Gewährleistung von Sicherheit und Compliance in der Raumfahrtindustrie – Wichtige Erkenntnisse und To-Do‘s

Die rasante Expansion des Weltraumsektors, der traditionelle und "New Space"-Akteure umfasst und betrifft, bringt vollkommen neue Chancen, aber auch zahlreiche weitere Risiken mit sich. Der Bundesverband der Deutschen Luft- und Raumfahrtindustrie (BDLI) hat kürzlich ein umfassendes Positionspapier zum Thema "Security for Space Systems“ (auf Deutsch: „Sicherheit für Raumfahrtsysteme") veröffentlicht, in dem die zunehmende Komplexität und Häufigkeit von Bedrohungen für weltraumgestützte Infrastrukturen hervorgehoben wird. Dieser Newsletter fasst die wichtigsten Punkte des Positionspapier zusammen und skizziert die rechtlichen und praktischen Verpflichtungen für Unternehmen, die in der Raumfahrtindustrie tätig sind.

Die wichtigsten Punkte aus dem BDLI-Positionspapier

1. Sich weiterentwickelnde Bedrohungslage: Weltraumsysteme sind einer wachsenden Zahl von Bedrohungen ausgesetzt, darunter Cyberangriffe, physische Eingriffe, Spionage sowie die absichtliche Erzeugung von Weltraumschrott. Diese Bedrohungen richten sich gegen alle Segmente der Weltrauminfrastruktur: Das Raumsegment (Satelliten), das Bodensegment (Kontrollzentren) und das Startsegment. 

2. Security-by-Design als Grundprinzip: Sicherheit muss von der ersten Entwurfsphase an integriert und während des gesamten Lebenszyklus eines Raumfahrtsystems - Konzeption, Produktion, Tests, Transport, Inbetriebnahme, Betrieb und Stilllegung - aufrechterhalten werden. Dieser "Security-by-Design"-Ansatz ist unerlässlich, um rechtswidrige Eingriffe zu verhindern und den Erfolg der Mission zu gewährleisten.

3. Industrienormen und Richtlinien: Mehrere internationale und nationale Normen sind für die Cybersicherheit von Raumfahrtsystemen relevant, darunter:

• ISO 27000-Serie (Verwaltung der Informationssicherheit)
• NIST-Standards (vor allem NISTIR 8270, 8323 und 8401)
• BSI IT-Grundschutz (deutscher IT-Grundschutz)
• Europäische Standards wie EBIOS
• Demnächst: ECSS-Q-ST-80-10C (Space product assurance – Security in space systems lifecycles)

4. Mindestschutzanforderungen: Das BSI IT-Grundschutz-Profil für Weltrauminfrastrukturen legt Mindestanforderungen für die Sicherheit von Satelliten fest, die den gesamten Lebenszyklus abdecken. Diese Anforderungen sind auf den Schutzbedarf der unterschiedlichen Satellitenmissionen zugeschnitten und konzentrieren sich auf den Schutz der Vertraulichkeit, Verfügbarkeit und Integrität von Informationen und Anlagen.

5. Umfassende Sicherheitsmaßnahmen: Folgende Maßnahmen werden empfohlen:

• IT-basiert: Sichere Nutzung mobiler Geräte, Antivirenprogramme und Fernzugriffskontrolle.
• Organisatorisch: Mitarbeiterschulung, Sicherheitsbewusstsein, Notfallkonzepte und -verfahren, Besuchermanagement und Informationsaustausch.
• Physisch: Gesicherte Bereiche, Umweltschutz, Reinräume und sichere Lagerung.
• Software: Integrität der Lieferkette, Verwendung zugelassener Software und Lieferantenkontrolle.
• Netzwerk: Segmentierung, Sicherheitszonen und dedizierte Netzwerke.
• Satellitenspezifisch: Frequenzmanagement, Mehrkanal-Kommunikation, verschlüsselte Verbindungen und Anomalie-Erkennung.

