Cyberangriffe auf kritische Infrastrukturen nehmen kontinuierlich zu. Gleichzeitig steigen die regulatorischen Anforderungen an Unternehmen, die für die Versorgung von Bevölkerung und Wirtschaft unverzichtbar sind. In der Schweiz bildet das ISG die Grundlage für den Schutz dieser Einrichtungen. Es verpflichtet Betreiber kritischer Infrastrukturen zur Meldung erheblicher Cybervorfälle. Angemessene Schutzmassnahmen und regelmässige Risikobewertungen sind zwar nicht Gegenstand einer eigenständigen ISG-Nachweispflicht, gelten aber als Grundvoraussetzung, um dieser Meldepflicht überhaupt gerecht zu werden und die eigene Cyberresilienz zu erhöhen.
Während in der Schweiz das Informationssicherheitsgesetz (ISG) den regulatorischen Rahmen vorgibt, gelten in Deutschland unter anderem die Vorgaben des BSI-Gesetzes sowie die Anforderungen aus der KRITIS-Regulierung und der NIS2-Umsetzung. In Österreich setzt das im Dezember 2025 beschlossene Netz- und Informationssystemsicherheitsgesetz (NISG 2026) dieselbe EU-Vorgabe um, dieses tritt rund neun Monate nach Kundmachung (voraussichtlich im Herbst 2026) in Kraft. Trotz unterschiedlicher Rechtsgrundlagen verfolgen alle drei Länder der DACH-Region dasselbe Ziel: Betreiber kritischer Infrastrukturen müssen ihre OT- und IT-Systeme gegen Cyberangriffe schützen und ihre Widerstandsfähigkeit kontinuierlich erhöhen.
Doch gesetzliche Vorgaben allein schaffen noch keine Resilienz. Entscheidend ist, wie technische, organisatorische und prozessuale Massnahmen so umgesetzt werden, dass Sicherheit und Verfügbarkeit gleichermassen gewährleistet bleiben.
Besonders in OT-Umgebungen stellt die Umsetzung regulatorischer Anforderungen Unternehmen vor besondere Herausforderungen: Produktions- und Steuerungssysteme müssen vor Cyberangriffen geschützt werden, ohne die Verfügbarkeit kritischer Prozesse zu beeinträchtigen. Sicherheit und Betriebskontinuität müssen dabei gleichermassen gewährleistet sein.
Das Schweizer Informationssicherheitsgesetz (ISG) definiert hierfür eine zentrale Pflicht für Betreiber kritischer Infrastrukturen: die Meldung relevanter Cybervorfälle. Um dieser Pflicht nachzukommen, benötigen Unternehmen zudem angemessene Schutzmassnahmen.
Meldepflicht bei Cybervorfällen (ISG Art. 74a-h)
Betreiber müssen Cybervorfälle mit erheblichen Auswirkungen (etwa Gefährdung der Funktionsfähigkeit, Datenabfluss, Erpressung oder länger unentdeckt gebliebene Angriffe; Art. 74d ISG) an das Bundesamt für Cybersicherheit (BACS) melden. Die Meldefrist beträgt 24 Stunden nach Entdeckung des Cyberangriffs.
Angemessene Schutzmassnahmen
Anders als etwa das deutsche BSI-Gesetz kennt das ISG hierzu keine eigenständige, wiederkehrende Nachweis- oder Zertifizierungspflicht. Unternehmen müssen technische, organisatorische und physische Massnahmen umsetzen, um die Verfügbarkeit, Integrität und Vertraulichkeit ihrer Systeme sicherzustellen.
Dazu gehören unter anderem:
Die Bedeutung dieser Anforderungen zeigt auch die aktuelle Bedrohungslage.
Seit Einführung der Meldepflicht am 1. April 2025 gingen beim BACS bis Frühjahr 2026 rund 260 Meldungen von Betreibern kritischer Infrastrukturen ein. Am häufigsten aus dem öffentlichen Sektor sowie der IT-/Telekom-, Finanz- und Energiebranche.
Ein ähnliches Bild zeigt sich im gesamten DACH-Raum:
Während in der Schweiz die Zahl der gemeldeten Vorfälle beim BACS steigt, berichten das deutsche BSI und die österreichischen Cybersicherheitsbehörden ebenfalls von einer anhaltend hohen beziehungsweise zunehmenden Bedrohung durch Cyberangriffe auf Unternehmen, öffentliche Einrichtungen und Kritische Infrastrukturen.
