# SANS Five ICS Controls für Strom & Netze in Österreich

Von Max Gilg · 27.10.2026 · 5 Min. Lesezeit

Kurz gesagt: Warum genau diese fünf ICS-Controls für Netzbetreiber und Energieversorger in Österreich zählen, und wie kleine OT-Teams sie mit KI ab NISG 2026 umsetzen.
Für Netzbetreiber und Energieversorger in Österreich sind die SANS Five ICS Cybersecurity Critical Controls ein bewährter Einstieg in eine belastbare OT-Security: Incident Response, Defensible Architecture, Network Visibility & Monitoring, Secure Remote Access und Risk-Based Vulnerability Management. Mit dem NISG 2026 setzt Österreich NIS2 um, und Energieversorger sollten jetzt prüfen, was das für sie bedeutet. Fangen Sie mit diesen fünf Controls an statt mit Einzellösungen. Dann schafft das auch ein kleines Team, wenn KI gezielt die Fleißarbeit übernimmt.

[Bild: Infografik: SANS Five ICS Controls für Netzbetreiber in Österreich]

Ich bin Max Gilg, OT-Cybersecurity-Experte aus Rosenheim. Viele Werkzeuge ersetzen in der Leittechnik und Fernwirktechnik keinen klaren Plan, und für den Ernstfall braucht es einen geübten Ablauf. Genau hier setzen die fünf Controls an.

## Was sind die SANS Five ICS Critical Controls?

Robert M. Lee und Tim Conway haben das Whitepaper „The Five ICS Cybersecurity Critical Controls“ im November 2022 bei SANS veröffentlicht (https://www.sans.org/white-papers/five-ics-cybersecurity-critical-controls). Abgeleitet haben sie die fünf Controls aus der Analyse realer Angriffe auf industrielle Steuerungssysteme. Sie sind ausdrücklich ergebnisorientiert und anpassbar (https://sans.org/blog/essential-cybersecurity-practices-for-protecting-industrial-infrastructure):

- CC1, ICS Incident Response: ein Notfallplan für Erkennung, Reaktion und Wiederanlauf, gebaut für die OT und nicht für die Büro-IT.

- CC2, Defensible Architecture: Segmentierung und Isolation kritischer Systeme, damit Angreifer gebremst werden und Verteidiger etwas sehen.

- CC3, ICS Network Visibility & Monitoring: kontinuierliches Monitoring und Sichtbarkeit des Netzverkehrs im OT-Netz. Meine Ergänzung: Die Angriffserkennung sollte die eingesetzten OT-Protokolle verstehen.

- CC4, Secure Remote Access: kontrollierte Fernwartung mit MFA, verschlüsselter Kommunikation und strengen Zugriffskontrollen, meine Empfehlung: über einen Jump Host statt offener VPN-Zugänge.

- CC5, Risk-Based Vulnerability Management: Schwachstellen danach priorisieren, was im Prozess wirklich passieren kann.

Normen wie die IEC 62443 und Gesetze wie NIS2 verlangen deutlich mehr. Diese fünf sind aber aus vergangenen Angriffen abgeleitet und setzen an typischen Angriffswegen auf Anlagen an.

## Warum genau diese fünf, gerade im Stromnetz?

Die Antwort liefern reale Vorfälle, keine Laborversuche.

Ukraine: CISA hat den Cyberangriff auf die kritische Infrastruktur der Ukraine in einem ICS-Alert dokumentiert (https://cisa.gov/news-events/ics-alerts/ir-alert-h-16-056-01).

Polen 2025: Auch 2025 trafen Angriffe den Energiesektor; CERT Polska hat den Vorfall in einem Bericht dokumentiert (https://cert.pl/en/posts/2026/01/incident-report-energy-sector-2025/).

Typische Angriffswege lassen sich den Controls zuordnen: Ein Einstieg über Remote Access betrifft CC4. Wie weit Angreifer bis zu Schutzrelais und RTUs kommen, ist eine Frage der Architektur (CC2). Ob man sie vorher im Netz sieht, betrifft CC3. Bekannte Schwachstellen in Edge Devices, Gateways und Wandlern gehören grundsätzlich zu CC5. Und wie schnell die Fernsteuerung nach einem Ausfall wieder läuft, entscheidet CC1.

Wer verteilte Stationen, Fernwirktechnik über weite Strecken und Fernwartung durch Hersteller und Dienstleister hat, ist diesen Angriffswegen ausgesetzt, das kann auch Wasserkraftwerke, kleinere Verteilnetzbetreiber, Stadtwerke und dezentrale PV-Anlagen in Salzburg und Tirol betreffen. Ein kompromittierter Servicelaptop kennt keine Staatsgrenze.

