Informatik Consulting Systems GmbH

Stuttgart / Affoltern am Albis, 22.06.2022: TISAX® heißt das Informationssicherheitszertifikat, das die meisten deutschen Automobilhersteller seit rund zwei Jahren von ihren bestehenden und zukünftigen Lieferanten verlangen. Was sich hinter der Zertifizierung verbirgt und wie der Umsetzungsprozess in ihrem Unternehmen ablaufen kann, erfahren Interessierte im kostenlosen TISAX® Grundlagen-Webinar am 30. Juni 2022 aus erster Hand von Andrian Dürr. Er ist Head of Security beim IT-Sicherheitsspezialisten ICS Schweiz AG, dem wohl erfahrensten im Land ansässigen TISAX®-Experten.

Über Lieferketten fließen nicht nur gute Ideen, erstklassige Produkte und sinnvolle Services an Automobilkonzerne. Im schlechtesten Fall werden sie zu Zielen von Cyberattacken. Um das Szenario eines Lieferkettenangriffs zu vermeiden, hat die deutsche Automobilindustrie mit TISAX® (Trusted Information Security Assessment Exchange) ein Informationssicherheitszertifikat etabliert, mit dem Zulieferer entsprechende Security-Standards in ihren Geschäftsprozessen nachweisen müssen. „Eine TISAX®-Zertifizierung ist seit rund zwei Jahren bei Neuverträgen mit Zulieferern obligat und kann von den Automobilherstellern auch bei bestehenden Geschäftsverbindungen verlangt werden – ganz gleich, ob der Lieferant aus Deutschland, der Schweiz, aus Österreich oder einem anderen Land kommt“, weiß Andrian Dürr. Er und sein Team von der ICS Schweiz AG sowie die Kolleginnen und Kollegen der deutschen ICS GmbH haben bereits zahlreiche Unternehmen erfolgreich durch den TISAX®-Prozess begleitet.

TISAX® geht enorm viele Branchen an

Relevant ist TISAX® nicht nur für den Maschinenmarkt, die direkt teilezuliefernde Industrie oder Ingenieurbüros. Andrian Dürr: „Von jedem Geschäftspartner, der mit ihm Informationen austauscht, kann ein deutscher Automobilhersteller, dieses Zertifikat verlangen. Dazu zählen von der Werbeagentur über Catering-Anbieter bis hin zum Fotografen oder Limousinen-Service für einen Automobil-Event unendlich viele unterschiedliche Dienstleister.“ Nicht jeder Lieferant benötigt alle Zertifizierungen, die der dreiteilige TISAX®-Katalog vorsieht. Genau die jeweils entscheidenden Zertifizierungskriterien individuell zu ermitteln und den anschließenden Umsetzungsprozess auch bei kurzfristiger Timeline erfolgreich durchzuführen, gehört zur Kernkompetenz der ICS. „Wir haben mittlerweile nicht nur zahlreiche TISAX®-Projekte bis zum Label gebracht, sondern auch den effizientesten Weg dorthin ermittelt und gestaltet“, betont Andrian Dürr. Dabei reagiert die ICS flexibel auf die Anforderungen des Kunden. Wer viele der Zertifizierungsaufgaben intern erarbeiten möchte, ist ebenso willkommen wie ein Unternehmen, das den gesamten Prozess von den ICS-Spezialisten betreut und sogar noch einen externen Sicherheitsbeauftragten und die notwendige Mitarbeiterschulung gestellt wissen will.

Webinar mit viel Raum für Austausch

Bei der ICS Schweiz AG und der ICS GmbH mit Sitz in Deutschland ist viel praktisches Knowhow zur TISAX®-Zertifizierung vorhanden. Andrian Dürr teilt die Basics dieses Wissensschatzes am 30. Juni 2022 im einstündigen, kostenlosen TISAX® Grundlagen-Webinar mit allen innerhalb der DACH-Region, die das Zertifikat angeht. Kompakt wird er innerhalb von 30 Minuten das TISAX Label selbst, die Details der drei verschiedenen Zertifizierungskataloge und die Situationen, in denen sie anzuwenden sind, vorstellen. Teilnehmende können sich auf eine interaktive Runde freuen: Für Fragen und praktische Hinweise sind weitere 30 Webinar-Minuten vorgesehen. Insgesamt also – 60 wertvolle Minuten, die sich keiner entgehen lassen sollte, der mit der deutschen Automobilindustrie Geschäfte machen will.

TISAX® Grundlagen-Webinar

30. Juni 2022, 10:00 bis 11:00 Uhr

(Autor: Susanne Homolka, Fotos: ICS GmbH)

Berlin, 29.06.2022: Mit 35 Jahren ist Patric Birr noch jung und doch in Sachen Normenentwicklung fast schon ein alter Hase. Der Security-Fachmann entwickelte bereits den seit 2021 geltenden europäischen Standard für Cybersecurity für den Bahnsektor, die TS 50701, im hochkarätig besetzten Gremium der DKE (Deutsche Kommission Elektrotechnik Elektronik Informationstechnik) mit. Die DKE ist die einzige verantwortliche Stelle für elektrotechnische Normung und Vertretung deutscher Interessen auf internationaler Ebene. Ab Juni 2022 wird sie die global vielbeachtete neue europäische Bahnnorm für die weltweite Adaption mit verhandeln. ICS-Experte Patric Birr ist wieder mit dabei und freut sich riesig auf die neue Herausforderung.

Wie können Bahnbetreiber, Systemintegratoren und Hersteller Cybersecurity zuverlässig über den gesamten Lebenszyklus hinweg managen – quer durch Signalling, Rolling Stock und Fixed Installations, also alle drei Bereiche des Sektors? Für die europäische Bahnwelt gibt die TS 50701 seit 2021 die Leitlinien und Spezifikationen vor, mit denen sich Hackerangriffe auf diese wichtige Infrastruktur vermeiden lassen. „Im DKE-Gremium für Rail Security haben wir damit erstmals den Goldstandard für Cybersecurity, die internationale Norm IEC 62443 für die Industrieautomatisierung, mit europäischen Normierungspartnern auf das Bahnwesen adaptiert“, erklärt Patric Birr. Die Arbeit fand weltweit Beachtung und weckte von China bis Kanada Begehrlichkeiten. Konsequenterweise tagt daher ab dem 30. Juni 2022 ein weltweites Panel, um diese Cybersecurity-Norm auf internationale Ebene zu heben. Im deutschen DKE-Gremium bringt Patric Birr seine konzeptionelle und praktische Expertise mit ein. Schließlich ist die ICS GmbH – Think Safe Think ICS, bei der Patric Birr das Business Center Security leitet, seit Jahrzehnten im Bereich Rail mit Safety- und Security-Anwendungen als innovativer Partner aktiv.

