Bestellen Sie einen dedizierten CISO sowie einen stellvertretenden CISO als reguläre leitende Angestellte, die indische Staatsbürger oder in Indien ansässig sind, einen Hochschulabschluss in den Ingenieurwissenschaften besitzen und über eine mindestens 15-jährige Berufserfahrung im Energiesektor oder in der IT verfügen. Die Mindestamtszeit beträgt 3 Jahre, wobei die Aufgaben ausschließlich auf die Informationssicherheit (Cybersecurity) beschränkt und organisatorisch klar abgegrenzt sein müssen. Die Kontaktdaten sind öffentlich bekanntzugeben sowie dem CSIRT-Power zu melden.

Etablieren Sie einen internen, in Indien ansässigen ISD (Information Security Desk) anstelle eines ausgelagerten Helpdesks – besetzt mit zertifiziertem Fachpersonal, das eine lückenlose 24/7-Überwachung gewährleistet und nahtlos in Ihre OT-Netzwerk-Detektion und Incident-Response-Prozesse integriert ist.

Prozessleitsysteme (SCADA/PLC) müssen physisch von der Office-IT und dem Internet getrennt sein. Jede logische Verbindung erfordert die Genehmigung des Vorstands, den Einsatz von ESP-Firewalls sowie die Implementierung unidirektionaler Gateways (Datendioden), sodass der Datenfluss ausschließlich ausgehend und niemals eingehend erfolgt.

Führen Sie ein vollständiges, kontinuierlich aktualisiertes Cyber-Asset-Register, das jede PLC-, RTU-, HMI- und SCADA-Komponente erfasst und deren Kritikalitätsstufe abbildet, damit keine unkartierten oder undokumentierten Assets eine Prüfung gefährden.

Ein umfassendes Audit durch eine von der CERT-In akkreditierte Stelle steht in einem Zyklus von 9 bis 15 Monaten an. Jede kritische oder schwerwiegende Schwachstelle (Critical/High) muss gemäß Service-Level-Agreement (SLA) innerhalb eines Monats behoben werden. Der Nachweis der Behebung hat durch dokumentierte Belege und nicht durch eine bloße Absichtserklärung zu erfolgen.

Hersteller (OEMs) müssen eine Software-Stückliste (Software Bill of Materials) bereitstellen, digital signierte Patches ausliefern und eine formelle Risikobewertung für Drittanbieter erfolgreich durchlaufen. Zudem sind vertragliche Zusatzvereinbarungen zur Offenlegung der Stückliste sowie Geheimhaltungsvereinbarungen (NDAs) zwingend erforderlich, bevor ein Zugriff auf Ihre Infrastruktur erfolgt.

Melden Sie Sicherheitsvorfälle innerhalb von 6 Stunden nach Entdeckung an CSIRT-Power und CERT-In. Falls der Vorfall als Cybersabotage einzustufen ist, verkürzt sich die Frist bei kritischen Systemen auf 24 Stunden – wobei Beweismittel für den gesamten Audit-Zyklus beweissicher aufzubewahren sind.

Kein Bestandsschutz für Altsysteme – ältere Steuerungskomponenten (SCADA/PLC) fallen vom ersten Tag an in den Geltungsbereich. Alle sensiblen Betriebsdaten, Cloud-Systeme und historischen Protokolle müssen unter strenger Einhaltung der KRITIS-Vorgaben ausschließlich in Indien gespeichert und verschlüsselt werden; kompensierende Sicherheitsmaßnahmen sind lückenlos zu dokumentieren und dürfen nicht vorausgesetzt werden.