Cybersicherheit für kritische Infrastruktur
Wasser, Verkehr, Gesundheitsversorgung und andere wichtige Dienste, die OT und IT zusammen betreiben, oft mit Fernzugriff für Dienstleister.
Wichtige Dienste, die nicht ausfallen dürfen.
Wasserversorgung, Verkehr, Gesundheitsversorgung und öffentliche Dienste betreiben IT und OT nebeneinander, oft mit Fernzugriff für Dienstleister. Fällt etwas aus, merken es die Bürger innerhalb von Stunden.
NIS2 und die deutschen KRITIS-Regeln machen die Geschäftsleitung für Risikomanagement und Meldungen verantwortlich. Zulieferer kritischer Betreiber treffen heute über Verträge und Audits dieselben Erwartungen.
Für wen
- Betreiber von Wasser-, Abwasser- und Fernwärmeanlagen
- Verkehrsunternehmen und Infrastrukturbetreiber
- Öffentliche Verwaltungen und kommunale IT-Dienstleister
- Zulieferer und Dienstleister kritischer Betreiber
Wo kritische Infrastruktur heute angreifbar ist
Die Angriffswege, die wir bei Betreibern wichtiger Dienste und ihren Zulieferern am häufigsten sehen.
Fernzugriff
Zugang von Dienstleistern
Viele Hersteller warten Systeme aus der Ferne. Jeder Zugang ist eine Tür, die kontrolliert und protokolliert werden muss.
Lieferkette
Kritische Zulieferer
Betreiber hängen von Software- und Dienstleistern ab. Ein Angriff auf einen Zulieferer kann den Dienst selbst stoppen.
Identitäten
Konten ohne Multi-Faktor-Authentifizierung
Ein einziges gestohlenes Passwort für VPN oder E-Mail ist noch immer der häufigste Weg ins System.
Altsysteme
Alternde Leitsysteme
SCADA- und Prozessleitsysteme laufen jahrzehntelang, oft auf Systemen, die sich nicht mehr patchen lassen.
IT und OT
Gemeinsame Infrastruktur
Teilen sich Abrechnung, Planung und Steuerung eine Infrastruktur, legen Betreiber nach einem IT-Angriff vorsorglich auch den Betrieb still.
Wiederherstellung
Erreichbare Datensicherungen
Sicherungen, die aus demselben Netz erreichbar sind, werden mit verschlüsselt. Die Wiederherstellung dauert dann Monate statt Tage.
Standorte
Abgelegene Standorte
Pumpstationen, Umspannwerke und Stellwerke sind weit verteilt und physisch schwer zu schützen.
Menschen
Phishing und Social Engineering
Betriebspersonal wird gezielt angegriffen. Schulungen und klare Abläufe senken das Risiko.
Was echte Vorfälle zeigen
Viele Angriffe auf wichtige Versorgungsdienste brauchen keine besonderen Werkzeuge. Sie nutzen gestohlene Passwörter für Konten ohne Mehrfaktor-Authentifizierung, Fernzugänge, die nie geschlossen wurden, Systeme ohne Updates und Lieferanten mit schwacher Sicherheit. Weil Millionen Menschen auf diese Dienste angewiesen sind, reichen die Folgen weit über das Unternehmen hinaus: Treibstoff, Wasser, Verkehr und öffentliche Dienste stehen still, und im schlimmsten Fall sind Menschenleben in Gefahr, wenn Rettungsdienste oder Versorgung ausfallen.
Mai 2021, Ransomware
Colonial Pipeline: Treibstoffversorgung der US-Ostküste stoppt
Angreifer nutzten ein altes VPN-Passwort ohne Mehrfaktor-Authentifizierung. Die rund 8.850 Kilometer lange Treibstoff-Pipeline zur US-Ostküste stand fünf Tage still.
