Internes Audit für einen Offshore-Windpark: Informationssicherheit nach IT-Sicherheitskatalog, ISO/IEC 27001 und ISO/IEC 27019 prüfen und weiterentwickeln

Ein Betreiber eines Offshore-Windparks stand vor der Aufgabe, die Wirksamkeit seiner Informationssicherheitsmaßnahmen strukturiert zu überprüfen. Der Windpark ist in kritische energiewirtschaftliche Prozesse eingebunden und unterliegt hohen Anforderungen an Verfügbarkeit, Steuerbarkeit und sichere Betriebsführung.

Ziel des Projekts war die Durchführung eines internen Audits auf Basis des IT-Sicherheitskatalogs, der ISO/IEC 27001 sowie der ISO/IEC 27019. Dabei sollte nicht nur die formale Erfüllung von Anforderungen bewertet werden. Im Mittelpunkt stand die Frage, ob Informationssicherheit im operativen Betrieb des Offshore-Windparks nachvollziehbar gesteuert, wirksam umgesetzt und gegenüber internen sowie externen Prüfern belastbar dargestellt werden kann.

Ausgangssituation

Der Betreiber verfügte bereits über ein etabliertes Informationssicherheitsmanagementsystem und zahlreiche technische sowie organisatorische Schutzmaßnahmen. Dazu gehörten geregelte Betriebsprozesse, Dienstleistervorgaben, Zugriffskonzepte, Überwachungssysteme, Notfallprozesse und Sicherheitsanforderungen an IT- und OT-Komponenten.

Gleichzeitig war die Umgebung besonders komplex. Offshore-Windparks verbinden klassische Unternehmens-IT mit operativer Technologie, Fernwirk- und Leittechnik, Kommunikationsverbindungen, Serviceeinheiten, externen Betriebsführern, Herstellern, Wartungsdienstleistern und Netzschnittstellen. Viele sicherheitsrelevante Prozesse werden nicht an einem einzelnen Standort erbracht, sondern über verteilte Betriebsmodelle gesteuert.

Vor diesem Hintergrund sollte das interne Audit zeigen, ob das bestehende Sicherheitsniveau den regulatorischen und normativen Erwartungen entspricht und wo gezielte Verbesserungen notwendig sind.

Unser Vorgehen

Zu Beginn wurde der Auditumfang gemeinsam mit dem Betreiber festgelegt. Betrachtet wurden zentrale Managementprozesse des ISMS, energiewirtschaftliche Betriebsprozesse, relevante IT- und OT-Systeme, Dienstleistersteuerung, Zugriffsschutz, Fernwartung, Netz- und Kommunikationsschnittstellen, Sicherheitsvorfallmanagement sowie Notfall- und Wiederanlaufprozesse.

Die Auditkriterien wurden aus den Anforderungen des IT-Sicherheitskatalogs, der ISO/IEC 27001 und der ISO/IEC 27019 abgeleitet. Dadurch entstand ein Prüfrahmen, der sowohl die Managementsystem-Perspektive als auch die besonderen Anforderungen der Energieversorgung und Prozesssteuerung abdeckte.

Im Rahmen des Audits wurden Dokumente geprüft, Nachweise gesichtet und Interviews mit zentralen Rollen geführt. Dazu gehörten unter anderem Informationssicherheitsmanagement, Betriebsführung, IT, OT-Verantwortliche, Leitwarte, Dienstleistermanagement, Asset Management, Notfallmanagement und ausgewählte externe Partner.

Die Ergebnisse wurden risikoorientiert bewertet. Feststellungen wurden nicht nur nach formaler Abweichung eingeordnet, sondern auch danach, welche Bedeutung sie für sicheren Betrieb, Anlagenverfügbarkeit, Fernsteuerbarkeit, Nachweisfähigkeit und regulatorische Anforderungen haben.

