Juni 30, 2024

ISO 27001 in produzierenden Unternehmen

Maßnahmen zur Verbesserung der IT-Sicherheit

Klare Rollen und Zuständigkeiten

Ein Informationssicherheitsbeauftragter (CISO) trägt die Gesamtverantwortung für IT-Sicherheit. In Produktionsunternehmen bietet sich zusätzlich ein Industrial CISO an, der speziell für Produktions-IT zuständig ist. In KMU können diese Rollen kombiniert werden. Wichtig ist, dass alle Verantwortlichen – etwa aus Office-IT, Produktion und Produktentwicklung – eng zusammenarbeiten.

Trennung von Office- und Produktions-IT

Ohne saubere Segmentierung können Angriffe von einem kompromittierten Büro-PC in die Produktionssysteme übergreifen. Deshalb sollten Netzwerke in klar abgegrenzte Zonen unterteilt und technisch voneinander getrennt werden. So lassen sich Risiken gezielt eingrenzen.

Identity and Access Management (IAM)

Ein sicheres Zugangsmanagement stellt sicher, dass nur autorisierte Personen und Systeme Zugriff auf Produktionsdaten und -anlagen erhalten. Dazu gehören:

  • Mehr-Faktor-Authentifizierung
  • Rollenbasierte Rechtevergabe
  • Sichere Geräteidentitäten und verschlüsselte Datenübertragung

Softwaresicherheit

Sichere Software ist die Basis stabiler Produktionsprozesse. Unternehmen sollten:

  • Sicherheitsprüfungen und Code-Analysen regelmäßig durchführen
  • Kommunikation zwischen Systemen verschlüsseln
  • Software und Patches konsequent aktuell halten

Lieferantensicherheit

Auch externe Partner müssen IT-Sicherheitsstandards erfüllen. Dazu gehören:

  • Nachweis eines eigenen ISMS
  • Regelmäßige Sicherheitsprüfungen
  • Schulungen der Mitarbeitenden

Rolle eines ISMS in der Produktion

Ein Informationssicherheits-Managementsystem (ISMS) legt fest, wie Unternehmen ihre IT-Sicherheit steuern, überwachen und verbessern. Es sorgt für klare Verantwortlichkeiten, transparente Prozesse und die Einhaltung regulatorischer Anforderungen – die Grundlage für nachhaltige Sicherheit in der industriellen IT.

ISO 27001 – der internationale Standard für Informationssicherheit

Die Norm ISO 27001 beschreibt, wie Unternehmen ein wirksames ISMS aufbauen. Sie enthält Richtlinien für:

  • Personalsicherheit
  • Asset Management
  • Physische und Umfeldsicherheit
  • Betrieb und Kommunikation
  • Lieferantenmanagement

Eine Zertifizierung nach ISO 27001 zeigt, dass ein Unternehmen Informationssicherheit ernst nimmt, schützt vor Bußgeldern und stärkt das Vertrauen von Kunden und Partnern – besonders in der oft vernachlässigten Produktions-IT.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
ISO 27001 · Produzierendes Gewerbe

Worauf es in der Praxis ankommt

Worauf es in Fertigungsbetrieben besonders ankommt.

OT gehört in den Anwendungsbereich – oder begründet nicht.
Maschinensteuerung und Produktionsnetze auszuklammern ist möglich, aber begründungspflichtig. Genau danach wird gefragt.
Verfügbarkeit wiegt oft schwerer als Vertraulichkeit.
Ein Produktionsstillstand kostet sofort. Die Risikobewertung muss das abbilden, statt IT-Muster zu übernehmen.
Alte Anlagen lassen sich nicht patchen.
Kompensierende Maßnahmen wie Netztrennung und Zugangskontrolle sind hier der Regelfall – sie müssen dokumentiert sein.
Fremdfirmen sind der unterschätzte Zugang.
Wartungstechniker mit Laptop und Fernzugriff umgehen jedes Berechtigungskonzept, das nur die Bürowelt betrachtet.
Ihr nächster Schritt

Vom Büro bis in die Halle

Der Readiness-Check erfasst Ihren Stand über alle Normbereiche. Für Produktionsumgebungen zeigt er insbesondere die Lücken bei Netztrennung, Fremdfirmen und Wiederanlauf.

Mehr zum Thema: ISO 27001 · Full-Service