Den Blick öffnen für weltweite Cybersecurity-Philosophien

„Der DKE-Arbeitskreis ist wirklich eine sehr interessante und fachlich hochkarätige Runde. Von den Herstellern bis zum Eisenbahnbundesamt (EBA) sitzen hier engagierte Vertreter aller Akteure am Tisch“, freut sich Patric Birr. Ihm ist der Spaß an dieser Gremiumsarbeit deutlich anzumerken. Der Kern der Norm-Entwicklung auf internationaler Ebene für den zukünftigen Rail-Standard wird sich u.a. auf die Definition von Rollen, Prozessen und Zuständigkeiten durch den gesamten Lifecycle fokussieren: Wer macht wann was, um größtmögliche Cybersecurity zu gewährleisten? „Es wird sehr spannend sein zu sehen, wie Cybersecurity bei den Bahnen an ganz anderen Orten der Welt gelebt wird und wie sich die Vorstellungen vernetzen lassen“, formuliert der 35-Jährige eine seiner persönlichen Erwartungen und zeigt sich offen für neue Erkenntnisse: „Gibt es Alternativen zum europäischen Ansatz, bei dem sich eine strikte Regulation und Innovation im Bahnwesen manchmal gegenseitig blockieren? Können Dynamik und Sicherheit besser gekoppelt werden? Es wird hoch interessant sein, was wir dazu von so unterschiedlich aufgestellten Ländern wie Indien, Japan oder China lernen und für uns abwägen können.“

Input und Zielsetzung sind definiert

Die internationalen Gremien werden sich acht bis zehn Mal im Jahr zu intensiven Diskussionen treffen. Grundlage der Arbeit ist die bereits bestehende TS 50701 und die Zielsetzung, sie realistisch so anzupassen, dass sich jedes beteiligte Land mit dem neuen Cybersecurity-Standard für ihre Bahnwelt identifizieren kann. Die ICS GmbH ist überzeugt, dass Patric Birr in diesem Prozess einen wichtigen Beitrag leisten kann und gratuliert herzlich zur Berufung in dieses wichtige Forum!

(Autor: Susanne Homolka, Fotos: ICS GmbH)

Stuttgart: Mit einem Aussteller- und Besucherrekord ging die diesjährige LogiMAT in Stuttgart zu Ende. Innovative Technologien waren überall präsent, so auch bei der ICS AG, die am Gemeinschaftsstand mit dem Industrieverband für Automatische Identifikation, Datenerfassung und Mobile Datenkommunikation (AIM Deutschland) erfolgreich Aufklärung in Sachen Industrial Security betrieb. Wichtigstes Thema war, wie Zulieferer der Automobilbranche das nötige TISAX Label erhalten.

„Wir möchten das Thema Informationssicherheit gerne positiv besetzen“, sagt Martin Zappe, Business Unit Manager Industrial Engineering bei der ICS AG, und fügt hinzu: „Viele verstehen das Thema nicht und haben durch die negative Berichterstattung und die Auflagen durch den Gesetzgeber Angst davor, sich damit auseinanderzusetzen.“ Dabei ist es vor allem für Zulieferer der Automobilbranche unerlässlich, die notwendigen Sicherheitsmaßnahmen für die TISAX-Prüfung einzuführen. Denn ohne das Label werden die Unternehmen in Zukunft keine Aufträge mehr erhalten.

TISAX-Label ersetzt Mehrfachprüfungen in der Automobilbranche

Um das TISAX-Label zu erhalten, müssen Unternehmen nachweisen, dass ihr Informationssicherheitsmanagement den Anforderungen des VDA Information Security Assessments (VDA ISA) entspricht. Mit einer Registrierung auf der Austauschplattform ENX können TISAX geprüfte Unternehmen ihre Daten dann für potentielle Auftraggeber freigeben. Damit entfallen Mehrfachprüfungen, wie sie bislang in der Branche der Fall waren. Der VDA ISA fußt auf den Vorgaben für eine Zertifizierung nach ISO/IEC 27001. Dabei gibt es einen wesentlichen Unterschied bei der TISAX-Prüfung, wie Martin Zappe erläutert: „Mit einem klassischen Qualitätsmanagementaudit hat das wenig zu tun. Bei TISAX gibt es nämlich keine Nebenabweichungen und keinen Raum für Argumentation. Wenn der Prüfer feststellt, dass ein Punkt im VDA ISA Fragenkatalog nicht zu 100% erfüllt wurde, ist das Unternehmen durchgefallen.“

Mit wenig Aufwand nachhaltig viel Informationssicherheit erreichen

„Das alles klingt schrecklich kompliziert, vor allem für Unternehmer, deren Kerngeschäft fern von IT und Informationssicherheit liegt“, weiß Martin Zappe. „Die gute Nachricht, die wir auf der Messe vermitteln konnten, ist: Sicherheit lässt sich darstellen und man kann mit wenig Aufwand viel erreichen. Auch die Kosten sind meist geringer, als die meisten Unternehmen befürchten.“ Martin Zappe und seine Kollegen der ICS AG sind nach ISO 27001 personenzertifiziert, zertifizierte Fachkräfte für Datenschutz und haben langjährige Erfahrung im Bereich Informationssicherheit. Die Sicherheitsexperten aus Stuttgart beraten Zulieferer für die Automobilbranche in Sachen TISAX und führen sie erfolgreich zum Nachweis.