Bevor Sicherheitsmassnahmen umgesetzt werden können, müssen Unternehmen zunächst verstehen, welche Systeme, Prozesse und Anlagen besonders schützenswert sind. Der erste Schritt besteht daher in einer strukturierten Analyse der eigenen Betroffenheit sowie einer vollständigen Erfassung der vorhandenen Assets.
Dabei wird zunächst geprüft, ob und in welchem Umfang ein Unternehmen als Betreiber einer kritischen Infrastruktur (KRITIS) einzustufen ist. In der Schweiz erfolgt diese Bewertung anhand der im Informationssicherheitsgesetz (ISG, Art. 74c, i.V.m. der Cybersicherheitsverordnung, CSV) definierten Kriterien, die unter anderem Branche, Versorgungsrelevanz und die Auswirkungen eines möglichen Ausfalls berücksichtigen.
Auch in Deutschland bildet die Identifikation kritischer Prozesse und Systeme eine zentrale Grundlage für die Umsetzung von KRITIS- und NIS2-Anforderungen. Unabhängig vom regulatorischen Rahmen gilt: Nur wer seine IT- und insbesondere seine OT-Umgebungen kennt, kann Risiken bewerten und geeignete Schutzmassnahmen priorisieren.
Ein wesentlicher Bestandteil dieser Bestandsaufnahme ist ein strukturiertes Asset-Mapping. Dabei werden alle relevanten Systeme und Schnittstellen erfasst – von klassischen IT-Komponenten bis hin zu industriellen Steuerungs- und Produktionsumgebungen.
Dazu gehören beispielsweise:
Netzwerkinfrastruktur: VLANs, Firewalls, Router und Kommunikationswege zwischen IT- und OT-Netzen
Steuerungs- und Produktionssysteme: SPS (Speicherprogrammierbare Steuerungen), SCADA-Systeme und RTUs
Externe Schnittstellen: Fernwartungszugänge, Cloud-Anbindungen und Verbindungen zu Lieferanten oder Dienstleistern
Eine vollständige und aktuelle Übersicht dieser Assets bildet die Grundlage für alle weiteren Schritte, von der Risikobewertung über die Priorisierung von Massnahmen bis hin zur Erhöhung der Cyberresilienz.
Wo stehen Sie bei der Digitalisierung Ihrer Business-Prozesse? Mit unserem OT Security Services erkennen Sie potenzielle Schwachstellen der Steuerungs- und Leittechnik frühzeitig und können sinnvolle Schutzmassnahmen einleiten.
Nach der Erfassung der relevanten Assets folgt die Bewertung der damit verbundenen Risiken. Ein strukturierter Risikokatalog hilft Unternehmen dabei, Bedrohungen systematisch zu erfassen, zu bewerten und geeignete Schutzmassnahmen abzuleiten. Dabei werden Risiken insbesondere hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit betrachtet.
Entscheidend ist nicht, jede potenzielle Schwachstelle gleichzeitig zu beheben, sondern Massnahmen nach ihrer Kritikalität zu priorisieren. Bewertet werden unter anderem die Eintrittswahrscheinlichkeit eines Szenarios sowie die möglichen Auswirkungen auf den Betrieb – beispielsweise ein ungesicherter Remote-Zugang oder der Ausfall einer zentralen Steuerung in einer OT-Umgebung.
Auf dieser Grundlage lassen sich gezielte Massnahmen planen. Besonders bei kritischen OT-Systemen sollten dabei Massnahmen priorisiert werden, die die Verfügbarkeit und Betriebssicherheit nachhaltig erhöhen, etwa durch eine geeignete Netzwerksegmentierung nach ISA/IEC 62443, redundante Steuerungssysteme sowie belastbare Backup- und Wiederanlaufstrategien.
Das ISG fordert angemessene technische Schutzmassnahmen, die sich am individuellen Schutzbedarf der Systeme orientieren. Dazu gehören unter anderem Zugriffskontrollen, Verschlüsselung, Protokollierung und Notfallkonzepte. Entscheidend ist, dass diese Massnahmen nicht nur umgesetzt, sondern auch nachvollziehbar dokumentiert und regelmässig überprüft werden.