Quellen: Aussage von Colonial Pipeline vor dem US-Senat, Juni 2021; US-Justizministerium
Juli 2021, Ransomware
Anhalt-Bitterfeld: Deutschlands erster Cyber-Katastrophenfall
Ransomware verschlüsselte im Juli 2021 die Systeme der Kreisverwaltung, und der Landkreis rief den ersten Cyber-Katastrophenfall Deutschlands aus.
Quellen: dpa; MDR; Volksstimme
Oktober 2022, Angriff auf einen Zulieferer
Dänische Bahn: alle Züge stehen still
Ein Angriff auf den Softwarelieferanten Supeo nahm Lokführern die App, die sie für den Betrieb brauchen. Am 29. Oktober 2022 standen alle DSB-Züge in Dänemark still.
Quellen: DSB; Reuters; International Railway Journal
Kommende Herausforderungen
Mit NIS2 und dem deutschen Umsetzungsgesetz, das seit Dezember 2025 gilt, sind deutlich mehr Organisationen reguliert. Die Geschäftsleitung ist persönlich verantwortlich, und erhebliche Vorfälle müssen innerhalb von 24 Stunden gemeldet werden. Betreiber müssen auch die Sicherheit ihrer Lieferanten steuern, sodass die Anforderungen nun auch Dienstleister und Produkthersteller erreichen. Gleichzeitig greifen Angreifer immer öfter über Lieferanten und Fernzugänge an, wie der Fall aus Dänemark zeigt.
Wo wir helfen
Wir bewerten, wo Sie gegenüber NIS2 und den KRITIS-Anforderungen stehen, bauen Risikomanagement und Prozesse für Sicherheitsvorfälle auf, die die Geschäftsleitung freigeben kann, und legen Sicherheitsanforderungen für Lieferanten und Fernzugriff fest. Für Produkthersteller, die Betreiber beliefern, bereiten wir die Nachweise nach IEC 62443 und CRA vor, die deren Kunden jetzt verlangen. AITIGRITY hilft, Schwachstellen in den Komponenten im Blick zu behalten, die Sie betreiben.
So sieht ein funktionierender Sicherheitsansatz für wichtige Dienste aus
Sechs Bausteine, die NIS2 und die KRITIS-Regeln erfüllen und den Betrieb am Laufen halten.
1
Risikomanagement durch die Geschäftsleitung
Die Geschäftsleitung billigt und überwacht die Maßnahmen gegen Cyberrisiken, wie NIS2 es verlangt.
2
Sicherheit bei Zulieferern
Sicherheitsanforderungen in Verträgen, Bewertungen kritischer Zulieferer und Ausstiegspläne.
3
Sicherer Fernzugriff
Persönlicher, freigegebener und protokollierter Zugang für jeden Dienstleister.
4
Getrennte IT und OT
Segmentierte Netze, damit ein IT-Vorfall nicht zur Abschaltung des Betriebs zwingt.
5
Reaktion auf Vorfälle und Meldung
Rollen, Leitfäden und Meldungen innerhalb der NIS2-Fristen von 24 Stunden, 72 Stunden und einem Monat.
6
Getestete Wiederherstellung
Offline-Sicherungen und Übungen, die zeigen, dass Sie wichtige Dienste wiederherstellen können.
So helfen wir
Von der NIS2-Einstufung bis zu einem geprüften Sicherheitsmanagement und einer getesteten Wiederherstellung.
Regulatorik und Compliance
Klarheit zu NIS2, den KRITIS-Regeln und Ihren Branchenanforderungen.
Was wir tun
- NIS2-Betroffenheit und Einstufung als Einrichtung
- Gap-Analyse gegen NIS2- und BSI-Anforderungen
- Roadmap und Unterstützung bei der BSI-Registrierung
Sie erhalten
Einstufung, Lückenliste, Roadmap
Sicherheitsmanagement und Audits
Ein ISMS, das im Audit besteht und im Alltag funktioniert.
Was wir tun
- ISO 27001, auch auf Basis von IT-Grundschutz
- Vorbereitung auf KRITIS-Nachweisprüfungen
- Sicherheitsprogramm für Zulieferer
Sie erhalten
ISMS-Dokumentation, Auditplan
OT- und Anlagensicherheit
Leitsysteme, die weiterlaufen, wenn die IT angegriffen wird.