## Was verlangt das NISG 2026 von Netzbetreibern in Österreich?

Den Gesetzestext des NISG 2026 finden Sie im RIS (https://www.ris.bka.gv.at/eli/bgbl/I/2025/94). Energie zählt zu den erfassten Sektoren (https://ic-consult.com/de/ressourcen/blogs/nis2g-2026-was-auf-unternehmen-in-oesterreich-ab-dem-1-oktober-zukommt/). Es regelt Risikomanagement, Meldepflichten, die Verantwortung der Geschäftsleitung, Registrierung und Sanktionen. Zuständige Behörde und Meldefristen prüfen Sie im beschlossenen Gesetz; manche Kommentare beziehen sich noch auf die Regierungsvorlage (https://schoenherr.eu/media/ruwhyw0t/nisg-2026-de.pdf).

Achtung, uneinheitlich: Zur Registrierungsfrist finden sich in Kommentaren unterschiedliche Angaben. Prüfen Sie Ihre Frist direkt im Gesetz oder bei der zuständigen Behörde.

Für die Branche gibt es das Austrian Energy CERT (AEC), es gehört als Kontakt in Ihren Incident-Response-Plan. Prüfen Sie außerdem, ob der EU-Netzkodex Cybersicherheit für den Stromsektor Ihr Unternehmen betrifft (https://gesetze.legal/eu/vo_eu_2024_1366).

Dazu kommt der Cyber Resilience Act (CRA), dessen Meldepflichten für Hersteller ab 11. September 2026 gelten (https://digital-strategy.ec.europa.eu/en/policies/cra-reporting, https://www.mccannfitzgerald.com/knowledge/data-privacy-and-cyber-risk/cyber-resilience-act-reporting-obligations-apply-from-11-september-2026). Für Einkäufer heißt das: CRA-Konformität, SBOM und Security-Funktionen nach IEC 62443 gehören in jede Ausschreibung für Stationsleittechnik, RTUs und Gateways.

## Wie setzt ein kleines Team die fünf Controls mit KI um?

Meiner Erfahrung nach haben viele Energieversorger für die OT eine Handvoll Leute, die nebenbei Netzleitstelle, Schutztechnik und Instandhaltung betreuen. KI ersetzt sie nicht, nimmt ihnen aber viel Fleißarbeit ab. Meine Reihenfolge:

- Asset-Inventar zuerst (Basis für CC2, CC3, CC5): Aus Engineering-Projekten, Konfigurationsexporten, Firewall-Regeln, Excel-Listen und Mitschnitten an SPAN-Ports baut KI eine bereinigte Liste mit Hersteller, Firmware-Stand und Standort. Prüfen müssen Sie das Ergebnis selbst. Unterstützung: OT-Asset-Inventar (/leistungen/ot-asset-inventar/).

- Remote Access absichern (CC4): Listen Sie jeden VPN-Zugang, jedes Fernwartungs-Modem und jeden Herstellerzugang auf. Jeder Zugang läuft künftig über einen Jump Host mit MFA. Meine Empfehlung: Remote Access zeitlich begrenzen und vom Betreiber freischalten lassen, ähnlich wie Lockout-Tagout. Dauerhafte Herstellerverbindungen schalten Sie ab. KI wertet die Zugriffsprotokolle aus und meldet ungewöhnliche Uhrzeiten oder Ziele.

- Schwachstellen nach Risiko filtern (CC5): KI gleicht Advisories mit Ihrem Inventar ab. Entscheidend ist nicht nur der CVSS-Wert, sondern: Ist das Gerät aus dem Internet erreichbar? Steuert es Schutz- oder Schaltgeräte? Gibt es einen Exploit? Mehr dazu: OT-Schwachstellen-Management (/leistungen/ot-schwachstellen-management/).

- Monitoring und Architektur (CC3, CC2): Beginnen Sie an den Übergängen zwischen Büro-IT, Netzleitstelle und Stationen mit einer passiven Angriffserkennung (SzA) (/leistungen/angriffserkennung-ot/), die IEC-104- und IEC-61850-Verkehr versteht. KI sortiert Alarme vor und schlägt aus Inventar und Verkehrsdaten Zonen und Conduits nach IEC 62443 vor. Ihr Team prüft und setzt schrittweise um; dabei hilft die OT-Security-Beratung (/leistungen/ot-security-beratung/).

