IT-Sicherheit für Ihre Branche

Sicherheitsanforderungen entstehen nicht im luftleeren Raum, sondern aus dem Geschäft und seiner Regulierung. Ein Maschinenbauer darf seine Linie nicht anhalten, ein Krankenhaus seine Versorgung nicht abmelden, ein Finanzdienstleister muss gegenüber der Aufsicht nachweisen können, was er tut. Diese Seiten beschreiben, was das für die IT-Sicherheit im jeweiligen Sektor bedeutet – welche Vorgaben gelten, wie dort angegriffen wird und welche Leistungen darauf antworten.

Industrie & Maschinenbau

In der Fertigung steht die Anlage im Mittelpunkt, nicht der Rechner. Genau das macht Produktionsnetze angreifbar: Steuerungen laufen zwei Jahrzehnte, Wartungszugänge bleiben offen, und ein Stillstand kostet ab der ersten Minute Geld. Wir prüfen Büro- und Produktionsnetz gemeinsam – und trennen sie dort, wo sie nie hätten zusammenwachsen dürfen.

NIS2

Das verarbeitende Gewerbe – unter anderem Maschinenbau, Fahrzeugbau, Elektrotechnik und Medizinprodukte – steht in Anhang II des NIS2-Umsetzungsgesetzes. Ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz greifen Registrierung, Meldepflichten und Nachweispflichten.

TISAX

Wer die Automobilindustrie beliefert, weist Informationssicherheit über TISAX nach: auf Grundlage des VDA-ISA-Katalogs, geprüft von einem zugelassenen Prüfdienstleister und ausgetauscht über die ENX-Plattform.

IEC 62443

Die Normenreihe beschreibt Sicherheit für industrielle Automatisierungs- und Steuerungssysteme: Zonen und Übergänge, Zugriffe, Härtung. Sie ist der Bezugsrahmen, wenn Büro- und Produktionsnetz sauber auseinandergehalten werden sollen.

Cyber Resilience Act

Die Verordnung (EU) 2024/2847 nimmt Hersteller vernetzter Produkte in die Pflicht. Die Meldepflicht für aktiv ausgenutzte Schwachstellen gilt ab dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027.

Logistik & Transport

Logistik lebt von Terminen. Fällt die Lagerverwaltung aus, steht nicht nur ein Rechner still, sondern die Rampe – und mit ihr die Produktion Ihrer Kunden. Dazu kommt eine IT, die nach außen offen sein muss: Kundenportale, EDI-Anbindungen, Telematik in den Fahrzeugen, Subunternehmer mit Zugriff auf Ihre Systeme.

NIS2

Der Sektor Verkehr steht in Anhang I des NIS2-Umsetzungsgesetzes, Post- und Kurierdienste stehen in Anhang II. Wer die Schwellen von 50 Beschäftigten oder 10 Mio. € Jahresumsatz erreicht, muss sich registrieren, erhebliche Vorfälle melden und Maßnahmen nachweisen.

Lieferkettenpflichten

Auch ohne eigene Betroffenheit erreichen die Pflichten Sie über Ihre Auftraggeber: NIS2 verlangt von betroffenen Unternehmen, die Sicherheit ihrer Lieferanten zu steuern. In der Praxis kommt das als Fragebogen, Vertragsklausel oder Lieferantenaudit.

DSGVO

Sendungsdaten sind personenbezogen, sobald ein Empfänger dahintersteht. Ein Abfluss ist damit meldepflichtig – binnen 72 Stunden an die zuständige Aufsichtsbehörde.

ISO 27001

Große Verlader verlangen den Nachweis zunehmend schon in der Ausschreibung. Er deckt zugleich weite Teile der NIS2-Anforderungen ab – ein Projekt, zwei Ziele.

Gesundheitswesen

Im Krankenhaus hängt an der IT die Versorgung. Ein verschlüsseltes Klinikinformationssystem bedeutet Abmeldung von der Notfallversorgung, verschobene Eingriffe und Dokumentation auf Papier. Gleichzeitig ist die Systemlandschaft heterogen wie in kaum einer anderen Branche: Medizingeräte mit alten Betriebssystemen, Speziallösungen je Fachabteilung, Zugriffe niedergelassener Ärzte.

§ 391 SGB V und B3S

Krankenhäuser müssen nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen treffen; ausdrücklich genannt sind auch verpflichtende Maßnahmen zur Sensibilisierung der Mitarbeitenden. Als erfüllt gilt das insbesondere bei Anwendung eines branchenspezifischen Sicherheitsstandards (B3S), dessen Eignung das BSI festgestellt hat. Die Vorschrift wurde bis zur Neunummerierung als § 75c SGB V geführt.

Kritische Anlagen

Ab 30.000 vollstationären Fällen im Jahr gilt ein Krankenhaus nach Anhang 5 der BSI-Kritisverordnung als kritische Anlage. Daran hängen der Einsatz von Systemen zur Angriffserkennung nach § 31 BSIG und der Nachweis gegenüber dem BSI alle drei Jahre nach § 39 BSIG.

NIS2

Der Sektor Gesundheit steht in Anhang I des NIS2-Umsetzungsgesetzes. Erfasst sind neben Krankenhäusern auch Labore, Forschungseinrichtungen und Hersteller bestimmter Medizinprodukte.