Next Level ICS: Im Gespräch mit Michael Hils

Den neuen Geschäftsführer besser kennen lernen

Stuttgart 20.01.2022: Seit 01. Januar lenkt der neue Geschäftsführer Michael Hils die Geschäfte der ICS-Gruppe. Sein Vorgänger, der bisherige geschäftsführende Gesellschafter Cid Kiefer, wechselte in den Beirat des IT-Unternehmens und wird sich in dieser Position auch zukünftig der strategischen Weiterentwicklung der ICS als Safety- und Security-Spezialist widmen. Was sind die Ziele und Visionen von Michael Hils? Der 42-Jährige war zuletzt Global Head of Sales, Service & Production – Machines & Services bei einem renommierten Unternehmen aus Aalen und freut sich auf die Aufgabe, die ICS auf den „nächsten Level“ zu bringen.

Was das heißt, verrät Michael Hils im Interview.

Wie war Ihr Einstieg bei der ICS?

Schlicht – sehr begeisternd, und zwar von Beginn an. An meinem zweiten Arbeitstag befragte ich den ausscheidenden Geschäftsführer und zukünftigen Beirat Cid Kiefer, wo er die ICS unter meiner Leitung in drei, vier Jahren gern vorfinden würde. Seine Antwort: „Bringen Sie unser Unternehmen auf den nächsten Level.“ Punkt. Für jemanden wie mich, der immer positiv und zielorientiert nach vorn blickt, mit Vorliebe definiert und konkret gestaltet, den Spielraum zu nutzen weiß, hätte der Startschuss nicht besser ausfallen können. Und das gilt auch für die Zusammenarbeit mit den ICS-Kolleginnen und -Kollegen. Von der Führungsebene bis zu den jungen, dynamischen operativen Teams treffe ich hier auf engagierte Expertinnen und Experten und eine sehr herzliche, familiäre Atmosphäre. Diese tolle Unternehmenskultur werden wir mit agiler Organisation künftig weiter fördern und ausbauen.

Welche Bereiche sehen Sie als die „Next Level“-Themen der ICS?

Alles, was wir in den vergangenen Jahrzehnten bei IT-/OT-Sicherheit für Branchen wie Industrial Engineering, Information Security und Mobility getan haben, entwickeln wir konsequent weiter. Das Zukunftsthema für wirklich jede digitalisierte und vernetzte Einrichtung wird jetzt und in Zukunft das Thema Cyber Security sein. Hier werden wir führend Lösungen anbieten können, bis hin zu sicherem und effektivem Einsatz von Cloud Landscapes und entsprechenden innovativen Software-Tools.

Der Digitalisierungsgrad, inklusive der dazugehörigen Safety- und Security-Prozesse, ist in verschiedenen Sektoren unterschiedlich gut entwickelt. In welchen Branchen sehen Sie Nachholbedarf und welche können von ICS-Lösungen profitieren?

Wir sehen hier drei wesentliche Bereiche:

• Das Gesundheitswesen – von Kliniken über Medizintechnik-Unternehmen bis hin zur Dentalbranche – benötigt jetzt schnell optimale Maßnahmen, um ihre sensiblen Daten effektiv zu managen.

• Auch bei kleinen und mittleren Unternehmen des Maschinen- und Anlagenbaus ist der Bedarf enorm hoch.

• Gleiches gilt für Energieversorger, Stadtwerke und Kommunen, die ihre kritische Infrastruktur auf digitaler Ebene zügig besser schützen wollen und müssen.

Sie alle finden bei der ICS die individuelle Beratung und passgenau konzipierten Lösungen, mit denen sie ihre Digitalisierungsziele jetzt rasch erreichen.

Abschließend spielen wir Ihnen, Ihre Frage vom Anfang zurück:

Wie wollen Sie die ICS in drei, vier Jahren vorfinden?

Das ist ganz einfach zu beantworten, denn das visionäre Bild dazu fand ich bei meinem ersten Besuch am Stuttgarter Firmensitz auf der Straße stehend: Rund um das substanzielle Gründerzeit-Firmengebäude der ICS war kurz davor eine neue, von einem Künstler gestaltete Zaunanlage installiert worden. Die Metallstäbe werden gekrönt von allerlei unterschiedlichen fantastischen und tierischen Gestalten. Unter den durchweg anthrazitfarbenen Figuren sticht exakt eine hervor – die einzige Goldene. Es ist faszinierend zu beobachten, wie vorübereilende Passanten vor ihr stehen bleiben.

Genau darauf arbeiten wir bei der ICS hin: Unter Gleichen herauszustechen und als die besonders erfreuliche Andere wahrgenommen zu werden – von Kundinnen und Kunden, von unseren bestehenden und zukünftigen Kolleginnen und Kollegen!

ICS-Vorgehensmodell für die IT-Sicherheits-Risikoanalyse im Bahnumfeld: TÜV-geprüft und für gut befunden

Stuttgart, 10.05.2019

Ein ganzheitliches Vorgehensmodell für die Risikoanalyse im Bahnumfeld hat die Begutachtung durch den TÜV Rheinland mit Bravour bestanden. Patric Birr, RAMS Engineer und Head of Competence Center Security bei der ICS AG, entwickelte das ICS-Vorgehensmodell auf Basis der Normenreihe IEC 62443 bereits 2016.

Mit dem Begutachtungsergebnis durch den TÜV Rheinland hat das ICS-Vorgehensmodell jetzt offiziell alle Vorgaben erfüllt, die der Gesetzgeber an ein dem Stand der Technik entsprechendes Security Risk Assessment im Bahnumfeld stellt. Damit wird bestätigt, dass das Vorgehen den relevanten Standards und Vorgaben entspricht. Es kann ab jetzt als integraler Bestandteil von Sicherheitsbetrachtungen in der Domäne Bahn angewendet werden sowohl in der Systementwicklung als auch in späteren Lebenszyklus-Phasen.

„Wir sind stolz auf das positive Begutachtungsergebnis und profitieren jetzt davon, dass wir uns frühzeitig auf die wachsende Bedeutung der IT-Sicherheit im Bahnumfeld vorbereitet haben“, freut sich Birr. Der RAMS Ingenieur mit Schwerpunkt Security hatte Anfang 2017 in einem Vortrag vor Mitgliedern des Verbands der Bahnindustrie in Deutschland e.V. (VDB) sein Modell vorgestellt, das zu diesem Zeitpunkt bereits in einem Entwicklungsprojekt der Deutschen Bahn (DB) im Einsatz war. Dies erregte die Aufmerksamkeit des TÜV Rheinland, der schon kurz darauf mit der Begutachtung im Rahmen des Projektes DiB beauftragt wurde. Zum Abschluss dieser Begutachtung wurde im März dieses Jahres die IT-Sicherheits-Risikoanalyse für das im Projekt DiB entwickelte System durch den TÜV Rheinland erfolgreich zertifiziert.