Gerade in OT-Umgebungen ist ein ausgewogener Ansatz entscheidend: Produktions- und Steuerungssysteme müssen zuverlässig verfügbar bleiben, gleichzeitig müssen sie gegen moderne Cyberbedrohungen geschützt werden. Die Anforderungen lassen sich dabei mit etablierten Sicherheitsstandards wie ISO/IEC 27001 oder ISA/IEC 62443 strukturiert umsetzen.
Durch die Aufteilung in getrennte Sicherheitszonen lassen sich kritische Systeme besser schützen und Kommunikationswege kontrollieren. Typische Bereiche sind beispielsweise Produktionszonen mit Steuerungssystemen, Wartungszonen für Updates und Fernzugriffe sowie externe Zonen für Lieferanten oder Cloud-Dienste. Technisch wird diese Trennung unter anderem durch Firewalls, VLANs oder – bei besonders hohen Anforderungen – durch unidirektionale Verbindungen (Data Diodes) umgesetzt.
Auch Fernzugriffe stellen in OT-Umgebungen ein häufiges Risiko dar. Daher sollten Remote-Services über kontrollierte Zugänge wie Jump-Hosts erfolgen, mit zeitlich begrenzten Berechtigungen, Protokollierung und Multi-Faktor-Authentifizierung (MFA).
Ergänzend schafft ein kontinuierliches Monitoring Transparenz über sicherheitsrelevante Aktivitäten. Dazu gehören beispielsweise die Integration OT-spezifischer Ereignisse in Security-Monitoring-Lösungen, getrennte Logging-Strukturen für die Forensik sowie die Überwachung kritischer Industrieprotokolle wie Modbus oder DNP3.
Technische Schutzmassnahmen allein reichen nicht aus, um kritische Infrastrukturen nachhaltig abzusichern. Klare Verantwortlichkeiten, definierte Prozesse und regelmässige Überprüfungen sind entscheidend, damit Sicherheitsmassnahmen dauerhaft wirksam bleiben.
Dazu gehört insbesondere ein strukturiertes Change-Management: Änderungen an OT-Systemen müssen nachvollziehbar dokumentiert, geprüft und freigegeben werden. Geeignete Prozesse und Ticketing-Systeme schaffen Transparenz und stellen sicher, dass auch bei komplexen Produktionsumgebungen jederzeit nachvollziehbar bleibt, welche Anpassungen vorgenommen wurden.
Regelmässige Audits und praxisnahe Übungen wie Tabletop-Exercises helfen dabei, Sicherheitslücken frühzeitig zu erkennen und die Reaktionsfähigkeit im Ernstfall zu verbessern. Ergänzend stärken gezielte Schulungen und Awareness-Massnahmen das Sicherheitsbewusstsein der Mitarbeitenden – insbesondere in Bereichen mit administrativen oder technischen Zugriffsrechten.
Unabhängig davon, ob Ihr Unternehmen den Anforderungen des Schweizer Informationssicherheitsgesetzes (ISG) oder den deutschen KRITIS- und NIS2-Vorgaben unterliegt: Die Absicherung kritischer Infrastrukturen ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Wer Risiken in IT- und OT-Umgebungen regelmässig bewertet, technische Schutzmassnahmen gezielt umsetzt und Sicherheitsprozesse kontinuierlich weiterentwickelt, schafft langfristig mehr Resilienz und Versorgungssicherheit.
Gerade in OT-Umgebungen ist das Zusammenspiel aus Technologie, Organisation und Menschen entscheidend. Eine strukturierte Herangehensweise hilft Unternehmen, kritische Systeme zu schützen, Sicherheitslücken frühzeitig zu erkennen und die Auswirkungen potenzieller Cyberangriffe zu reduzieren.
Bei der Entwicklung einer individuellen Sicherheitsstrategie unterstützen wir Unternehmen dabei, ihre Ausgangslage zu bewerten, Risiken zu priorisieren und geeignete Massnahmen für ihre IT- und OT-Umgebungen abzuleiten – von der ersten Betroffenheitsanalyse über das Asset-Mapping bis zur Entwicklung einer zielgerichteten Resilienz-Roadmap. Wir freuen uns, wenn Sie sich bei uns melden!
Bildlegende: mit KI generiertes Bild