Cyber PhysicalExposure.
Cyber-Physical Exposure verbindet digitale Schwächen mit der möglichen Auswirkung auf Anlagen, Sicherheit, Produktion oder vernetzte Geräte. Die Klasse priorisiert nicht nur CVEs, sondern die reale Verbindung von Asset, Prozess, Erreichbarkeit und Betriebsfolgen.
Gezielt
einsetzen.
Technische Risiken mit Anlagen, Prozesskontext und möglichen Betriebsfolgen verbinden.
Ein Exposure Score ersetzt keine Safety-Bewertung. Eine technische Massnahme darf nicht ohne OT Engineering, Wartungsfenster und Nachweis der Betriebsverträglichkeit umgesetzt werden.
Hersteller und
Werkzeuge.
| Hersteller und Produkt | Einordnung | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|
| Tenable · Tenable One OT Exposure | IT/OT Exposure Management | Konvergierte Umgebungen | Asset- und Prozesskontext |
| Claroty · xDome | CPS Exposure Management | Industrie und Healthcare | Abdeckung von Asset, Risiko und Remote Access |
| Nozomi Networks · Vantage | OT/IoT Risk und Exposure | Verteilte industrielle Standorte | Risiko-Modell und Datenresidenz |
| Dragos · Dragos Platform | OT Visibility und Threat Context | Kritische Infrastruktur | Service- und Engineeringintegration |
| Armis · Armis Centrix | Cyber Exposure Management | Connected Asset Estate | OT-Semantik und Remediation |
| Forescout · Forescout Platform | Device Intelligence und Exposure | OT/IT/IoT Konvergenz | Control- und Segmentierungsmodell |
| Microsoft · Defender for IoT | OT Security Posture | Azure und Microsoft Security | Sensor- und Datenintegration |
| Palo Alto Networks · OT Security | Network Security und OT Visibility | NGFW- und Cortex-Umgebungen | Prozesskontext ergänzen |
| Cisco · Cyber Vision | Industrial Asset Context | Cisco Industrial Networking | Abdeckung von Segmenten und Protokollen |
| Fortinet · OT Security | Segmentation und OT Protection | Fortinet Security Fabric | Exposure-Analyse gegen NGFW-Policy abgrenzen |
Von der Schwachstelle
zur Betriebsfolge.
- Kritische Prozesse festlegen und je Prozess die schwerste plausible Folge beschreiben (Personenschaden, Umwelt, Produktionsausfall); daraus die Kritikalität der beteiligten Anlagen ableiten.
- Erreichbarkeit nachweisen: Welche Pfade führen aus Büronetz, Fernwartung oder Cloud-Anbindung bis zur Steuerung? Nicht erreichbare Schwachstellen tiefer einstufen.
- Für nicht patchbare Systeme kompensierende Massnahmen festlegen, etwa Filter auf Conduits, Abschalten ungenutzter Dienste oder Überwachung von Steuerbefehlen.
- Restrisiken formell durch die Betriebsleitung akzeptieren lassen und mit Ablaufdatum versehen.
- Anzahl ausnutzbarer Pfade zu Anlagen der höchsten Kritikalität
- Anteil kritischer Befunde mit umgesetzter Korrektur oder kompensierender Massnahme
- Anteil Restrisiko-Akzeptanzen mit gültigem Ablaufdatum
Die Betriebsleitung trägt das Risiko und akzeptiert Restrisiken. OT Engineering bewertet Machbarkeit und Safety-Folgen, Security liefert die Exposure-Analyse und verfolgt die Umsetzung.
IEC 62443-3-2 beschreibt Risikobeurteilung und Zonenbildung für industrielle Automatisierungssysteme; die Anforderungen von NIS2 Art. 21 Abs. 2 lit. a und e an Risikoanalyse und Schwachstellenbehandlung gelten auch für OT-Systeme betroffener Einrichtungen.
Die EU-Maschinenverordnung 2023/1230 verlangt von Herstellern ab 20.1.2027 Schutz gegen Korrumpierung (Anhang III Nr. 1.1.9); in der Schweiz müssen meldepflichtige Organisationen (ISG Art. 74b) seit 1.4.2025 Cyberangriffe mit den Folgen nach Art. 74d, etwa Gefährdung der kritischen Infrastruktur oder Informationsabfluss, innert 24 Stunden dem BACS melden (Art. 74e).
Ein hoher CVSS-Wert sagt wenig über die Gefahr in der Anlage. Massgebend sind Erreichbarkeit und physische Folge; eine mittlere Schwachstelle in einer Sicherheitssteuerung wiegt schwerer als eine kritische auf einem isolierten Anzeigegerät.
Nachweis statt
Versprechen.
- Asset, Prozessfunktion und mögliche Betriebswirkung mit OT Engineering verbinden.
- Massnahmen auf Safety, Wartungsfenster und Rückfall prüfen.
- Risikobewertung nach Test oder Änderung erneut bestätigen.
OT Asset Discovery · Industrial Vulnerability Management · Attack Path Management
Produktfunktionen sind Herstellerangaben. Die Eignung zeigt erst ein kontrollierter Test im eigenen Scope.
Security Tool Navigator · Gebiet 13
Im Gebiet OT, IoT und Cyber-Physical Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet OT, IoT und Cyber-Physical Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.