Was wir tun
- Bewertung nach IEC 62443 und dem ICS-Kompendium des BSI
- Konzept für Zonen und Fernzugriff
- Planung der Wiederherstellung
Sie erhalten
Zonenmodell, Maßnahmenplan, Wiederanlaufplan
Tests und Vorbereitung auf Vorfälle
Schwachstellen finden, bevor Angreifer es tun, und wissen, was im Ernstfall zu tun ist.
Was wir tun
- Penetrationstests von IT, OT und Fernzugriff
- Notfall-Leitfäden und Übungen
- Meldeprozess nach NIS2
Sie erhalten
Testbericht, Leitfäden, Meldeprozess
So arbeiten wir
Schritt 1
Umfang
Wir legen Dienste, Standorte und Regeln fest.
Schritt 2
Bewerten
Interviews, Standortbesuche und eine Prüfung der Unterlagen zeigen, wo Sie stehen.
Schritt 3
Umsetzen
Wir setzen Maßnahmen und Dokumentation mit Ihrem Team um.
Schritt 4
Nachweisen
Übungen, Tests und Audit-Vorbereitung schließen die Lücken, auf die es ankommt.
Normen und Vorschriften
NIS2-Richtlinie (EU) 2022/2555
Risikomanagementmaßnahmen, Verantwortung der Geschäftsleitung und Meldung von Vorfällen innerhalb von 24 Stunden, 72 Stunden und einem Monat. In Deutschland umgesetzt durch das NIS2-Umsetzungsgesetz, in Kraft seit Dezember 2025.
BSI-Gesetz und KRITIS-Verordnung
Betreiber kritischer Anlagen müssen Sicherheit nach dem Stand der Technik umsetzen und dem BSI regelmäßig Nachweise vorlegen.
CER-Richtlinie (EU) 2022/2557
Resilienz kritischer Einrichtungen, einschließlich physischer Sicherheit und Betriebskontinuität, als Ergänzung zu NIS2.
ISO/IEC 27001
Die Grundlage für ein Informationssicherheits-Managementsystem, auch als ISO 27001 auf Basis von IT-Grundschutz.
IEC 62443
Sicherheit für die industriellen Steuerungssysteme in Wasserversorgung, Energie und Verkehr.
Passende Leistungen und Module
Die Beratungsleistungen und AITIGRITY-Module, die Betreiber und ihre Zulieferer am häufigsten nutzen.
Unsicher, wo Sie anfangen sollen?
Ein kurzes Gespräch zeigt, ob NIS2 für Sie gilt und welche Schritte zuerst kommen.
Mit einem Experten sprechenHäufige Fragen
Fallen wir unter NIS2?
Das hängt von Ihrer Branche und Größe ab. Viele Betreiber und oft auch ihre Zulieferer sind heute wesentliche oder wichtige Einrichtungen. Wir prüfen Ihre Einstufung und die Pflichten, die daraus folgen.
Was muss die Geschäftsleitung nach NIS2 tun?
Die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. In Deutschland kann die Geschäftsleitung für Verstöße haften.
Wie schnell müssen wir einen Vorfall melden?
Eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. In Deutschland gehen die Meldungen an das BSI.
Wir beliefern kritische Betreiber. Was bedeutet das für uns?
Ihre Kunden müssen Risiken in der Lieferkette steuern und werden deshalb Nachweise Ihrer Sicherheit verlangen. Wir helfen Ihnen, sie vorzubereiten.
Wo steht Ihr Produkt?
Erzählen Sie uns von Ihrem Produkt und den Vorgaben, die Sie erfüllen müssen. Sie sprechen vom ersten Gespräch an mit einem Ingenieur.
Cybersecurity-Beratung und die Plattform AITIGRITY für vernetzte Produkte und industrielle Systeme.
Rheinpromenade 11, 40789 Monheim am Rhein, Deutschland