIS-2-Umsetzungsgesetz v. 2.12.2025 BGBl. I Nr. 301.
5 BSI-KritisV v. 22.4.2016 BGBl. I S. 958, zul. geänd. d.G.v. 18.12.2025 BGBl. I Nr. 347.
6 Entwurf eines Gesetzes zur Stärkung der Resilienz kritischer Anlagen (KRITIS-Dachgesetz).
7 TRBS 1115-1 Technische Regel für Betriebssicherheit: Cybersicherheit für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen.
8 BSI: INF.1, INF.13, INF.14, OPS.1.2.5, OPS.2.3.
9 VDMA 24774 IT-Sicherheit in der Gebäudeautomation.
10 VdS 3836 Cyber-Sicherheit für Systeme und Komponenten der Brandschutz- und Sicherheitstechnik.