Kontinuierliche und gesetzeskonforme Sicherheit für die Bahn

Die auf funktionale Sicherheit (Safety) ausgelegten, geschlossenen Systeme der Bahn werden durch die fortschreitende Digitalisierung geöffnet, womit sie anfällig werden für Cyber-Attacken. Das IT-Sicherheitsgesetz verpflichtet Betreiber Kritischer Infrastrukturen (KRITIS) dazu, ihre Informationssicherheit regelmäßig auf den Prüfstand zu stellen, dies betrifft auch die Bahnbranche.

Die einschlägigen Normen, Prozesse und Nachweisführungen stellen den Schutz der Verfügbarkeit sowie die Systemintegrität zur Wahrung der funktionalen Sicherheit in den Mittelpunkt. Um den gesetzlichen Anforderungen zur Konformität mit dem Stand der Technik nachzukommen, erweitert Birrs Modell, das in der Vornorm DIN VDE V 0831-104 beschriebene Vorgehen zur Anwendung der IEC 62443 im Bahnumfeld um eine mehrstufige, qualitative Risikobetrachtung. Dabei werden - unter Anwendung bewährter Ansätze über Bottom-Up und Top-Down Analysetechniken - schrittweise die vorhandenen Schutzmechanismen überprüft und bei Bedarf ergänzt.

TISAX Webinar: Daten schützen und Aufträge sichern

Die Automobilbranche spricht darüber, ICS hat die Antworten: TISAX, das Label, mit dem Zulieferer nachweisen müssen, dass sie ihre Informationen und Daten ausreichend schützen. In einem Webinar, das die DEKRA zusammen mit der Information Consulting System AG (ICS AG) durchführt, werden Hintergründe erläutert und Fragen beantwortet.

Am Montag, den 20. Mai 2019 bieten ICS AG und DEKRA von 10:00 bis 11:00 Uhr ein Webinar an, in dem der zertifizierte Sicherheitsexperte Martin Tege von der ICS AG über das Prüfverfahren TISAX (Trusted Information Security Assessment Exchange) informiert und Antwort auf die dringendsten Fragen gibt. Darin wird unter anderem erläutert, wen es betrifft, welche Vorteile das Label bietet, was der Fragenkatalog enthält und welche Rolle die internationale Sicherheitsnorm ISO/IEC 27001 dabei spielt.

Mal schnell eine Tüte TISAX kaufen reicht nicht

Das TISAX-Label wurde 2016 vom VDA ins Leben gerufen, um eine Einheitlichkeit in der Informationssicherheit zu gewährleisten und um aufwendige und kostspielige Mehrfachprüfungen durch die Auftraggeber zu vermeiden. Unternehmen müssen nachweisen, dass ihr Informationssicherheitsmanagement den Anforderungen des VDA Information Security Assessments (VDA ISA) entspricht. Der VDA hat sich dabei eng an die Vorgaben der international anerkannten Sicherheitsnorm ISO/IEC 27001 gehalten, welche die Basis für die Einführung eines Informationssicherheits-Managementsystems (ISMS) bildet. „Das muss allerdings gelebt werden“, weiß Martin Tege, zertifizierter Informationssicherheits-Experte und TISAX-Sachverständiger bei der ICS AG. „Eine Tüte TISAX kaufen reicht nicht. Es geht hierbei um ein nachhaltig im Unternehmen integriertes Managementsystem, das sicherstellt, dass der Daten- und Informationsschutz jederzeit greift.“

Enge Zusammenarbeit ist der Gewinn für TISAX-pflichtige Unternehmen

Die Zusammenarbeit zwischen der DEKRA und der ICS AG ist für Unternehmen in der Lieferkette der Automobilbranche ein enormer Zugewinn, da hier der TISAX-Zertifizierer mit dem Berater eine enge Partnerschaft eingegangen ist. „Wir freuen uns sehr über die solide und produktive Zusammenarbeit mit der DEKRA. Davon können die von TISAX betroffenen Unternehmen nur profitieren“, sagt Martin Tege.

Die Sicherheitsexperten der ICS AG unterstützen Unternehmen bei der Analyse und Beratung zum Stand der geforderten Informationssicherheit. Dabei werden mögliche Schwachstellen aufgedeckt und praktische Unterstützung bei der Implementierung von wirkungsvollen Schutzmechanismen geleistet, Grundlage für das Erlangen des TISAX-Nachweises. Alle Berater sind nach ISO 27001 personenzertifiziert, zertifizierte Fachkräfte für Datenschutz und haben langjährige Erfahrung im Bereich Informationssicherheit.

Das Webinar TISAX für Automobilzulieferer findet statt

     am: Montag, 20. Mai 2019      von: 10:00 – 11:00 Uhr

Inhalt des Webinars:

• TISAX – Was ist darunter zu verstehen?
• Was ist die ENX-Association?
• Welche Hersteller fordern TISAX und warum?
• Wer kann davon betroffen sein?
• TISAX – die Hauptvorteile
• TISAX – Bewertungsziele (Assessment Level, Zusatzkataloge)
• VDA Self-Assessment Fragenkatalog
• Warum ist ein ISMS bei TISAX so wichtig?
• Wie lange dauert ein TISAX Assessment?
• 50% staatliche Förderung bei Umsetzung von Informationssicherheit und TISAX durch Förderprogramm „go-digital “

Kontakt: Martin Tege Sonnenbergstr. 13 70184 Stuttgart

T: +49 711 21037-36 M +49 172 7280 484 martin.tege(at)ics-ag.de

Zulieferer in der Automobilindustrie für TISAX® fit machen

Neupart GmbH und ICS AG gehen Kooperation ein

Stuttgart und Ratingen, 30.01.2019: Zulieferer in der Automobilindustrie, die sich für das TISAX®-Label fit machen müssen, erhalten dank einer strategischen Partnerschaft zwischen der ICS AG und der Neupart GmbH ab sofort handfeste Unterstützung. Die ICS AG berät bis zum Erreichen des TISAX®-Nachweises, Neupart liefert dazu mit Secure ISMS das maßgeschneiderte Management-Tool.