- Incident Response üben (CC1): KI erstellt aus Ihren Betriebsanweisungen einen Entwurf mit Rollen, Telefonliste und Handbetriebs-Checkliste, etwa für die Szenarien „Ransomware in der Leitwarte“, „kompromittierter Fernwartungszugang“ und „Fernsteuerung der Stationen fällt aus“. Üben Sie danach einen Tabletop mit Netzführung und Instandhaltung. Wichtig: Offline-Backups von Projekten und Firmware. Für den Ernstfall gibt es die OT-Notfallhilfe (/leistungen/ot-notfallhilfe/).

## Was heißt das für Instandhaltung und Netzführung?

Für die Instandhaltung ändert sich vor allem der Umgang mit Servicelaptops, USB-Sticks und Herstellerzugängen: Zugriff auf die Station weiterhin, aber freigegeben, protokolliert und zeitlich begrenzt. Für die Netzführung zählt der Wiederanlauf: Ist klar, wer bei einem Ausfall der Fernwirktechnik welche Station manuell fährt? Das ist Teil von CC1. Stimmen Sie Remote Access und Notfallpläne mit Partnern in Bayern grenzüberschreitend ab.

## Wer hilft Netzbetreibern in Österreich bei NIS2 und OT-Security?

Mit OT-Cyber.de begleite ich Betreiber und Hersteller von Rosenheim aus in Bayern, Salzburg, Tirol und ganz DACH: vom OT-Lagebild (/leistungen/ot-lagebild/) über Lieferantenanforderungen mit CRA as a Service (/leistungen/cra-as-a-service/) bis zu Trainings wie „OT verstehen, für IT-Profis“ und „Cyber-Awareness für Instandhaltung und Technik“. Schreiben Sie mir über die Kontaktseite, ich melde mich mit einem konkreten Vorschlag für Ihren ersten Schritt.

[Bild: Schema: Fünf Controls mit kleinem Team umsetzen]

## Quellen

- SANS, Lee/Conway: The Five ICS Cybersecurity Critical Controls (November 2022): https://www.sans.org/white-papers/five-ics-cybersecurity-critical-controls

- SANS Blog: https://sans.org/blog/essential-cybersecurity-practices-for-protecting-industrial-infrastructure

- CISA ICS-Alert zum Cyberangriff auf die kritische Infrastruktur der Ukraine: https://cisa.gov/news-events/ics-alerts/ir-alert-h-16-056-01

- CERT Polska, Incident report energy sector 2025: https://cert.pl/en/posts/2026/01/incident-report-energy-sector-2025/

- RIS, NISG 2026: https://www.ris.bka.gv.at/eli/bgbl/I/2025/94

- iC Consult zum NISG 2026: https://ic-consult.com/de/ressourcen/blogs/nis2g-2026-was-auf-unternehmen-in-oesterreich-ab-dem-1-oktober-zukommt/

- Schönherr zum NISG 2026: https://schoenherr.eu/media/ruwhyw0t/nisg-2026-de.pdf

- EU-Netzkodex Cybersicherheit: https://gesetze.legal/eu/vo_eu_2024_1366

- Europäische Kommission, CRA Reporting: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting

- McCann FitzGerald, CRA-Meldepflichten: https://www.mccannfitzgerald.com/knowledge/data-privacy-and-cyber-risk/cyber-resilience-act-reporting-obligations-apply-from-11-september-2026

## Häufige Fragen

**Was sind die SANS Five ICS Critical Controls?**
Fünf Controls von Robert M. Lee und Tim Conway (SANS, November 2022), abgeleitet aus realen Angriffen auf Industrieanlagen: ICS Incident Response, Defensible Architecture, ICS Network Visibility & Monitoring, Secure Remote Access und Risk-Based Vulnerability Management.

**Gilt NIS2 in Österreich schon für Stromnetzbetreiber?**
Ja. Das NISG 2026 (BGBl. I Nr. 94/2025) gilt seit 1. Oktober 2026 und erfasst den Sektor Energie. Die Registrierungsfrist wird in Kommentaren unterschiedlich angegeben (31.12.2026 oder 1.1.2027), daher direkt im Gesetz oder beim Bundesamt für Cybersicherheit prüfen.

**Darf der Servicetechniker per Fernwartung auf die Station oder die SPS zugreifen?**
Ja, aber nur über einen Jump Host mit MFA, zeitlich begrenzt, vom Betreiber freigeschaltet und protokolliert (CC4). Remote Access mit erbeuteten Zugangsdaten bzw. über erreichbare VPN-Zugänge war der Einstieg in der Ukraine 2015 und in Polen im Dezember 2025.