DSGVO

Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Artikel 9. Für sie gilt ein erhöhtes Schutzniveau – und im Schadensfall ein entsprechend höheres Bußgeldrisiko.

Rüstung & Verteidigung

Wer für die Bundeswehr oder deren Auftragnehmer arbeitet, arbeitet unter Beobachtung – von Auftraggebern, die Nachweise verlangen, und von Angreifern, die es auf Konstruktionsdaten und Lieferbeziehungen abgesehen haben. Nachrichtendienstlich motivierte Angriffe zielen dabei selten auf den Hauptauftragnehmer, sondern auf den Mittelständler in der zweiten oder dritten Reihe.

Geheimschutz

Wer eingestufte Aufträge bearbeitet, wird in die Geheimschutzbetreuung des Bundes aufgenommen. Die personelle Seite regelt das Sicherheitsüberprüfungsgesetz, die materielle das Geheimschutzhandbuch – von Zutritt und Verwahrung bis zur Frage, welche IT überhaupt eingesetzt werden darf.

VS-NfD

Für die Verarbeitung von Verschlusssachen des Grades VS-NfD sind nur vom BSI zugelassene beziehungsweise freigegebene Lösungen zulässig. Das betrifft Verschlüsselung, Datenträger und in vielen Fällen die gesamte Arbeitsumgebung.

NIS2

Je nach Produktspektrum greifen zusätzlich die Pflichten des NIS2-Umsetzungsgesetzes; für Tätigkeiten im Bereich der nationalen Sicherheit und Verteidigung sieht das Gesetz Ausnahmen vor. Was davon auf Sie zutrifft, klärt die Betroffenheitsanalyse.

ISO 27001 und TISAX

Viele Auftraggeber verlangen zusätzlich einen anerkannten Nachweis über das Informationssicherheits-Managementsystem – meist ISO 27001, im automobilnahen Bereich TISAX.

Öffentlicher Sektor

Eine Verwaltung kann ihre Dienstleistung nicht einstellen. Fällt die IT aus, stehen Bürgerbüro, Standesamt, Sozialleistungen und Zahlungsverkehr – und der Ausfall steht am selben Tag in der Zeitung. Gleichzeitig ist die IT gewachsen: verteilt über Zweckverbände und Rechenzentren, mit langen Beschaffungswegen und knappem Personal.

IT-Grundschutz

Das IT-Grundschutz-Kompendium des BSI ist der übliche Prüfmaßstab in der Verwaltung. Es lässt sich stufenweise umsetzen: Basis-Absicherung zuerst, Standard-Absicherung dort, wo der Schutzbedarf es verlangt.

NIS2 und Landesrecht

Das NIS2-Umsetzungsgesetz erfasst Einrichtungen der Bundesverwaltung unmittelbar. Ob und wie Länder und Kommunen einbezogen werden, regelt das jeweilige Landesrecht – fachlich laufen die Anforderungen auf dasselbe hinaus.

DSGVO

Verwaltungen verarbeiten besonders sensible Daten: Melde-, Sozial-, Gesundheits- und Steuerdaten. Eine Datenpanne ist binnen 72 Stunden an die Aufsichtsbehörde zu melden.

Vergabe

Leistungen werden regelmäßig ausgeschrieben. Wir liefern, was dafür gebraucht wird: eine klar abgegrenzte Leistungsbeschreibung, eine nachvollziehbare Kalkulation und prüffähige Berichte.

Finanzen & Versicherungen

Kaum eine Branche ist so durchreguliert wie die Finanzwirtschaft – und kaum eine so abhängig von einer Handvoll IKT-Dienstleister. Seit DORA gilt beides zusammen: Sie müssen nicht nur die eigene IT im Griff haben, sondern auch die Ihrer Anbieter, nachvollziehbar dokumentiert und gegenüber der Aufsicht darstellbar.

DORA

Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz gilt seit dem 17. Januar 2025 unmittelbar. Sie verlangt ein IKT-Risikomanagement, ein Informationsregister über alle IKT-Dienstleister, geregelte Vorfallmeldungen und ein Programm für Resilienztests.

BAIT und VAIT

Für beaufsichtigte Unternehmen hat DORA die Anforderungen aus BAIT und VAIT weitgehend abgelöst. Wer seine Nachweise noch daran ausrichtet, arbeitet mit einem überholten Maßstab.

Bedrohungsgeleitete Tests

Bedrohungsgeleitete Penetrationstests nach Artikel 26 DORA folgen dem TIBER-EU-Rahmen und betreffen die von der Aufsicht benannten Unternehmen. Sie kommen zum regulären Testbetrieb hinzu und ersetzen ihn nicht.

NIS2 und DSGVO

Der Finanzsektor ist auch in NIS2 genannt; für beaufsichtigte Unternehmen geht DORA als spezielleres Recht vor. Unabhängig davon bleibt die DSGVO mit ihrer 72-Stunden-Frist maßgeblich.

Quellen und weiterführende Informationen

Zuletzt aktualisiert am · Inhaltlich verantwortlich: Christian Renkes, Geschäftsführer der Nica Systems GmbH.

Kontakt

Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr

Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.