Viele Zulieferer in der Automobilindustrie haben kein oder ein unzureichendes Informationssicherheit-Managementsystem (ISMS), um die Vorgaben für den TISAX®-Nachweis zu erfüllen. Michael Kirsch, Leiter der Geschäftsfeldentwicklung bei der ICS AG weiß: „Oft schaffen es die Unternehmen nicht aus eigener Kraft, die Prüffähigkeit zu erreichen. Dank unserer Kooperation mit der Neupart GmbH führen wir die Unternehmen jetzt bis zur Prüfreife und bieten gleichzeitig das passende Management-Tool an.“

Sicher und effizient zu nachhaltig gelebter TISAX®-Reife

Mit Secure ISMS für TISAX® stellen beide Partner weltweit zum ersten Mal ein Tool zur Verfügung, das es ermöglicht, den Workflow und das Management gemäß den TISAX-Vorgaben effizient umzusetzen und zu leben. Karl Otte, Seniorberater Informationssicherheit & Datenschutz bei der Neupart GmbH, erläutert: „Gemeinsam mit den Experten der ICS AG haben wir in Secure ISMS die Anforderungen für TISAX® eingepflegt. Das Modul enthält jetzt alle nötigen Normenkapitel des Labels, wobei die allgemeinen Bereiche sowie die gesetzlichen Vorgaben zur Informa¬tionssicherheit und des Datenschutzes bereits vorbereitet sind.“ Esben Mogensen, Sales Manager bei Neupart GmbH, fügt hinzu: „Und das Beste daran: Wenn unterschiedliche Normen und Labels mit dem Neupart Tool verwaltet werden, brauchen bereits vorhandene Dokumente nur einmal gepflegt werden.“

Kirsch, der 2017 mit der ICS AG die Zertifizierung nach ISO 27001 durchlaufen hat, weiß die Vorzüge eines maßgeschneiderten Management-Tools zu schätzen: „Wir haben Secure ISMS selbst im Einsatz und erleben täglich, welchen Mehrwert uns das Tool bringt. Mit der Partnerschaft bieten wir unseren Kunden, die wir zur TISAX®-Reife führen, jetzt auch diesen Mehrwert.“

Partnerschaft für kalkulierbaren Einstieg und Revisionssicherheit

Die ICS AG berät und unterstützt Unternehmen bei der Analyse zum Stand ihrer Informationssicherheit und ihres Datenschutzes. Außerdem begleitet sie auf dem Weg zu einem nachhaltigen ISMS, wenn gewünscht bis zur Zertifizierung nach ISO 27001. Mit ihren Beratungs-produkten DigiS und DigiS+ bieten die Sicherheitsexperten kalkulierbare Unterstützung und Beratung, die über das Förderprogramm go-digital des Bundesministeriums für Wirtschaft und Energie (BMWi) förderfähig ist.

Keine Revisionssicherheit ohne nachhaltiges ISMS

Secure ISMS von Neupart GmbH ist ein Komplettpaket, mit dem die Arbeitsabläufe und Vorgaben zu Informationssicherheit und Datenschutz nachhaltig und umfassend verwaltet werden können. TISAX ist ein Prüf- und Austauschverfahren, das auf dem standardisierten VDA ISA Fragenkatalog basiert, der wiederum eng an die international anerkannte Sicherheitsnorm ISO/IEC 27001 angelehnt ist. Die ISO 27001 beschreibt die Anforderungen an ein ISMS, welches die Basis für gelebte und nachhaltige Informationssicherheit sowie Datenschutz bildet. Das TISAX®-Label muss alle drei Jahre erneuert werden. Grundlage für eine erfolgreiche Neuprüfung ist ein effektives und nachvollziehbares Managementsystem.

Secure ISMS für TISAX® von Neupart GmbH kann mit dem Beratungspaket DigiS+ der ICS AG als Software as a Service (SaaS) abonniert oder lokal auf einem Unternehmensserver installiert werden.

Informationssicherheit für Zulieferer: Wie sich KMU Aufträge sichern

Expertenvortrag im VDB Arbeitskreis Mittelstand

Stuttgart, 18. Juni 2018: KRITIS-Verordnung, DSGVO, IT-Grundschutz… Muss ein kleiner Zulieferer diese Gesetze wirklich alle kennen? Und warum sollte er sich damit auseinander-setzen müssen? Antwort darauf gab Michael Kirsch von der ICS AG in seinem Vortrag, der 61. Sitzung des VDB, AK Mittelstand am 13. Juni 2018.

Darin erläuterte er den Zusammenhang zwischen Informationssicherheit, Datenschutz, KRITIS-Verordnung und vollen Auftragsbüchern in der Zuliefererbranche. Denn die Betreiber kritischer Infrastrukturen müssen die Compliance mit den gesetzlichen Vorgaben nachweisen. Das können sie aber nur lückenlos, wenn auch die Hersteller ihrer Komponenten entsprechende Garantien bringen.

Daran wird sich in Zukunft messen, welcher Zulieferer seine vollen Auftragsbücher behalten wird und wer in Sachen Informationssicherheit nacharbeiten muss. Hier empfiehlt Michael Kirsch die Einführung eines ISMS nach der ISO/IEC 27001. Es definiert Regeln und Methoden, um die Informationssicherheit in einem Unternehmen zu gewährleisten. Eckpfeiler eines ISMS ist eine lücken-lose Dokumentation der eingeführten Maßnahmen und Prozesse.

Aus dem Nähkästchen geplaudert: Was bringt eine Zertifizierung?

