Warum die Cybersicherheit in Fabriken einen Notfallplan beinhalten muss

Ein Cyberangriff auf eine Fabrik ist nicht beendet, sobald die Schadsoftware aus dem Netzwerk entfernt wurde. Die Produktion kann weiterhin unterbrochen sein, den Steuerungssystemen kann kein Vertrauen mehr entgegengebracht werden, und die Ingenieure sind möglicherweise nicht in der Lage zu überprüfen, ob Maschinenkonfigurationen, Sicherheitsparameter oder Produktionsrezepte verändert wurden. Selbst wenn die Unternehmens-IT E-Mails, Dateien und Geschäftsanwendungen wiederhergestellt hat, kann das Werk weiterhin offline bleiben, da die Betriebstechnik einer anderen Logik folgt. Aus diesem Grund kann die Cybersicherheit in Fabriken nicht allein auf Prävention ausgerichtet sein. Firewalls, Netzwerksegmentierung, Zugriffskontrollen und Mitarbeiterschulungen sind nach wie vor unerlässlich, aber sie beantworten nicht die entscheidende Frage, sobald ein Vorfall die Produktion erreicht hat: Wie stellt das Unternehmen den Betrieb wieder her, ohne durch einen unsicheren oder verfrühten Neustart einen zweiten Ausfall zu verursachen?

Für Hersteller bedeutet die Wiederherstellung nicht nur, die Server wieder in Betrieb zu nehmen. Sie erfordert die Gewissheit, dass physikalische Prozesse, das Verhalten der Maschinen und die Sicherheitsfunktionen weiterhin intakt sind. Eine Produktionslinie, die mit einer beschädigten Steuerungslogik neu gestartet wird, mag zwar betriebsbereit erscheinen, produziert jedoch möglicherweise fehlerhafte Waren, beschädigt Anlagen oder setzt Mitarbeiter Gefahren aus. Der Druck, die Produktion schnell wieder aufzunehmen, kann daher im Widerspruch zu der Notwendigkeit stehen, die Sicherheit der Anlage zu überprüfen. Ein glaubwürdiger Wiederherstellungsplan löst diesen Konflikt, bevor ein Angriff stattfindet.

Die Wiederherstellung auf Werkseinstellungen unterscheidet sich von der IT-Wiederherstellung

Die herkömmliche Notfallwiederherstellung ist in der Regel auf Systeme, Anwendungen und Daten ausgerichtet. Ein Unternehmen ermittelt, welche Dienste geschäftskritisch sind, erstellt Sicherungskopien und legt die Reihenfolge fest, in der diese wiederhergestellt werden sollen. In der Fertigung gelten dieselben Grundsätze, doch die Betriebstechnik fügt eine weitere Ebene hinzu, da die Systeme physische Anlagen steuern.

Eine speicherprogrammierbare Steuerung speichert nicht nur Informationen, sondern steuert auch die Abfolge der Maschinenbewegungen. Ein Produktionsrezept kann Temperaturen, Drücke, Geschwindigkeiten und Toleranzen festlegen. Eine Sicherheitssteuerung kann verhindern, dass ein Mitarbeiter einen Gefahrenbereich betritt, während die Anlage in Betrieb ist. Eine unsachgemäße Wiederherstellung dieser Systeme kann Folgen haben, die weit über den Verlust von Daten hinausgehen.

Auch die Fertigungsumgebung ist stark vernetzt. Eine einzelne Fertigungslinie kann von Steuerungen, Antrieben, Sensoren, Bildverarbeitungssystemen, industriellen Netzwerken, Fertigungssteuerungssoftware und Schnittstellen zur Unternehmensplanung abhängig sein. Die Wiederherstellung einer einzelnen Komponente garantiert nicht, dass der Prozess korrekt funktioniert, insbesondere wenn Systemversionen, Konfigurationen und Kommunikationseinstellungen nicht mehr miteinander kompatibel sind.

Dadurch wird die Wiederherstellung sowohl zu einer technischen Herausforderung als auch zu einer Aufgabe der Cybersicherheit. IT-Teams verstehen zwar den Angriff und die betroffene Infrastruktur, während Produktionsingenieure wissen, welche Systeme gemeinsam wiederhergestellt werden müssen und was überprüft werden muss, bevor die Anlagen wieder in Betrieb genommen werden können. Keine der beiden Gruppen kann den Prozess ohne die andere effektiv bewältigen.

