BSI-CS 154: когда системы управления подключены к интернету – защита, страхование и ваши обязанности
Холодильная витрина, плавильная печь, доильный робот, система отопления: всё больше техники на предприятиях управляется и обслуживается через интернет. После атак на холодильные установки супермаркетов по всей Европе BSI опубликовало отдельную рекомендацию: BSI-CS 154. Здесь вы узнаете, что в ней сказано, какие предприятия затронуты – и почему одной киберстраховки недостаточно, если вы не знаете своих обязанностей.
Самое важное вкратце
- BSI-CS 154 называется «Gefährdung durch internet-verbundene OT-Systeme» («Угроза со стороны OT-систем, подключённых к интернету») и вышла 13 октября 2026 года, сразу после атак на супермаркеты во Франции.
- OT означает Operational Technology (операционные технологии): системы управления установками и машинами – а не офисная IT.
- Четыре ключевые меры: без прямого подключения к интернету, удалённый доступ только через VPN с многофакторной аутентификацией, установка обновлений, безопасность как рутина.
- Страхование: киберполис оплачивает прежде всего финансовый ущерб. Имущественный ущерб и порча товаров часто исключены или ограничены.
- Ваша обязанность: как страхователь вы должны выполнять обязанности по обеспечению безопасности – даже если установку обслуживает сервисная компания.
Что такое BSI-CS 154?
Федеральное ведомство по информационной безопасности (BSI) публикует рекомендации по кибербезопасности под обозначением «BSI-CS». Рекомендация № 154 носит название «Gefährdung durch internet-verbundene OT-Systeme» и доступна с 13 октября 2026 года через Allianz für Cyber-Sicherheit. Поводом стала атака на холодильные системы сотен французских супермаркетов в ночь на 12 октября. Вскоре последовали случаи в других европейских странах, в том числе в Германии – подробнее в нашей статье Хакеры нагревают морозильные камеры.
По данным BSI, рекомендация адресована операторам небольших промышленных или аналогичных установок, использующих промышленные устройства управления – например, для охлаждения продуктов питания, выработки электроэнергии или водоподготовки. Таким образом, речь идёт не только о крупных промышленных концернах, но и о супермаркетах, ремесленных предприятиях, фермерах, муниципальных коммунальных предприятиях или операторах солнечных установок.
Почему открытые системы управления так опасны
Многие системы управления созданы для работы на месте и никогда не предназначались для прямого подключения к интернету. Чтобы сервисные компании могли удобно получать удалённый доступ, их тем не менее часто делают открыто доступными – иногда с устаревшей прошивкой, стандартными или общими паролями и без второго фактора аутентификации. Автоматизированные поисковые программы быстро находят такие устройства. По сообщениям прессы, при атаках на супермаркеты пострадали, в частности, контроллеры охлаждения производителей Danfoss, Copeland и Dixell; компания по информационной безопасности Forescout в октябре насчитала почти 13.000 доступных из интернета систем управления холодильным оборудованием в 99 странах.
Последствия выходят далеко за рамки потери данных: товары портятся, машины простаивают, полуфабрикаты становятся непригодными, в худшем случае возникает материальный ущерб или вред людям.
Четыре ключевые меры рекомендации
- Никакого прямого доступа из интернета: системы управления не должны быть открыто доступны из интернета. Отключите переадресацию портов в роутере, не открывайте промышленные протоколы (например, Modbus-TCP, S7Comm, Profinet) наружу.
- Удалённый доступ только защищённый: удалённое обслуживание исключительно через зашифрованный VPN с многофакторной аутентификацией.
- Обновлять и проверять: своевременно обновлять системы и прошивку и регулярно проверять, доступны ли устройства извне.
- Рутина вместо разовой акции: прочно встроить меры безопасности и проверки в рабочие процессы предприятия.
Наши дополнения для практики: замените стандартные пароли и создайте отдельную учётную запись для каждого доступа, разделите сеть управления и офисную IT, настройте отдельное оповещение (например, о температуре по SMS) и составьте план действий на случай аварии: кого информируют ночью, кто вправе отключать?
Полный текст рекомендации вы найдёте у BSI: BSI-CS 154 на сайте Allianz für Cyber-Sicherheit.