Wer diesen Schritt noch scheut, kann den Vortragenden selbst fragen. „Wir haben die Zertifizierung vor kurzem selbst durchlaufen und profitieren jetzt schon davon“, berichtet Kirsch. Entsprechende Nachfragen hat die ICS AG schon mehrfach erhalten. Kirsch: „Dass wir ein ISMS eingeführt haben, macht es uns einfach, unseren Kunden zu beweisen, wie sicher unsere IT ist und wie ernst wir den Datenschutz nehmen.“

Die ICS AG bietet tatkräftige Unterstützung an. Das Stuttgarter Consulting-Unternehmen hat mit DigiS ein Verfahren entwickelt, mit dem es eine effiziente Bestandsaufnahme der IT- und Informationssicherheit in Unternehmen durchführen kann. Das Verfahren kann an jedes Unternehmen individuell angepasst werden und nimmt nur ungefähr eine Woche in Anspruch.

DigiS gibt es zum Festpreis von 3.300 Euro, der über das Förderprogramm go-digital des Bundesministeriums für Wirtschaft und Energie (BMWi) auch noch förderungsfähig ist. Die ICS AG ist BMWi-autorisiertes Beratungsunternehmen im Förderprogramm go-digital (Schwerpunkt Modul IT-Sicherheit) und akkreditierter Fachberater für Informations- und IT-Sicherheit bei der bwCon.

Den Vortrag mit dem Titel „KMUs im Focus von Informationssicherheit und Datenschutz – Informationssicherheit und Datenschutz als Voraussetzung für die Zuliefererindustrie“ hielt Michael Kirsch, Leiter der Geschäftsfeldentwicklung bei der ICS AG, auf der 61. Sitzung des AK Mittelstand im Verband der Bahnindustrie bei TransTec F&E Vetschau GmbH Fabrication & Engineering in 03226 Vetschau.

"Digitalisierung funktioniert nur mit ganzheitlicher Datensicherheit!"

Mit Volldampf in die Digitalisierung - Die Bahnindustrie sicher in die Zukunft begleiten

Interview mit Andreas Langer, Key Account Manager der BU Transportation bei der ICS AG Herr Langer, Sie sind Key Account Manager für den Bahnbereich bei der ICS AG in Stuttgart. Was schätzen Sie an Ihrem Job? Der Eisenbahnbereich ist sehr spannend. In den kommenden Jahren werden sich durch die Digitalisierung viele Dinge verändern. Daran teilzuhaben finde ich sehr reizvoll. In welche Richtung wird die Digitalisierung Ihrer Meinung nach gehen? Die Bahn hat einen ganzen Bauchladen voller Digitalisierungsprojekte. Zurzeit rüstet sie zum Beispiel ihre Alttechnik, also Stellwerke aus sehr unterschiedlichen Technikepochen, in DSTWs (Digitale Stellwerke) um. Solche Entwicklungen, weg von den vielen unterschiedlichen proprietären Systemen, sind gut, weil sie die Systemlandschaft vereinheitlichen, damit auch die Bedienung erleichtern, weniger störanfällig und leichter wartbar sind. Die Digitalisierungsbestrebungen der Bahn sind nach der Einführung des W-Lan für Fahrgäste der Deutschen Bahn in die Kritik geraten, da es große Sicherheitslücken gab. Wie sehen Sie die Gefahr eines Angriffs von außen, wenn die Digitalisierung auf breiter Front vorangetrieben wird? Die Gefahr steigt sicher. Und leider steht die Security (Datensicherheit) bei der Digitalisierung nicht immer an oberster Stelle. Nehmen wir das Beispiel Predictive Maintenance. Das ist eine tolle Sache, da man mittels Datenüberwachung der Züge und der Infrastruktur die Wartungszyklen optimieren kann. Die Systeme und Fahrzeuge werden nur dann repariert oder Instandgesetzt, wenn es tatsächlich notwendig ist. Doch dazu brauche ich mehrere vernetzte Systeme, was wiederum die Gefahr für Angriffe erhöht. Was könnte denn da passieren? Wenn ich das System hacke und die Daten manipuliere, kann ich beispielsweise alle Züge gleichzeitig in die Wartung schicken. Denkbar wäre auch, die Daten so zu verändern, dass keine Wartung durchgeführt wird und die Systeme dadurch ausfallen. Dies sind keine abwegigen Szenarien. Der dadurch entstehende Schaden wäre immens. Und wie sieht das konkret aus? Das Gesetz macht keine speziellen technischen Vorgaben. Praktisch wird nach Prozessen und Produkten unterschieden. Für die Datensicherheit innerhalb des Unternehmens, also die Prozesse, hat sich aber mittlerweile eine Zertifizierung nach der Norm ISO/IEC 27001 etabliert. Für die Produktentwicklung ist das die Zertifizierung nach der Normenreihe IEC 62443. Und welche Rolle spielt die ICS AG dabei? Wir haben schon früh erkannt, dass die Digitalisierung nur mit ganzheitlicher Datensicherheit funktionieren kann. Seit mehr als 50 Jahren haben wir uns darum in den Bereichen Industrial Engineering und funktionaler Sicherheit spezialisiert. Wir unterstützen Unternehmen bei Compliance, Datenschutz, Prozessen und technischer Sicherheit.

ICS AG beurkundet mit 27001-Zertifizierung ihren Sicherheitsstandard

Stuttgart, 19.04.2018:  Die ICS AG hat allen Grund zu feiern: Das Stuttgarter IT-Engineering und Consulting-Unternehmen hat die Zertifizierung nach dem international anerkannten Sicherheitsstandard ISO/IEC 27001 erhalten.

Für das mittelständische Unternehmen, das selbst seit über 50 Jahren in der Sicherheitsberatung tätig ist, war die Zertifizierung ein logischer Schritt. Denn die ICS-Experten beraten Kleine und mittelständische Unternehmen (KMU) in der Umsetzung eines Informationssicherheits-Managementsystems (ISMS). Die Einführung eines ISMS ist der Kern der ISO 27001 und gleichzeitig Teil der Compliance mit der neuen Datenschutzgrundverordnung (EU-DSGVO).