Der schnellste Neustart ist nicht immer der sicherste

Sobald die Produktion zum Stillstand kommt, entsteht sofort wirtschaftlicher Druck. Aufträge verzögern sich, Materialien stapeln sich, und Kunden fragen nach, wann die Lieferungen wieder aufgenommen werden. Die Unternehmensleitung ist natürlich an einer möglichst kurzen Ausfallzeit interessiert, doch diese Dringlichkeit kann die Teams dazu verleiten, die Systeme wiederherzustellen, bevor sie das gesamte Ausmaß des Vorfalls erfasst haben.

Ein Controller, der funktionsfähig erscheint, kann dennoch eine veränderte Logik enthalten. Möglicherweise liegt zwar eine Sicherungskopie vor, diese entspricht jedoch nicht mehr der genehmigten Produktionskonfiguration. Ein Angreifer könnte Benutzerkonten, Fernzugriffseinstellungen oder Alarmschwellenwerte geändert haben, ohne dass dies für das System sichtbar ist.

Die Gefahr beschränkt sich nicht nur auf vorsätzliche Sabotage. Bei unter Zeitdruck durchgeführten Wiederherstellungsarbeiten können neue Fehler entstehen. Ingenieure laden möglicherweise die falsche Programmversion, übersehen eine lokale Änderung oder schließen eine Maschine wieder an, bevor die umliegenden Systeme bereit sind.

Der Wiederinbetriebnahmeplan sollte daher die Bedingungen festlegen, unter denen die einzelnen Bereiche der Fabrik wieder in Betrieb genommen werden können. Zu diesen Bedingungen können technische Validierungen, Sicherheitsprüfungen, die Bestätigung der Produktionsparameter sowie die Genehmigung durch die benannten verantwortlichen Stellen gehören. Eine Entscheidung zur Wiederinbetriebnahme sollte auf gesicherten Erkenntnissen beruhen und nicht auf der Annahme, dass ein scheinbar ruhendes System auch ein sauberes System ist. Das Ziel besteht nicht darin, die Produktion unnötig zu verzögern, sondern zu verhindern, dass eine überstürzte Wiederinbetriebnahme zu Anlagenschäden, Qualitätsmängeln oder einer zweiten, noch länger andauernden Stilllegung führt.

„Known-Good“-Konfigurationen sind wichtiger als gewöhnliche Backups

Fabriken erstellen häufig Sicherungskopien von Steuerungen und Maschinenprogrammen, doch die bloße Existenz einer Datei ist kein Beweis dafür, dass diese aktuell, vollständig oder für eine Wiederherstellung geeignet ist. Eine Sicherungskopie kann erstellt worden sein, nachdem eine Konfiguration bereits kompromittiert wurde, während in älteren Versionen berechtigte Änderungen, die im Rahmen von Wartungsarbeiten oder Prozessverbesserungen vorgenommen wurden, möglicherweise fehlen.

Die Wiederherstellung hängt daher von der Beibehaltung bekannter, einwandfreier Konfigurationen ab: geprüfte Versionen der Steuerungslogik, Sicherheitseinstellungen, Maschinenparameter und Netzwerkkonfigurationen, auf die sich das Unternehmen verlassen kann.

Diese Aufzeichnungen müssen klare Zuständigkeiten und eine Versionshistorie enthalten. Die Techniker sollten wissen, wann eine Konfiguration genehmigt wurde, zu welchem Gerät sie gehört und welche Hardware- und Softwareversionen dafür erforderlich sind. Änderungen, die direkt an den Geräten vorgenommen werden, müssen erfasst werden und dürfen nicht als undokumentiertes lokales Wissen verbleiben.

Offline- oder isolierte Kopien sind besonders wichtig, da Backups, die ständig mit derselben Umgebung verbunden sind, bei einem Angriff verschlüsselt oder beschädigt werden können. Das Unternehmen sollte außerdem prüfen, ob die Dateien tatsächlich wiederhergestellt werden können. Ein Backup, das noch nie auf Ersatzhardware geladen wurde, bietet weniger Sicherheit, als es auf den ersten Blick den Anschein hat.

Bei älteren Systemen können veraltete Software, nicht mehr verfügbare Lizenzen oder Hardware, die vom Hersteller nicht mehr geliefert wird, eine Herausforderung darstellen. Im Rahmen der Notfallplanung sollten diese Abhängigkeiten ermittelt werden, bevor sie im Ernstfall zutage treten.

