FRAGE:
Was ist im Zusammenhang mit der Wirksamkeitsprüfung von Notfallplänen unter dem Begriff „Cyberangriff“ zu verstehen?

ANTWORT:
Ein Cyberangriff ist der Versuch, illegalen Zugriff auf Computer oder Computersysteme zu erlangen, um diese zu beschädigen oder sonstigen Schaden zu verursachen. Ein Cyberangriff ist oft eine gezielte Ausnutzung von Sicherheitslücken in Computersystemen oder Netzwerken, um auf Daten zuzugreifen, den Computercode, die Logik oder Daten zu verändern. Diese Aktionen können Störungen im Betriebsablauf verursachen, vertrauliche Daten gefährden und zu Cyberkriminalität führen – z. B. in Form von Informations- und Identitätsdiebstahl, in Form von Betriebsunterbrechungen, die durch Angriff auf die automatische Steuerung verursacht wurden, indem kritische Unternehmensdaten verschlüsselt werden oder eine illegale Fernmanipulation von Systemen oder Daten erfolgt.
Cyberangriffe und Cyber-Verbrechen werden nicht nur von außerhalb des Unternehmens agierenden Personen unternommen, welche mithilfe leistungsfähiger Computerprogramme und trickreichem Vorgehen versuchen, Passwörter herauszufinden. Häufig handelt es sich vielmehr um Aktionen, mit denen einzelne Personen dazu verleitet werden sollen, vertrauliche oder private Informationen preiszugeben. Dies kann durch entsprechende Aufforderungen per E-Mail erfolgen (in der Regel Phishing), durch Vorwände (als vertrauenswürdige Person oder Regierungsbeamter), durch Telefonanrufe wegen vermeintlicher Notfälle, um so an persönliche Daten zu gelangen, durch das Mitlesen von eingegebenen Passwörtern, durch das Infizieren beliebter Websites mit Malware, durch SMS mit Links zu Websites, bei deren Aufruf Malware installiert wird, durch USB-Sticks, die auf Schreibtischen liegengelassen werden, vertrauenswürdig erscheinen und arglos an PCs angeschlossen werden oder durch Diebstahl von weggeworfenen Speichermedien mit vertraulichen Informationen usw.. Darüber hinaus kann ein Cyber-Verbrecher, nachdem er Zugriff auf das System eines Unternehmens erhalten hat, die kritischen Unternehmensdaten verschlüsseln und ein Lösegeld fordern, um die Daten wieder zu entschlüsseln.
Darüber hinaus ist in Europa durch die DSGVO (Allgemeine Datenschutzverordnung) oder ähnliche Anforderungen in anderen Ländern vorgeschrieben, dass Organisationen dafür verantwortlich sind, dass die von der Organisation gespeicherten personenbezogenen Daten jederzeit geschützt und sicher aufbewahrt werden. Ziel ist es, das Bewusstsein für die Bedeutung einer guten Vorbereitung auf Cyberangriffe zu stärken.
Weitere Einzelheiten zu Sicherheitstechniken der Informationstechnologie sind in der DIN EN ISO/IEC 27001 zu finden.

FRAGE:
Was sind die wichtigsten Schritte zur Entwicklung effektiver Notfallpläne?

ANTWORT:
Die Organisation muss nachweisen, dass sie wirksame Notfallpläne entwickelt und umgesetzt hat, um die Produktionsleistung aufrechtzuerhalten und sicherzustellen, dass die Kundenanforderungen erfüllt werden. Zu den wichtigsten Schritten zur Entwicklung eines effektiven Notfallplans gehören:
• Analyse der interne und externen Risiken aller Produktionsprozesse und Infrastrukturen,   die für die Aufrechterhaltung der Kontinuität der Produktlieferung gemäß den Vorgaben   des Kunden (siehe IATF 16949, Abschnitt 6.1.2.3 a) und c), einschließlich SI 3) notwendig   sind.
HINWEIS: Die Risikoanalyse umfasst in der Regel eine Bewertung der Wahrscheinlichkeit und potenziellen Auswirkungen des Ausfalls der wesentlichen Produktionsprozesse und Infrastrukturen
• Entwicklung von Notfallplänen für den Fall des Ausfalls von Produktionsprozessen und Infrastrukturen und die Bewertung deren Wahrscheinlichkeit, die Kundenanforderungen weiterhin zu erfüllen zu können, einschließlich aller erforderlichen Benachrichtigungen an interessierte Parteien
• Spezifische Notfallplanalternativmaßnahmen zur Gewährleistung der Versorgungskontinuität, die beispielsweise bei einer Unterbrechung der Stromversorgung, folgendes umfassen könnten:
Ersatzinfrastruktur oder vertraglich vereinbarte Dienstleistungen, Sicherheitsbestände, Hilfsquellen, etc.
• Nachweise der Überprüfung sowie der regelmäßigen Prüfung und Validierung der Maßnahmen des Notfallplans auf Wirksamkeit, einschließlich der Sensibilisierung der Mitarbeiter
• Einhaltung von Kundenanforderungen und kundenspezifischen Anforderungen