Informationssicherheit ist eine Selbstverständlichkeit

„Ein funktionierendes ISMS ist das A und O, um den heutigen Ansprüchen nach Informationssicherheit gerecht zu werden“, sagt Cid Kiefer, Vorstand der ICS AG. „Für uns war es schon immer selbstverständlich sowohl mit internen als auch mit den Daten unserer Kunden absolut vertraulich umzugehen. Durch die Zertifizierung wurde unser Selbstverständnis sozusagen offiziell.“

Die Norm ISO 27001 beschreibt, wie Informationssicherheit in einem Unternehmen individuell umgesetzt werden kann. Dazu dient das ISMS, welches die entsprechenden Regeln und Methoden u.a. auf Grundlage einer Risikobewertung der Unternehmenswerte definiert. Eckpfeiler eines ISMS ist eine lückenlose Dokumentation der eingeführten Maßnahmen und Prozesse.

Die ICS AG ist als IT-Beratungs- und Engineering-Unternehmen mit Spezialisierungen in den Geschäftsfeldern Industrial Engineering und Transportation tätig. In den Bereichen Funktionale Sicherheit, Security & Safety sowie KRITIS sorgt die ICS AG für intelligente und sichere Prozesse in komplexen Umgebungen.

Wie die Zertifizierung bei der ICS AG ablief, welche Überraschungen es gab und wie es ist, wenn der Auditor selbst geprüft wird, können Sie in einer separaten Homestory lesen.

Wer hat Angst vorm Auditor?

Wie ein mittelständisches Unternehmen die ISO 27001-Zertifizierung erlebte

Stuttgart, 19.04.2018:  Sie ist in aller Munde, die Norm ISO/IEC 27001, kurz ISO 27001 genannt. Betreiber kritischer Infrastrukturen lassen sich danach zertifizieren, um vor dem Gesetz ihre Compliance zu beweisen. Warum aber lässt sich ein kleines mittelständisches Unternehmen aus Stuttgart zertifizieren? Und welche Erfahrungen hat es dabei gemacht? Die ICS AG aus Stuttgart ist den Schritt gegangen. Drei beteiligte Mitarbeiter teilen ihre Erfahrungen. Die ICS AG hat allen Grund zu feiern: Das Stuttgarter IT-Engineering und Consulting-Unternehmen hat die Zertifizierung nach dem international anerkannten Sicherheitsstandard ISO 27001 erhalten. Für das mittelständische Unternehmen, das selbst seit über 50 Jahren in der Sicherheitsberatung tätig ist, haben unternehmenspolitische Erwägungen zu der Entscheidung geführt. Der Informationssicherheitsaspekt gewinnt durch das IT-Sicherheitsgesetz und verschärfte Vorschriften wie die Datenschutzgrundverordnung (DSGVO) zunehmend an Gewicht. Sie zwingen nicht nur global agierende Firmen und Betreiber kritischer Infrastrukturen zum Handeln sondern auch deren Zulieferer und Dienstleister. Rainer Gerhäuser, kaufmännischer Leiter und Beauftragter für das Qualitätsmanagement bei der ICS AG, sagt: „Mit einer Zertifizierung nach der ISO 27001 beweisen wir unseren Geschäftspartnern gegenüber, dass wir mit dem, was wir innerhalb des Unternehmens tun, nachweislich sicher umgehen.“

Für das ISMS werden die Kernkompetenzen in den Fokus gestellt

Die ISO 27001 stellt die Einführung eines Informationssicherheits-Managementsystems (ISMS) in den Mittelpunkt. Es definiert Regeln und Methoden, um die Informationssicherheit in einem Unternehmen zu gewährleisten. Um überhaupt definieren zu können, welche Maßnahmen im jeweiligen Unternehmen ergriffen werden müssen, wird zunächst der Geltungsbereich definiert.

„Das Unternehmen muss klar seine Kernkompetenzen in den Fokus stellen und nicht Prozesse, die notwendigerweise sowieso getan werden müssen, wie beispielsweise die Buchhaltung“, rät Gerhäuser. „Der Fokus muss sein: Womit agieren wir am Markt?“ Nach Meinung von Andrian Dürr, IT-Sicherheitsberater bei der ICS AG, schafft dies auch erst Glaubwürdigkeit. „Der Geltungsbereich wird auf dem Zertifikat eingetragen. Und da das Zertifikat öffentlich einsehbar ist, stellt der Geltungsbereich nicht nur für die Zertifizierung einen wichtigen Teil dar. Er schafft auch Glaubwürdigkeit gegenüber unseren Geschäftspartnern.“

Zieldefinitionen sichern die Qualität der Maßnahmen

Ein weiterer Schritt zur Vorbereitung auf die Zertifizierung ist die Bestimmung der Informationssicherheitsziele. Dabei geht es um die Qualität der Sicherheitsmaßnahmen sowie deren Anwendbarkeit und Wirkung. Dürr erläutert: „Man definiert verschiedene Messgrößen anhand derer ich ablesen kann, ob das ISMS, das ich aufgesetzt habe, überhaupt funktioniert. Die Norm macht dazu zwar keine Vorgaben, sie stellt aber gewisse Qualitätsanforderungen an die KPIs (Key Performance Indicators). Wir können also relativ frei definieren, welche KPIs wir ansetzen wollen. Sie müssen für den Prüfer nur sinnvoll und nachvollziehbar sein.“

Keine Angst vor Daumenschrauben: ISO 27001 berücksichtigt Individualität

Die ISO 27001 hat den großen Vorteil, dass sie sich an die Organisation und Struktur der einzelnen Unternehmen anpasst. Gerhäuser bemerkt: „Es ist ganz wichtig zu verstehen, dass die Norm nicht etwas sein soll, was das Unternehmen in seinem Tun begrenzt. Man sollte immer erst analysieren, wie das Unternehmen agiert. Man muss sich fragen: Wie passt die Norm tatsächlich auf das Unternehmen? Was ist der Mehrwert davon?“ Für Michael Kirsch, Leiter der Geschäftsfeldentwicklung bei der ICS AG, ist die ISO 27001 wie ein Rezept zu verstehen: „Die Norm bietet alle Zutaten, um die Informationssicherheit in einem Unternehmen zu überprüfen. Wenn alles stimmt, kann auch nichts mehr schief gehen“, weiß er.