Zentrale Projektergebnisse

Im Audit wurden unter anderem folgende Bereiche betrachtet und bewertet:

- Governance, Rollen und Verantwortlichkeiten im Informationssicherheitsmanagement
- Risikomanagement für IT-, OT- und energiewirtschaftliche Prozesse
- Anwendungsbereich und Asset-Übersicht des ISMS
- Zugriffsschutz für administrative, operative und externe Zugänge
- Fernwartung und Dienstleisterzugriffe auf kritische Systeme
- Netzsegmentierung und Schutz von Kommunikationsverbindungen
- Sicherheitsanforderungen an Leittechnik, Monitoring und Betriebsführungssysteme
- Protokollierung, Überwachung und Behandlung sicherheitsrelevanter Ereignisse
- Schwachstellen- und Patchmanagement unter Berücksichtigung betrieblicher Einschränkungen
- Notfallmanagement, Wiederanlaufplanung und Krisenkommunikation
- Dienstleistersteuerung, vertragliche Anforderungen und Nachweisführung
- Vorbereitung auf externe Prüfungen und Management-Reviews

Ein besonderer Schwerpunkt lag auf der Schnittstelle zwischen IT und OT. Gerade im Offshore-Betrieb müssen Sicherheitsanforderungen immer mit Verfügbarkeit, Wartungsfenstern, Herstellerfreigaben und Fernzugriffsmöglichkeiten in Einklang gebracht werden. Das Audit bewertete daher nicht isoliert einzelne technische Kontrollen, sondern deren tatsächliche Einbettung in Betriebs- und Entscheidungsprozesse.

Wirkung für den Betreiber

Durch das interne Audit erhielt der Betreiber eine unabhängige und strukturierte Einschätzung seines Informationssicherheitsniveaus. Stärken, vorhandene Nachweise und wirksame Kontrollen wurden sichtbar gemacht. Gleichzeitig wurden Verbesserungsfelder identifiziert, priorisiert und mit konkreten Handlungsempfehlungen versehen.

Die Ergebnisse halfen der Geschäftsführung und den Fachverantwortlichen, Informationssicherheitsrisiken gezielter zu steuern. Besonders wertvoll war die Verbindung von Auditfeststellungen mit betrieblichen Auswirkungen: Nicht jede Dokumentationslücke hat dieselbe Relevanz, und nicht jede technische Maßnahme lässt sich im Offshore-Umfeld ohne operative Nebenwirkungen umsetzen.

Das Audit schuf außerdem eine belastbare Grundlage für die Vorbereitung auf externe Prüfungen. Verantwortliche Rollen konnten ihre Nachweise, Prozesse und Argumentationslinien konsolidieren und gezielt nachschärfen.

Warum das Projekt erfolgreich war

Der Erfolg lag in der Kombination aus regulatorischem Verständnis, Normenkenntnis und technischem Verständnis für energiewirtschaftliche OT-Umgebungen. Die Anforderungen des IT-Sicherheitskatalogs, der ISO/IEC 27001 und der ISO/IEC 27019 wurden nicht abstrakt geprüft, sondern auf die konkrete Betriebsrealität eines Offshore-Windparks übertragen.

Dabei wurde berücksichtigt, dass Offshore-Anlagen besonderen Rahmenbedingungen unterliegen: eingeschränkter physischer Zugang, hohe Abhängigkeit von Fernüberwachung und Fernwartung, komplexe Dienstleisterketten, wetterabhängige Wartungseinsätze, kritische Kommunikationsstrecken und enge Einbindung in Netz- und Marktprozesse.

So entstand ein Audit, das nicht nur Feststellungen dokumentierte, sondern dem Betreiber eine realistische Orientierung für die Weiterentwicklung seiner Informationssicherheit gab.

Ergebnis

Der Betreiber des Offshore-Windparks verfügt nach dem internen Audit über eine klare, priorisierte Sicht auf den Reifegrad seiner Informationssicherheitsorganisation. Bestehende Maßnahmen konnten bestätigt, Nachweise verbessert und relevante Handlungsfelder strukturiert in die weitere Maßnahmenplanung überführt werden.

Das Audit stärkte die Nachweisfähigkeit gegenüber Management, Prüfern und weiteren Stakeholdern. Gleichzeitig wurde die Grundlage geschaffen, Informationssicherheit im laufenden Betrieb des Offshore-Windparks weiter zu professionalisieren und risikoorientiert fortzuentwickeln.

Das Projekt zeigt: Ein internes Audit im energiewirtschaftlichen Umfeld ist mehr als eine Kontrollübung. Richtig durchgeführt, verbindet es regulatorische Anforderungen, technische Realität und operative Verantwortung zu einem wirksamen Instrument für sichere und resiliente Energieversorgung.

‍