Die Prioritäten bei der Wiederherstellung müssen den Produktionsabhängigkeiten entsprechen

Nicht jedes System kann gleichzeitig wieder in Betrieb genommen werden, und die Reihenfolge spielt eine Rolle. Ein Unternehmen könnte versucht sein, mit der sichtbarsten Produktionslinie zu beginnen, auch wenn diese Linie von unterstützenden Systemen abhängt, die noch nicht verfügbar sind.

Ein Wiederherstellungsplan sollte die Abhängigkeiten zwischen Versorgungseinrichtungen, Sicherheitssystemen, Netzwerken, Maschinen und Produktionssoftware abbilden. Druckluft-, Energieverwaltungs-, Kühl- oder Materialtransportsysteme müssen unter Umständen vor der Produktionslinie selbst wieder in Betrieb genommen werden. Identitätsdienste und Zeitsynchronisation können erforderlich sein, bevor Steuerungen und Anwendungen zuverlässig miteinander kommunizieren können.

Die Reihenfolge sollte zudem die geschäftlichen Prioritäten widerspiegeln. Ein Werk kann sich beispielsweise dafür entscheiden, eine strategisch wichtige Produktlinie vor anderen Betriebsabläufen wieder in Betrieb zu nehmen, doch muss diese Entscheidung mit den technischen und sicherheitstechnischen Anforderungen vereinbar sein. Die Geschäftsleitung kann festlegen, welche Produkte und Kunden am wichtigsten sind, während die Technik bestimmt, was sicher und in welcher Reihenfolge wieder in Betrieb genommen werden kann.

Diese Abhängigkeitsübersicht sollte detailliert genug sein, um als Leitfaden für das Vorgehen zu dienen, ohne dabei so kompliziert zu werden, dass sie im Falle eines Vorfalls von niemandem mehr genutzt werden kann. Die effektivsten Pläne legen kritische Systeme, erforderliche Dienste, zuständige Teams und die notwendigen Nachweise fest, bevor zur nächsten Phase übergegangen wird.

Der manuelle Betrieb muss geplant und darf nicht improvisiert werden

Einige Fabriken können die Produktion in begrenztem Umfang manuell oder im vereinfachten Betriebsmodus fortsetzen, wenn digitale Systeme nicht verfügbar sind. Dies kann die Auswirkungen eines Angriffs mindern, allerdings nur, wenn der alternative Prozess im Voraus konzipiert und einstudiert wurde.

Die Mitarbeiter müssen wissen, welche Aufgaben auch ohne die übliche Automatisierung sicher ausgeführt werden können, welche Qualitätskontrollen zusätzlich erforderlich sind und wie die Produktionsdaten erfasst werden. Manuelle Abläufe erfordern unter Umständen mehr Personal, geringere Geschwindigkeiten und eine andere Art der Überwachung.

Der Prozess erfordert zudem klare Grenzen. Eine Maschine, die für den automatisierten Betrieb ausgelegt ist, eignet sich möglicherweise nicht für eine längere manuelle Steuerung, während Mitarbeitern, die bestimmte Aufgaben nicht mehr regelmäßig ausführen, möglicherweise das nötige Selbstvertrauen oder die erforderliche Erfahrung fehlt.

Unternehmen sollten davon absehen, den manuellen Betrieb als universelle Ausweichlösung zu betrachten. In manchen Umgebungen ist die Einstellung der Produktion nach wie vor die sicherste Entscheidung. Der Wiederherstellungsplan sollte zwischen Prozessen unterscheiden, die im eingeschränkten Modus fortgesetzt werden können, und solchen, die vor der Wiederaufnahme der Arbeit eine vollständige Wiederherstellung erfordern.

IT, OT, Sicherheit und Produktion benötigen eine einheitliche Struktur zur Erfassung von Vorfällen

Cybervorfälle decken oft organisatorische Trennlinien auf, die im Normalbetrieb noch überschaubar waren. Die IT konzentriert sich möglicherweise darauf, den Angreifer einzudämmen, die OT-Teams auf die Wiederherstellung der Anlagen, die Produktionsleiter auf die Produktionsleistung und die Sicherheitsspezialisten auf die Risiken. Ohne eine gemeinsame Führungsstruktur können diese Prioritäten miteinander in Konflikt geraten.

Ein Notfallplan für das Werk sollte festlegen, wer die Leitung der Maßnahmen übernimmt, wer befugt ist, Systeme abzuschalten, und wer die Wiederinbetriebnahme der Anlagen genehmigt. Er sollte regeln, wie Entscheidungen schicht- und standortübergreifend kommuniziert werden, insbesondere wenn der Vorfall mehrere Standorte betrifft.

