Die fortschreitende Digitalisierung und Vernetzung von Steuerungs-, Sicherungs- und Betreibersystemen macht die Schiene angreifbar. Funktionale Sicherheit (Safety) ist heute ohne eine robuste Informationssicherheit (Security) nicht mehr denkbar.
In einem strukturierten Security-Prozess führen wir detaillierte Bedrohungs- und Risikoanalysen (Threat & Risk Assessments) durch, um zielgerichtete Schutzmaßnahmen zu definieren. Dabei verfolgen wir das Prinzip der Defense-in-Depth (gestaffelte Verteidigung): Im Rahmen einer „First Line of Defense“ wird das Netzwerk inklusive der angeschlossenen Komponenten als Ganzes geschützt, indem unbefugte Zugriffe über alle potenziellen Eintrittsvektoren (z. B. Firewalls, Gateways) abgewehrt werden. Eine „Second Line of Defense“ greift, falls es einem Angreifer dennoch gelingt, in das Netzwerk einzudringen. Hier sorgen Härtungsmaßnahmen auf Komponentenebene (z. B. durch striktes Rechtemanagement und sicheres Booten) für den Schutz der kritischen Einzelsysteme.
Verscharfte gesetzliche Anforderungen: NIS2 und Cyber Resilience Act (CRA)
Formal ist die Cybersicherheit für Betreiber und Zulieferer kritischer Infrastrukturen (KRITIS) zwingend nachzuweisen. Die rechtlichen Rahmenbedingungen haben sich hier in jüngster Zeit massiv verschärft:
-
NIS2-Richtlinie ((EU) 2022/2555): Als Nachfolgerin der ersten NIS-Richtlinie erweitert NIS2 den Kreis der betroffenen Unternehmen (z. B. im Sektor Verkehr/Eisenbahn) erheblich. Sie fordert deutlich strengere Risikomanagementmaßnahmen, Meldepflichten bei Sicherheitsvorfällen und nimmt auch die Geschäftsführung direkt in die Haftung. Die nationale Umsetzung in Deutschland erfolgt durch die Weiterentwicklung des IT-Sicherheitsgesetzes (BSIG/NIS2UmsuCG).
-
Cyber Resilience Act (CRA): Diese neue EU-Verordnung richtet sich direkt an die Hersteller. Produkte mit digitalen Elementen (Hardware wie Software) dürfen künftig nur noch auf den europäischen Markt gebracht werden, wenn sie „Security by Design“ aufweisen, Schwachstellen über den gesamten Lebenszyklus gemanagt werden und sie ein entsprechendes CE-Kennzeichen für Cybersicherheit tragen.
Normative Umsetzung im Bahnbereich (IEC 62443 & TS 50701) Während die Bahnindustrie in der Vergangenheit auf allgemeine Normen zurückgreifen musste, hat sich die Normenlandschaft stark professionalisiert. Als Basis dient weiterhin die branchenübergreifende Industrienorm IEC 62443 (u.a. IEC 62443-3-2 für das Risk Assessment und IEC 62443-4-1 für den Secure Product Development Lifecycle).
Für den Sektor Eisenbahn wurde darauf aufbauend mit der CLC/TS 50701 (zukünftig EN 50701) ein spezifischer Standard geschaffen. Diese Spezifikation schlägt die zwingend notwendige Brücke zwischen der funktionalen Sicherheit (EN 50126 / CENELEC) und der Cybersicherheit. Ergänzend unterstützen wir Sie bei der organisatorischen Verankerung Ihres Information Security Management Systems (ISMS) nach der Normenfamilie ISO/IEC 27000.
Als zertifizierte Experten begleiten wir Hersteller und Betreiber dabei, diese komplexen normativen und gesetzlichen Vorgaben pragmatisch, auditsicher und zukunftssicher in ihren Projekten umzusetzen.