**Was tun, wenn die Fernsteuerung nach einem Cyberangriff ausfällt?**
Handbetrieb nach Plan, Verbindungen isolieren, AEC und Hersteller informieren, aus geprüften Offline-Backups wiederherstellen. Das gehört vorab in einen geübten OT-Notfallplan (CC1); die OT-Notfallhilfe von OT-Cyber.de ist 24/7 erreichbar.

**Schafft ein kleines OT-Team die fünf Controls mit KI?**
Ja, wenn es priorisiert: zuerst Asset-Inventar und Remote Access, dann Schwachstellen, Monitoring und Architektur, dazu ein geübter Notfallplan. KI übernimmt Inventar, Abgleich von Advisories, Vorsortierung von Alarmen und Entwürfe; Entscheidungen über Schaltzustände und Segmentierung bleiben beim Menschen.

**Welche Security-Anforderungen schreibe ich in die Ausschreibung für Schutz- und Fernwirktechnik?**
CRA-Konformität, eine SBOM, einen Prozess für Schwachstellenmeldungen und Security-Funktionen nach IEC 62443 mit Ziel-Security-Level (SL-T). Seit 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen melden; vollständig gilt der CRA ab 11. Dezember 2027.

## Quellen

- www.sans.org (https://www.sans.org/white-papers/five-ics-cybersecurity-critical-controls)
- sans.org (https://sans.org/blog/essential-cybersecurity-practices-for-protecting-industrial-infrastructure)
- cisa.gov (https://cisa.gov/news-events/ics-alerts/ir-alert-h-16-056-01)
- securityaffairs.com (https://securityaffairs.com/59989/malware/industroyer-malware.html)
- research.checkpoint.com (https://research.checkpoint.com/2017/crashoverride/)
- cert.pl (https://cert.pl/en/posts/2026/01/incident-report-energy-sector-2025/)
- www.helpnetsecurity.com (https://www.helpnetsecurity.com/2026/02/06/poland-cyberattacks-energy-sector-industrial-organizations/)
- www.ris.bka.gv.at (https://www.ris.bka.gv.at/eli/bgbl/I/2025/94)
- ic-consult.com (https://ic-consult.com/de/ressourcen/blogs/nis2g-2026-was-auf-unternehmen-in-oesterreich-ab-dem-1-oktober-zukommt/)
- schoenherr.eu (https://schoenherr.eu/media/ruwhyw0t/nisg-2026-de.pdf)
- www.deloitte.com (https://www.deloitte.com/content/dam/assets-zone2/at/de/docs/studien/2026/infoblatt-nisg.pdf)
- hxs.at (https://hxs.at/assets/Uploads/news/ISPA-Leitfaden-NISG_2026.pdf)
- www.trusted-introducer.org (https://www.trusted-introducer.org/directory/teams/aec.html)
- gesetze.legal (https://gesetze.legal/eu/vo_eu_2024_1366)
- digital-strategy.ec.europa.eu (https://digital-strategy.ec.europa.eu/en/policies/cra-reporting)
- www.mccannfitzgerald.com (https://www.mccannfitzgerald.com/knowledge/data-privacy-and-cyber-risk/cyber-resilience-act-reporting-obligations-apply-from-11-september-2026)
[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Für Redaktionen ordnet er Angriffe kurzfristig ein. Mehr über Max Gilg → (/max-gilg/)
← Alle Artikel (/blog/)
Zuletzt aktualisiert: 27.10.2026
Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fsans-five-ics-controls-fuer-strom-netze-in-oesterreich.html)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fsans-five-ics-controls-fuer-strom-netze-in-oesterreich.html)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fblog%2Fsans-five-ics-controls-fuer-strom-netze-in-oesterreich.html)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fsans-five-ics-controls-fuer-strom-netze-in-oesterreich.html&text=SANS%20Five%20ICS%20Controls%20f%C3%BCr%20Strom%20%26%20Netze%20in%20%C3%96sterreich)WhatsApp (https://wa.me/?text=SANS%20Five%20ICS%20Controls%20f%C3%BCr%20Strom%20%26%20Netze%20in%20%C3%96sterreich%20https%3A%2F%2Fot-cyber.de%2Fblog%2Fsans-five-ics-controls-fuer-strom-netze-in-oesterreich.html)E-Mail (mailto:?subject=SANS%20Five%20ICS%20Controls%20f%C3%BCr%20Strom%20%26%20Netze%20in%20%C3%96sterreich&body=https%3A%2F%2Fot-cyber.de%2Fblog%2Fsans-five-ics-controls-fuer-strom-netze-in-oesterreich.html)