Auch externe Partner können von entscheidender Bedeutung sein. Maschinenbauer, Automatisierungsintegratoren und Softwareanbieter verfügen oft über Fachwissen, das dem Hersteller intern nicht zur Verfügung steht. Ihre Kontaktdaten, Zugangsverfahren und vertraglichen Verpflichtungen sollten bereits vor dem Vorfall festgelegt werden und nicht erst ausgehandelt werden, wenn die Produktion bereits stillsteht.

Das Unternehmen sollte außerdem Plan wie der Fernzugriff von Drittanbietern während der Wiederherstellung gehandhabt wird. Eine zu frühe Wiederherstellung externer Verbindungen kann die Eindämmung untergraben, während eine vollständige Sperrung dazu führen kann, dass Techniker nicht die Unterstützung erhalten, die sie benötigen.

Tests zur Wiederherstellung müssen über eine reine Simulationsübung hinausgehen

In vielen Unternehmen werden Cybersicherheitsszenarien in Besprechungsräumen erörtert, was zur Klärung von Rollen und Kommunikationsabläufen beiträgt. Auch in Fabriken sind praktische Tests erforderlich, um zu prüfen, ob Systeme unter realistischen Bedingungen wiederhergestellt werden können.

Eine Wiederherstellungsübung kann das Laden eines bekanntermaßen fehlerfreien Steuerungsprogramms, den Wiederaufbau einer industriellen Workstation oder die Wiederherstellung einer Produktionsanwendung in einer isolierten Umgebung umfassen. Die Teams können prüfen, ob die Dokumentation korrekt ist, Ersatzhardware verfügbar ist und Passwörter oder Lizenzen bei Bedarf abgerufen werden können.

Die Übung sollte eine betriebliche Überprüfung umfassen und nicht mit dem Start der Software enden. Die Ingenieure müssen sicherstellen, dass Sensoren, Alarme, Maschinenbewegungen und Sicherheitsverriegelungen wie erwartet funktionieren. Die Qualitätsteams müssen möglicherweise die ersten Produkte prüfen, bevor die Produktionslinie wieder den normalen Betrieb aufnimmt.

Bei Tests werden häufig Abhängigkeiten aufgedeckt, die in der Dokumentation nicht berücksichtigt wurden. Eine wiederhergestellte Anwendung ist möglicherweise auf einen alten Treiber angewiesen, ein Rechner benötigt unter Umständen einen bestimmten Laptop für Ingenieure, oder ein Sicherheitssystem erfordert einen Spezialisten, der außerhalb der Arbeitszeiten nicht verfügbar ist.

Diese Erkenntnisse sind wertvoll, da sie eine vermeintliche Fähigkeit in eine tatsächliche verwandeln. Wiederherstellungspläne lassen sich durch Übungen verbessern, nicht allein durch Selbstvertrauen.

Qualitätskontrolle ist Teil der Cyber-Wiederherstellung

Wenn ein Cybervorfall Produktionssysteme betrifft, muss das Unternehmen prüfen, ob den vor der Entdeckung hergestellten Produkten weiterhin vertraut werden kann. Ein Angreifer könnte die Prozesseinstellungen schrittweise verändert haben, während manipulierte Daten möglicherweise die Rückverfolgbarkeit oder die Prüfergebnisse beeinträchtigt haben.

Der Wiederherstellungsprozess geht daher über die Maschinen hinaus. Qualitätsteams müssen unter Umständen Lagerbestände unter Quarantäne stellen, Produktionsaufzeichnungen überprüfen und feststellen, welche Chargen einer zusätzlichen Prüfung bedürfen. Sind die Rückverfolgbarkeitsdaten unvollständig, muss das Unternehmen möglicherweise umfassendere Eindämmungsmaßnahmen ergreifen, als es die technischen Erkenntnisse allein nahelegen würden.

Besondere Aufmerksamkeit verdienen auch die ersten Produkte, die nach der Wiederaufnahme der Produktion hergestellt werden. Eine Maschine kann zwar einen grundlegenden Funktionstest bestehen, dabei jedoch noch außerhalb der für eine gleichbleibende Qualität erforderlichen Toleranzen arbeiten. Ein kontrollierter Hochlauf, zusätzliche Stichproben und die technische Überwachung tragen dazu bei, Probleme zu erkennen, bevor die normale Produktion wieder aufgenommen wird.