6. Laufende Standardisierungsbemühungen: Internationale Gremien, darunter die IEEE und die ESA, entwickeln weitere Standards und Rahmenwerke (z. B. SPACE-SHIELD, basierend auf der MITRE ATT&CK® Matrix), um gezielt auf Angriffstaktiken durch spezielle Gegenmaßnahmen für Weltraumsysteme zu reagieren.

Rechtliche Verpflichtungen für Raumfahrtunternehmen

1. Einhaltung nationaler und internationaler Standards: Unternehmen müssen sicherstellen, dass sie die geltenden Standards für Cyber- und Informationssicherheit einhalten, sowohl auf nationaler (z. B. BSI IT-Grundschutz) als auch auf internationaler Ebene (z. B. ISO, NIST, ECSS). Dabei handelt es sich nicht nur um eine bewährte Praxis, sondern zunehmend auch um gesetzliche Anforderungen, insbesondere für Systeme mit staatlicher, wirtschaftlicher oder ziviler Bedeutung.

2. Risikomanagement und Dokumentation: Ein strukturierter Risikomanagementprozess ist unerlässlich. Unternehmen müssen Bedrohungsanalysen, Sicherheitsmaßnahmen und die Einhaltung der Mindestschutzanforderungen während des gesamten Systemlebenszyklus dokumentieren.

3. Datenschutz und Vertraulichkeit: Der Schutz sensibler Daten, einschließlich persönlicher Daten, geschäftskritischer Informationen und geistigen Eigentums ist gesetzlich verpflichtend. Verschlüsselung und Zugangskontrollen sind teilweise obligatorisch.

4. Sicherheit der Lieferkette: Um Angriffe auf die Lieferkette zu verhindern, sind Sorgfalts- und Sicherheitsprüfungen bei Lieferanten und Softwareanbietern erforderlich.

5. Reaktion auf Vorfälle und Berichterstattung: Unternehmen müssen Pläne für die Reaktion auf Vorfälle erstellen, regelmäßige Schulungen durchführen und darauf vorbereitet sein, Sicherheitsvorfälle den zuständigen Behörden gemäß den gesetzlichen Bestimmungen zu melden.

6. Physische und organisatorische Sicherheit: Die gesetzlichen Verpflichtungen umfassen sowohl die physische Sicherheit (Zugangskontrollen, Umweltschutz) als auch organisatorische Maßnahmen (Mitarbeiterschulung, Besuchermanagement, Notfallverfahren).

Empfohlene Maßnahmen für Unternehmen

• Integrieren Sie Security-by-Design in alle Phasen der Entwicklung und des Betriebs von Raumfahrtsystemen.
• Übernehmen und implementieren Sie relevante Standards (ISO, NIST, BSI, ECSS) und informieren Sie sich über laufende Standardisierungsbestrebungen.
• Führen Sie regelmäßige Risikobewertungen durch und aktualisieren Sie bestehende Sicherheitsmaßnahmen, da sich die Bedrohungslage ständig weiterentwickelt.
• Dokumentieren Sie alle Sicherheitsprozesse und Compliance-Aktivitäten aus rechtlichen Gründen sowie für (künftige) Auditierungen.
• Schulen Sie Ihre Mitarbeiter in Sachen Sicherheitsbewusstsein und den Umgang mit Vorfällen.
• Sichern Sie Ihre Lieferkette durch strenge Überprüfungen und vertraglich vereinbarte Anforderungen.
• Etablieren Sie solide Pläne und Protokolle für die Reaktion auf Vorfälle und berichten Sie rechtzeitig an die zuständigen Behörden.

Fazit

Das regulatorische Umfeld und die Bedrohungslage für Weltraumsysteme entwickelt sich rasch und ständig weiter. Unternehmen müssen proaktiv umfassende Sicherheitsmaßnahmen ergreifen, die geltenden Standards einhalten und ihre Bemühungen dokumentieren, um die Einhaltung geltender Gesetze und den Erfolg ihrer Missionen zu gewährleisten. Wenn Sie maßgeschneiderte Beratung oder Unterstützung bei der Umsetzung dieser Anforderungen benötigen, wenden Sie sich bitte an unser Team für Weltraumrecht bei HEUKING.