Kritische Infrastrukturen

Den IKT-Minimalstandard erfüllen

Der Schweizer IKT-Minimalstandard gibt Betreibern kritischer Infrastrukturen einen konkreten Rahmen. Seine Stärke — ein sehr operativer Katalog von Massnahmen — ist zugleich seine Schwierigkeit: Man muss zu jeder Massnahme wissen, wo man steht, und es belegen können. So machen wir das Vorhaben handhabbar.

Die Herausforderung

Ein anspruchsvoller Standard, in einen realistischen Weg zu übersetzen

Herausgegeben vom Bundesamt für wirtschaftliche Landesversorgung (BWL), richtet sich der IKT-Minimalstandard in erster Linie an Betreiber kritischer Infrastrukturen — Energie, Verkehr, Wasserversorgung, Gesundheit, Telekommunikation — und an deren Lieferanten. Er ist um die fünf Funktionen des NIST Cybersecurity Framework aufgebaut: identifizieren, schützen, erkennen, reagieren, wiederherstellen.

Sein Wert liegt in der Granularität: Dutzende konkreter Massnahmen, je auf einer Reifegradskala beurteilbar. Genau daran hakt es aber auch: Eine ohne Methode geführte Selbstbeurteilung erzeugt eine Tabelle, die niemand zu nutzen weiss und in der alles dringend wirkt.

Unser Ansatz besteht darin, den Bestand ehrlich zu beurteilen, den Aufwand auf die Massnahmen zu konzentrieren, die in Ihrem Umfeld das Risiko wirklich senken — häufig IT/OT-Trennung, Fernzugriffe und Backups — und danach die Nachweise zu dokumentieren, die bei einer Kontrolle erwartet werden.

Was auf dem Spiel steht

Selbstbeurteilung nur auf Aussagen gestützt, ohne Belege
OT-Umgebungen ausserhalb des betrachteten Umfangs
Fernzugriffe von Lieferanten unzureichend kontrolliert
Keine Detection und keine Protokollierung im industriellen Bereich
Wiederanlaufpläne nie unter realen Bedingungen getestet

Schema

Von fünf Funktionen zu einem Weg mit Etappen

Identifizieren, schützen, erkennen, reagieren und wiederherstellen: Jede Funktion übersetzt sich in beurteilbare Massnahmen und belastbare Nachweise.

Unser Vorgehen

Wie wir vorgehen

Fortschritt in Etappen, ausgerichtet an Ihrer tatsächlichen Kritikalität statt am gesamten Standard auf einmal.

Umfang und Kartierung

Bestimmung der kritischen Tätigkeiten, der Systeme, die sie tragen — Büro-Informatik ebenso wie industrielle Systeme — und der Abhängigkeiten von Lieferanten. Ohne dieses Fundament bleibt die Beurteilung theoretisch.

Begleitete Selbstbeurteilung

Durchgang durch die Massnahmen des Standards mit Ihren Teams, mit einer auf überprüfbaren Fakten gestützten Reifegradbewertung. Wir unterscheiden, was umgesetzt, was teilweise umgesetzt und was nur behauptet ist.

Priorisierte Roadmap

Übersetzung der Abweichungen in einen Massnahmenplan, geordnet nach Risikosenkung und Aufwand, in erreichbaren Etappen statt als grosses, schwer finanzierbares Programm.

Umsetzung und Nachweise

Einführung der technischen Massnahmen (Segmentierung, Fernzugriffe, Härtung, Protokollierung, Backups) und Aufbau der Nachweise: Konfigurationen, Verfahren, Testberichte.

Übung und Neubeurteilung

Test des Reaktions- und Wiederanlaufdispositivs, danach eine neue Beurteilung, um den Fortschritt sachlich zu belegen und die Steuerung gegenüber Geschäftsleitung und Behörde zu speisen.

Eingesetzte Leistungen

Mehrere Disziplinen, eine Ansprechperson

Der Standard deckt Organisation, Technik und Wiederanlauf ab: Wir setzen GRC-Beratung, Integration, offensive Prüfung und Überwachung je nach den zu stärkenden Funktionen ein.

Audit & Advisory GRC Cybersecurity-Lösungen Penetrationstest SOC

Ergebnisse

Kartierung der kritischen Tätigkeiten und der zugehörigen Systeme
Bewertete Selbstbeurteilung, Massnahme für Massnahme
Priorisierte Roadmap in Etappen
Nachweisdossier (Konfigurationen, Verfahren, Berichte)
Übungsbericht und Neubeurteilung des Reifegrads

Häufige Fragen

Formell ist er eine Empfehlung des Bundes, faktisch wird er jedoch verbindlich: Mehrere Branchenregulatoren, Auftraggeber und Versicherer beziehen sich darauf, und einzelne Kantone oder Branchen schreiben ihn vertraglich vor. Ihn wie eine Anforderung zu behandeln, ist heute die umsichtige Haltung.

ISO 27001 zertifiziert ein Managementsystem; der IKT-Minimalstandard beurteilt den Reifegrad sehr operativer Massnahmen, mit Schweizer Verankerung und Ausrichtung auf kritische Infrastrukturen. Beide ergänzen sich gut: Das ISMS bringt die Governance, der Standard die technische Granularität.

Ja, und dort konzentrieren sich die Abweichungen häufig. Wir wenden ein Vorgehen an, das die Anforderungen an Verfügbarkeit und Anlagensicherheit im OT berücksichtigt — kein invasiver Scan auf einer Steuerung im Betrieb — gestützt auf unsere Praxis in ICS/SCADA-Umgebungen.

Die begleitete Selbstbeurteilung läuft in der Regel über einige Wochen. Das Schliessen der Abweichungen hängt danach von deren Umfang ab: Wir gliedern es in Etappen von wenigen Monaten, damit jeder Schritt eine sichtbare und finanzierbare Risikosenkung bringt.

Wo stehen Sie beim IKT-Minimalstandard?

Eine begleitete Selbstbeurteilung liefert ein ehrliches Bild Ihres Reifegrads und den Weg, ihn anzuheben.

Kontakt aufnehmen