Dieser Zusammenhang zwischen Cybersicherheit und Qualität wird leicht übersehen, wenn der Vorfall in erster Linie als IT-Ausfall betrachtet wird. In der Fertigungsindustrie sind Systemintegrität und Produktintegrität eng miteinander verbunden.

Sanierungspläne benötigen eine Strategie für eine saubere Umwelt

Die Wiederherstellung kompromittierter Systeme im selben Netzwerk ohne ausreichende Isolierung kann es einem Angreifer ermöglichen, erneut Zugriff zu erlangen oder sich auf neu aufgesetzte Geräte auszubreiten. Hersteller benötigen eine saubere Umgebung, in der Systeme untersucht, wiederhergestellt und getestet werden können, bevor sie wieder in den Betrieb genommen werden.

Dies kann separate Wiederherstellungsnetzwerke, isolierte Entwicklungsstationen und kontrollierte Übertragungswege für die Übertragung genehmigter Software und Konfigurationen umfassen. Geräte sollten vor dem Anschluss gescannt und überprüft werden, während Zugangsdaten, die während des Vorfalls kompromittiert wurden, ersetzt werden müssen.

Das Unternehmen muss zudem entscheiden, inwieweit die Umgebung neu aufgesetzt statt repariert werden soll. Die Neuinstallation eines Arbeitsplatzrechners anhand eines vertrauenswürdigen Images bietet möglicherweise mehr Sicherheit als der Versuch, ihn zu bereinigen; ältere Industriesysteme lassen sich jedoch unter Umständen nur schwer neu aufsetzen, ohne dass dabei Kompatibilitätsprobleme auftreten.

Die Strategie sollte ein Gleichgewicht zwischen Vertrauen, Zeitaufwand und praktischer Umsetzbarkeit herstellen. Die Entscheidung fällt wesentlich leichter, wenn bereits Ersatzbilder, Konfigurationsdateien und Hardware-Bestandslisten vorliegen.

Ältere Geräte erfordern besondere Aufmerksamkeit

In Fabriken sind Maschinen oft jahrzehntelang im Einsatz, lange nachdem der offizielle Support für die dazugehörige Software und die Betriebssysteme bereits eingestellt wurde. Für diese Anlagen ist es oft schwierig, Patches zu installieren, und noch schwieriger, sie wiederherzustellen.

Ein Altgerät ist möglicherweise von einem bestimmten Computer, Kabel, Lizenzschlüssel oder einer technischen Anwendung abhängig, die nicht mehr ohne Weiteres erhältlich ist. Möglicherweise gibt es in der Organisation nur einen einzigen Mitarbeiter, der sich daran erinnert, wie das System konfiguriert wurde.

Im Rahmen der Wiederherstellungsplanung sollten diese anfälligen Abhängigkeiten ermittelt und die zu ihrer Wiederherstellung erforderlichen Hilfsmittel bereitgehalten werden. Dazu können Ersatzhardware, archivierte Installationsmedien, Offline-Dokumentation sowie Beziehungen zu spezialisierten Dienstleistern gehören.

Ist ein Austausch nicht sofort möglich, kann das Unternehmen das Risiko durch Segmentierung, Zugangsbeschränkungen und strenge Überwachung mindern. Keine dieser Maßnahmen macht es jedoch überflüssig, zu verstehen, wie die Ressource nach einem Ausfall oder einer Kompromittierung wiederhergestellt werden könnte.

Die älteste Maschine im Werk kann zum zeitaufwändigsten Teil des Wiederherstellungsprozesses werden.

Ein Sanierungsplan muss unternehmerische Entscheidungen beinhalten

Die technischen Teams können die Systeme wiederherstellen, doch die Unternehmensleitung muss entscheiden, in welchem Umfang das Unternehmen Betriebsstörungen hinnehmen kann und welche Kompromisse es bereit ist einzugehen.

Sollte der Betrieb mit reduzierter Kapazität wieder aufgenommen werden, während einige Systeme weiterhin nicht verfügbar sind? Können Produkte ohne lückenlose digitale Rückverfolgbarkeit hergestellt werden? Welche Kunden sollten bei der Wiederaufnahme der Produktion Vorrang erhalten? Ab wann sollte das Unternehmen Aufsichtsbehörden, Versicherer oder Geschäftspartner informieren?

In einer Krise sind solche Entscheidungen schwer zu treffen, da die Informationen unvollständig sind und der finanzielle Druck hoch ist. Ein Sanierungsplan kann zwar nicht jede Lösung im Voraus festlegen, aber er kann Grundsätze, Schwellenwerte und Entscheidungsbefugnisse festlegen.