30 отраслей с повышенным риском
Затронуто может быть любое предприятие, установки которого управляются или обслуживаются через интернет. Особенно тяжелы последствия там, где портятся товары, останавливается производство или обеспечиваются люди. Наша оценка – без ранжирования, по сферам:
Торговля & продукты питания
- Супермаркеты и розничная торговля продуктами питания
- Производство продуктов питания
- Мясные лавки и мясопереработка
- Пекарни и кондитерские
- Молочные и сыроваренные заводы
- Пивоварни и производители напитков
Гостеприимство & логистика
- Рестораны, фабрики-кухни и столовые
- Гостиницы
- Кейтеринг
- Холодильные склады и логистика охлаждённых грузов
- Транспортные компании с рефрижераторами
Здравоохранение
- Аптеки
- Медицинские кабинеты с холодильным хранением вакцин и лекарств
- Клиники, реабилитационные и учреждения по уходу (инженерные системы зданий)
- Лаборатории и биотехнологии
Производство & промышленность
- Фармацевтическое и химическое производство
- Переработка пластмасс (например, литьё под давлением)
- Металлообработка и литейные цеха (например, плавильные печи)
- Деревообработка и столярные мастерские (ЧПУ, сушка)
- Машиностроение и производство оборудования
- Типографии
Сельское хозяйство
- Молочные фермы (доильные роботы, охлаждение молока, микроклимат в коровниках)
- Теплицы и садоводство (управление климатом)
- Рыбоводство и аквакультура
Энергетика, вода & здания
- Предприятия питьевого водоснабжения и водоотведения
- Операторы фотоэлектрических установок (инверторы)
- Ветроэнергетика, биогаз и мини-ТЭЦ
- Жилищное хозяйство и управляющие компании (отопление, системы диспетчеризации зданий)
- Бассейны, спортивные и развлекательные объекты
- Центры обработки данных и серверные (климатизация)
По оценке экспертов, под угрозой находится и вся обрабатывающая промышленность: если плавильная печь выходит из режима или отказывает сушильная установка, партия становится непригодной.
Что оплачивает страховка – а что нет
«Киберстраховка – это классическое страхование финансовых убытков», – говорит Jan Meurer из киберстраховщика Stoïk в интервью AssCompact. На практике это означает:
| Ущерб | Как правило, покрывается | На что обратить внимание |
|---|---|---|
| IT-криминалистика, экстренная помощь, восстановление данных | Киберстраховка | Распространяется ли защита на системы управления, а не только на офисную IT? |
| Потеря дохода / перерыв в деятельности | Киберстраховка (в зависимости от тарифа – опционально) | Период возмещения, временная франшиза, лимит возмещения |
| Повреждённое оборудование | Киберстраховка, часто только IT-оборудование | Некоторые условия прямо исключают средства производства |
| Испорченные товары, имущество предприятия, машины | Страхование имущества предприятия, охлаждаемых грузов, машин или электроники | Киберисключение в имущественном полисе? Оговорка о порче или включение имущественного ущерба в киберполис? |
| Претензии третьих лиц | Страхование киберответственности, страхование ответственности предприятия | Кто несёт ответственность, если ущерб причинён клиентам или партнёрам? |
Как это выглядит в конкретных страховых условиях – с оговоркой о порче, модулем на физический ущерб имуществу и вопросом, что платит первым: кибер- или имущественное страхование, – мы показываем в нашем дополнении на примере Stoïk. Условия у разных страховщиков существенно различаются – мы в каждом отдельном случае выясним для вас, что покрывает ваш договор.
Ваши обязанности как страхователя
Киберстраховка предполагает, что вы соблюдаете согласованный стандарт безопасности. Эти так называемые обязанности страхователя (Obliegenheiten) прописаны в условиях и различаются в зависимости от страховщика. Типичные из них:
- Обновления безопасности устанавливайте своевременно – в некоторых условиях для этого указаны фиксированные сроки.
- Устаревшие системы без обновлений эксплуатировать только изолированно, то есть без прямого доступа к интернету.
- Индивидуальные учётные записи с надёжными паролями, дополнительная защита (например, двухфакторная аутентификация) для удалённого доступа.
- Резервное копирование регулярно и с защитой – у Stoïk, например, не реже раза в неделю, хранение две недели, офлайн или в неизменяемом виде.
- Соблюдать законодательные, ведомственные и договорные предписания по безопасности.
Тот, кто нарушает обязанность по грубой неосторожности, рискует сокращением выплаты, а при умысле – даже полной её потерей. Не менее важны сведения в заявлении: тот, кто, например, подтверждает в нём, что все системы актуальны, не проверив этого, рискует оспариванием договора. Так, OLG Schleswig (Высший земельный суд Шлезвига, 16 U 63/24) подтвердил оспаривание киберполиса, поскольку на вопросы о состоянии безопасности ответили «наугад». И наоборот, по решению LG Tübingen (Земельный суд Тюбингена, май 2023 г.) страховщик был обязан заплатить, несмотря на устаревшие серверы, поскольку уязвимости не были причиной ущерба. Примеры показывают: всё зависит от конкретного случая и точной формулировки.
Очень важно: договорные обязанности (Obliegenheiten) лежат на вас как на страхователе – даже если вашу систему охлаждения, отопления или оборудование обслуживает внешний подрядчик. Задачи вы можете передать, а ответственность перед страховщиком – нет.
