In Chemieunternehmen fließen Produkt-, Stoff-, Qualitäts- und Kundendaten durch zahlreiche Systeme. ERP, PIM, Fachanwendungen, Dokumentengeneratoren und Kundenportale bilden gemeinsam einen Informationsprozess. NIS-2 rückt nicht nur einzelne Server, sondern die Verfügbarkeit, Integrität und Vertraulichkeit dieser Systeme und Prozesse in den Mittelpunkt.

Für IT, Regulatory Affairs und Qualitätsmanagement entsteht damit eine gemeinsame Aufgabe: Informationen müssen fachlich richtig, für berechtigte Personen verfügbar und technisch nachvollziehbar verarbeitet werden.

Das ist ein Schwerpunkt unserer Arbeit bei polargold. Wir strukturieren Produkt- und Stoffdaten, verbinden ERP- und Fachsysteme, automatisieren regulatorische Dokumente und stellen freigegebene Informationen über Kunden- und Self-Service-Portale bereit. Damit können wir technische Sicherheitsanforderungen direkt mit den realen Daten- und Freigabeprozessen verbinden.

Welche Chemieunternehmen können betroffen sein?

Die Anlage 2 des BSIG nennt die Produktion, Herstellung und den Handel mit chemischen Stoffen ausdrücklich. Erfasst werden dort bestimmte Hersteller und Importeure chemischer Stoffe und Gemische, die den beschriebenen gesetzlichen und wirtschaftsstatistischen Kriterien entsprechen.

Die Branchenzugehörigkeit allein reicht für eine abschließende Beurteilung jedoch nicht aus. Zusätzlich sind unter anderem die konkrete Tätigkeit, Mitarbeiterzahl, finanzielle Schwellenwerte und gegebenenfalls die Unternehmensstruktur zu prüfen. Der Entscheidungsbaum des BSI unterstützt eine erste Einordnung.

Warum Produktdaten Teil der Sicherheitsbetrachtung sind

Ein Sicherheitsdatenblatt, technisches Datenblatt, Zertifikat oder Quality Statement ist das sichtbare Ergebnis eines längeren Datenprozesses. Eigenschaften stammen aus Produkt- und Stoffdaten, Zuordnungen werden regelbasiert ermittelt, Dokumente durchlaufen Freigaben und werden anschließend an Kunden, Partner oder weitere Systeme ausgegeben.

Wenn diese Kette nicht kontrolliert wird, entstehen unterschiedliche Risiken:

  • nicht freigegebene oder veraltete Informationen werden bereitgestellt;
  • Änderungen lassen sich nicht eindeutig auf Quelle, Zeitpunkt und verantwortliche Rolle zurückführen;
  • eine gestörte Schnittstelle erzeugt unvollständige Daten oder Dokumente;
  • berechtigte Kunden erhalten benötigte Unterlagen nicht rechtzeitig;
  • unberechtigte Personen können auf vertrauliche oder kundenspezifische Informationen zugreifen.

Damit werden Datenmodell, Freigabe, Bereitstellung und Betrieb zu zusammenhängenden Sicherheitsfragen.

In unseren Projekten betrachten wir deshalb nicht nur das fertige PDF oder die sichtbare Portalseite. Wir verfolgen den Weg einer Information von der Quelle über Regeln, Ergänzungen und Freigaben bis zur Ausgabe. So lässt sich konkret festlegen, an welchen Stellen Datenqualität, Berechtigungen, Protokollierung und technische Verfügbarkeit abgesichert werden müssen.

Rollen und Freigaben statt gemeinsamer Datenablagen

Ein belastbares Rollen- und Rechtekonzept unterscheidet beispielsweise Produktmanagement, Regulatory Affairs, Qualitätsmanagement, Vertrieb, externe Partner und Kunden. Nicht jede Rolle darf Informationen verändern, freigeben oder veröffentlichen.

Für Kunden- und Dokumentenportale muss zusätzlich geregelt werden, welche Unternehmen, Standorte oder Kontakte auf bestimmte Produkte, Versionen und Dokumente zugreifen dürfen. Single Sign-on und Mehrfaktor-Authentifizierung können die Anmeldung absichern. Entscheidend bleibt jedoch die fachliche Berechtigungslogik hinter dem Login.

Das BSIG nennt Zugriffskontrolle und Mehrfaktor- beziehungsweise kontinuierliche Authentifizierung ausdrücklich als Bestandteile des Maßnahmenkatalogs. Welche Umsetzung angemessen ist, hängt vom konkreten Risiko und Schutzbedarf ab.