Das Unternehmen sollte außerdem festlegen, welche Informationen die Führungsspitze benötigt. Ein aussagekräftiger Statusbericht unterscheidet zwischen Systemen, die technisch wiederhergestellt sind, Prozessen, die betrieblich validiert wurden, und der Produktion, die wieder ein akzeptables Qualitätsniveau erreicht hat. Dabei handelt es sich um unterschiedliche Phasen, auch wenn sie manchmal als eine einzige dargestellt werden.

Die Bereitschaft zur Wiederherstellung sollte die Technologieinvestitionen beeinflussen

Ein neues Industriesystem wird häufig anhand von Produktivität, Integrationsfähigkeit und Anschaffungspreis bewertet. Die Wiederverwertbarkeit verdient dabei ebenso viel Beachtung.

Hersteller sollten prüfen, ob Konfigurationen exportiert werden können, wie schnell Ersatzhardware beschafft werden kann und ob der Anbieter Offline-Backups und eine kontrollierte Wiederherstellung unterstützt. Proprietäre Systeme, die ohne einen externen Anbieter nicht wiederhergestellt werden können, bergen möglicherweise ein verstecktes Risiko für die Geschäftskontinuität.

Das gleiche Prinzip gilt für vernetzte Plattformen und industrielle Cloud-Dienste. Das Unternehmen muss wissen, was passiert, wenn der Dienst nicht verfügbar ist, wie Daten abgerufen werden können und ob der lokale Betrieb im eingeschränkten Modus fortgesetzt werden kann.

Anforderungen an die Wiederherstellung sollten bereits bei der Beschaffung berücksichtigt werden und nicht erst hinzugefügt werden, wenn die Technologie für die Produktion unverzichtbar geworden ist.

Der Plan muss auf dem neuesten Stand bleiben

Fabriken unterliegen einem ständigen Wandel. Maschinen werden modernisiert, Produktionslinien umgestaltet und Softwareversionen weiterentwickelt, was bedeutet, dass ein Notfallplan veralten kann, selbst wenn er zum Zeitpunkt seiner Erstellung noch korrekt war.

Die Zuständigkeit ist daher von entscheidender Bedeutung. Die benannten Teams sollten Konfigurationen, Abhängigkeiten und Kontaktdaten regelmäßig überprüfen. Wesentliche Änderungen im Produktivbetrieb sollten eine Aktualisierung auslösen, während Wiederherstellungsübungen bestätigen sollten, dass der Plan weiterhin der Realität entspricht.

Die Dokumentation muss auch während eines Vorfalls zugänglich bleiben. Ein Plan, der ausschließlich im kompromittierten Netzwerk gespeichert ist, steht möglicherweise gerade dann nicht zur Verfügung, wenn er am dringendsten benötigt wird. Sichere Offline- oder isolierte Kopien stellen sicher, dass die Teams weiterhin auf Verfahren, Bestandslisten und Kontaktinformationen zugreifen können. Die Wiederherstellungsbereitschaft ist kein Dokument, das lediglich für ein Audit erstellt wird. Es handelt sich um eine operative Fähigkeit, die mit den Veränderungen im Werk Schritt halten muss.

Resilienz beginnt schon vor dem Angriff

Hersteller können nicht jedes Cyberrisiko ausschließen, insbesondere da Fabriken zunehmend vernetzt und von Software abhängig sind. Sie können jedoch die Unsicherheit verringern, die nach einem Vorfall entsteht. Ein solider Wiederherstellungsplan legt fest, welche Systeme am wichtigsten sind, wie vertrauenswürdige Konfigurationen wiederhergestellt werden und wer entscheidet, wann die Produktion wieder aufgenommen werden kann. Er bindet IT, OT, Produktion, Qualität und Sicherheit in denselben Prozess ein und berücksichtigt dabei, dass ein erfolgreicher Neustart mehr erfordert als nur funktionierende Computer. Die zentrale Frage ist nicht, wie schnell das Unternehmen die Maschinen wieder in Betrieb nehmen kann. Es geht vielmehr darum, wie schnell es zu einer sicheren, stabilen und vertrauenswürdigen Produktion zurückkehren kann. Prävention verringert die Wahrscheinlichkeit, dass ein Angriff die Fertigungsebene erreicht. Die Wiederherstellungsplanung entscheidet darüber, ob das Unternehmen überleben kann, wenn Prävention nicht ausreicht.