Обязать сервисную компанию
Поскольку перед страховщиком ответственность остаётся за вами, требования безопасности должны быть закреплены в договоре на техническое и сервисное обслуживание. Без прямого регулирования подрядчик в случае сомнений обязан только тем, что согласовано. В договор следует включить следующие пункты:
- Удалённый доступ: только через VPN с многофакторной аутентификацией, никаких открытых портов, никаких постоянно активных доступов.
- Учётные данные: никаких стандартных или общих паролей, личные учётные записи для каждого техника, блокировка при смене персонала.
- Обновления: обязанность устанавливать обновления безопасности и прошивки в фиксированные сроки и обязанность сообщать, если устройство больше не получает обновлений.
- Уровень техники: ориентация на признанные рекомендации, такие как BSI-CS 154.
- Обязанность уведомления: незамедлительное информирование об инцидентах безопасности или известных уязвимостях.
- Протоколирование: возможность отследить, кто и когда осуществлял удалённый доступ.
- Аварийный контакт: доступность и время реагирования при неисправности, в том числе ночью и в выходные.
- Ответственность и страхование: чёткое регулирование ответственности и подтверждение достаточного страхования профессиональной ответственности или IT-ответственности подрядчика.
- Защита данных: договор об обработке данных по поручению, если подрядчик имеет доступ к персональным данным.
Если сервисная компания виновно причинит ущерб, она может быть обязана возместить его – а страховщик, урегулировавший ущерб, может предъявить к ней регрессное требование. Чем яснее договор, тем лучше ваши шансы. По вопросам юридического оформления договора обращайтесь к адвокату.
Ваш план из пяти шагов
- Составьте список всех подключённых к сети установок и проверьте, какие из них доступны извне.
- Внедрите четыре меры из BSI-CS 154 вместе с вашим IT-специалистом или сервисной компанией.
- Дополните договоры на техническое и сервисное обслуживание обязанностями по безопасности.
- Сопоставьте киберстраховку и имущественное страхование: имущественный ущерб, порча товаров, перерыв в деятельности, обязанности страхователя.
- Сверьте сведения в заявлении на страхование с вашим IT-специалистом – и обновляйте их при изменениях.
Наше предложение: мы проверим, как взаимодействуют ваши киберстраховка, страхование имущества предприятия и охлаждаемых грузов, и покажем, где возникают пробелы – например, на примере киберстраховки Stoïk. Что конкретно покрывают её условия, читайте в дополнении на примере Stoïk. Подробнее: Кибербезопасность для предприятий.
Частые вопросы
Что такое BSI-CS 154?
BSI-CS 154 – это рекомендация по кибербезопасности Федерального ведомства по информационной безопасности (BSI) под названием «Gefährdung durch internet-verbundene OT-Systeme», опубликованная 13 октября 2026 года. Она адресована операторам небольших промышленных или аналогичных установок с устройствами управления, например для охлаждения продуктов питания, выработки электроэнергии или водоподготовки.
Заплатит ли моя киберстраховка, если будет повреждена машина или товар?
Часто не в полном объёме. Киберстраховка – это в первую очередь страхование финансовых убытков. Имущественный ущерб, например испорченные товары или повреждённые средства производства, часто исключён или застрахован лишь в ограниченном объёме. В то же время многие имущественные страховки исключают кибератаки. Мы проверим, как взаимодействуют ваши договоры.
Могу ли я передать IT-безопасность своей сервисной компании?
Задачи – да, ответственность перед страховщиком – нет. Обязанности по вашему полису лежат на вас как на страхователе. Поэтому чёткие обязанности по безопасности должны быть прописаны в договоре на техническое и сервисное обслуживание с вашим подрядчиком.
Что будет, если мои сведения в заявлении на страхование неверны?
Тогда страховщик в зависимости от случая может отказаться от договора, оспорить его или сократить выплату. Суды расценивали ответы «наугад» о состоянии IT-безопасности как злонамеренные. Поэтому перед заключением договора поручите своему IT-специалисту проверить эти сведения.
С сердечным приветом от KiS
Примечание: общая информация по состоянию на 05.11.2026, не является юридической или индивидуальной консультацией. Перечень отраслей – наша оценка, а не официальная классификация. Определяющими являются условия соответствующего страховщика. Источники: BSI-CS 154 (13.10.2026); публикации dpa, ad-hoc-news, VWheute и AssCompact (октябрь/ноябрь 2026); Stoïk, условия Cyber Serenity – Standard (DE2609.2); решения OLG Schleswig 16 U 63/24 и LG Tübingen от 26.05.2023. KiS – Kontor im Schwarzwald GmbH, страховой брокер с разрешением согласно § 34d Abs. 1 GewO, рег. № D-PS74-61V96-00.