ERP, PIM und Portal kontrolliert verbinden

In gewachsenen Systemlandschaften werden Daten häufig zwischen ERP, Excel, Fachsystemen und Portalen kopiert. Dadurch entstehen schwer kontrollierbare Zwischenstände. Wenn polargold eine solche Landschaft konzipiert oder weiterentwickelt, legen wir deshalb für relevante Datenfelder fest, welches System führend ist, wie Änderungen übertragen werden und was bei fehlerhaften oder ausbleibenden Übertragungen geschieht.

Ein PIM oder eine zentrale Datenplattform kann Produktinformationen, Dokumente, Varianten und Beziehungen strukturiert verwalten. Das ERP bleibt beispielsweise führend für Artikel- und kaufmännische Stammdaten, während regulatorische Zuordnungen und Freigaben in spezialisierten Prozessen erfolgen. Das Portal stellt nur die jeweils freigegebenen Informationen bereit.

Wir binden dabei unter anderem Microsoft Dynamics 365 Business Central, SAP und weitere ERP- oder Fachsysteme an Pimcore und individuelle Portale an. Schnittstellen benötigen jedoch mehr als eine technische Verbindung. Authentifizierung, minimale Berechtigungen, Fehlerprotokollierung, Monitoring und ein definierter Wiederanlauf gehören für uns zum Betriebskonzept.

Verfügbarkeit und Wiederherstellung mitdenken

§ 30 BSIG nennt unter anderem Betriebskontinuität, Backup-Management, Wiederherstellung und Krisenmanagement. Für Produktdaten- und Dokumentenplattformen sollte deshalb geklärt werden:

  • Welche Daten, Dokumente und Konfigurationen müssen gesichert werden?
  • Welche Wiederanlaufzeit ist für interne Teams und Kunden tragbar?
  • Wie wird geprüft, ob Daten und Dokumente vollständig wiederhergestellt werden können?
  • Welche Systeme müssen in welcher Reihenfolge verfügbar sein?
  • Wie werden Kunden und interne Verantwortliche bei einer Störung informiert?

Ein vorhandenes Backup beantwortet diese Fragen noch nicht. Erst ein getesteter und dokumentierter Wiederherstellungsprozess zeigt, ob der Informationsprozess tatsächlich fortgeführt werden kann.

Für eine von uns betreute Plattform stimmen wir deshalb mit dem Unternehmen und dem Hostingpartner ab, welche Bestandteile polargold wiederherstellen und fachlich prüfen kann, welche Infrastrukturaufgaben beim Hoster liegen und in welcher Reihenfolge ERP, PIM, Dokumentenerzeugung und Portal wieder anlaufen müssen.

Praxisbezug: Produktinformationen im Self-Service

Für Lehmann&Voss hat polargold Produktinformationen, Quality Statements und Zertifikate in einer zentralen Pimcore-Plattform zusammengeführt. Microsoft Dynamics 365 Business Central ist über eine Integrationsplattform angebunden. Dokumente werden automatisiert erzeugt und berechtigten Nutzenden im Self-Service bereitgestellt.

Das Projekt ist kein pauschaler Nachweis einer NIS-2-Konformität. Es zeigt jedoch, wie zentrale Datenmodelle, rollenbezogener Zugriff, Systemintegration und nachvollziehbare Dokumentenprozesse technisch zusammenspielen können.

Was polargold für Chemieunternehmen umsetzt

polargold unterstützt Chemieunternehmen dabei, Produktdaten und regulatorische Dokumentenprozesse zu strukturieren und über PIM, Portale und Schnittstellen sicher bereitzustellen. Wir verbinden Beratung, Datenmodell, User Experience, Softwareentwicklung und Systemintegration in einem Projektteam.

  • zentrale Datenmodelle für Produkte, Stoffe, Dokumente und Beziehungen;
  • nachvollziehbare Rollen, Freigaben und Versionen;
  • Anbindung von ERP, PIM, Fachsystemen und Kundenportalen;
  • automatisierte Erstellung und kontrollierte Bereitstellung von Dokumenten;
  • technische Planung für Wartung, Monitoring und Wiederherstellung.

So bleibt es nicht bei einer abstrakten Sicherheitsanforderung: Wir entwickeln die Daten- und Portalarchitektur und setzen die priorisierten Maßnahmen gemeinsam mit Ihren Fach- und IT-Teams um. Ob Ihr Unternehmen rechtlich betroffen ist und welche Gesamtmaßnahmen erforderlich sind, muss separat geprüft werden.

Kostenlose Erstberatung zur Daten- und Plattformarchitektur anfragen

Quellen: Anlage 2 BSIG, § 28 BSIG, § 30 BSIG. Der Beitrag ersetzt keine Rechtsberatung.