Jede Firma kann Bereiche ausschließen, die für sie nicht von Belang sind. Das geht allerdings nur mit einer schlüssigen Begründung. Ursprünglich hatte die ICS AG das Sicherheitsmanagement der Lieferantenbeziehungen ausgeklammert, weil sie der Meinung war, dass dieser Bereich für eine Beratungsfirma nicht zutrifft. Doch als der Auditor vor Ort den Mitarbeiter eines Paketdienstes unbegleitet im Firmensitz antraf, war er wenig begeistert. Sein Einwurf war: Wie wird sichergestellt, dass der Lieferant nicht an Informationen kommt, an die er eigentlich nicht kommen darf? „Da war für uns klar, dass wir diesen Bereich doch betrachten müssen“, gesteht Gerhäuser.  

>> Der Homestory-Text ist leider zu lang für die Inddux-Plattform, bitte lesen Sie die Geschichte auf unserer Website weiter.

Es folgen noch die Abschnitte:

• Hauptabweichung, Nebenabweichung, Empfehlung? Nacharbeitung ist Pflicht
• Und täglich grüßt das Murmeltier: jährliche Überwachungsaudits zur Qualitätskontrolle
• Augen auf bei der Beraterwahl: Falsche Prognosen führen zu Mehraufwand
• Sensibilisierung der Mitarbeiter ist der beste Hacker-Schutz
• Zertifikat mit Außenwirkung liefert klare Wettbewerbsvorteile

>> ics-ag.de / presse

Erfolgreich ISO 27001-Zertifizierung durchlaufen!

Dank des Einsatzes unseres engagierten Teams, das in den letzten Monaten sämtliche Prozessecken und -winkel des Unternehmens betrachtet und durchleuchtet hat, haben wir die Zertifizierung nach ISO/IEC 27001 erhalten!

Für uns ist der vertrauliche und sichere Umgang mit unseren Daten sowie den Daten unserer Kunden ohnehin selbstverständlich. Nun wurden der sichere Umgang damit und unsere funktionierenden Prozesse zur Risikominimierung auch offiziell bestätigt.

Der Vorstand bedankt sich bei den beteiligten Mitarbeitern für ihren engagierten Einsatz.

Alle Beteiligten sind kommende Woche auf der Hannover Messe und freuen sich auf regen Erfahrungsaustausch!

Bahnbranche muss Security bei der Entwicklung integrieren

ICS AG wirbt für mehr Sicherheit auf Gutachter-Tagung

Stuttgart, 19.02.2018:  Die 20. Fachtagung der Eisenbahn-Sachverständigen befasst sich dieses Jahr mit dem Thema Interaktion zwischen Fahrzeug und Fahrweg. Die Experten diskutieren die damit verbundenen Herausforderungen. Doch nach Meinung eines Stuttgarter Unternehmens kommt dabei ein wichtiger Punkt immer noch zu kurz: SECURITY. Die Gewährleistung der funktionalen Sicherheit (Safety) ist eines der wichtigsten Kriterien bei der Entwicklung neuer Systeme und Komponenten der Bahnindustrie. Auf der Gutachter-Tagung im Februar spielt Safety auch eine große Rolle. Ebenso wie die Digitalisierung. Sie verspricht mehr Flexibilität und geringere Kosten. Die Vorteile gehen allerdings zu Lasten der traditionell geschlossenen Systeme mit absoluter Kontrolle, so die Sicherheitsexperten der ICS AG. 

Digitalisierung von Anfang an sicher entwickeln

Digitalisierung kann nur sicher umgesetzt werden, wenn die Informationssicherheit (Security) schon bei der Entwicklung von Leit- und Sicherungstechnik oder Fahrzeugen mit einbezogen wird. Das Thema muss auch die Zulassungsstellen interessieren, so die Experten der ICS AG. Noch ist fraglich, wie viel das Eisenbahn-Bundesamt (EBA) über Security wissen muss, um sichere Züge zulassen zu können.

IT-Sicherheitsgesetz fordert Security von der Bahn

Die Bahnindustrie fällt unter das IT-Sicherheitsgesetz des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Solange die Security nicht in die Systeme und Züge integriert ist, kommt die Bahn den gesetzlichen Anforderungen nicht nach. Außerdem tickt die Uhr: Bis Anfang 2019 muss die Transportbranche die Vorgaben des Gesetzes umgesetzt haben.

Treffen Sie die Sicherheitsexperten der ICS AG

Die ICS AG bietet Software-Entwicklung im Fahrzeug-Bereich sowie in der Leit- und Sicherungstechnik an. Sie entwickelt seit über 50 Jahren sichere Lösungen für Türsteuerung, Sicherungsausstattung, ETCS, Bordgeräte und mehr. Seit 20 Jahren ist sie regelmäßig auf der Tagung der Eisenbahn-Sachverständigen präsent.

Die Spezialisten der ICS AG sind während der Vortragspausen jederzeit ansprechbar und gerne für Sie da. Die 20. Fachtagung der Eisenbahn-Sachverständigen findet statt am 20. und 21. Februar in Fulda.

„Challenges in Safety and Security for Industrial Automation Systems“

Vortrag Martin Zappe auf der ROS-Industrial am 13.12.2017

Vom 12. bis 14. Dezember findet die Fachtagung für Robot Operation Systems - kurz ROS-Industrial - statt. Wir freuen uns sehr, am Vortragsprogramm rund um Industrie 4.0 mitwirken zu können.

Am Mittwoch, 13. Dezember setzt sich ICS-Experte Martin Zappe in seinem Vortrag "Challenges in Safety and Security for Industrial Automation Systems" unter anderem mit der Unterscheidung und dem Zusammenspiel von Safety und Security, sowie der Bedeutung und Tragweite der IEC 62443 auseinander.

Abstract: (Tagungssprache ist Englisch)

"In April 2016 the BSI (Federal Office for Information Security) released a study about the security status of OPC UA protocol. The performed analyzes showed, that OPC UA offers a good security level. In this context it is important to understand, that the OPC UA specification can specify IT-security-measures which secure the related communication only. Threads which attack e.g. the operating system have to be secured separately. Hence the engineer needs a bouquet of balanced measures for securing his system/application. These facts lead us to the "Challenges in Safety and Security for industrial Automation Systems" - in this session we will describe an all-embracing engineering approach which incorporates also the system view by the application of IEC 62443."

Gerne teilt Martin Zappe sein Wissen an diesem Tag mit den Tagungsteilnehmern und freut sich bereits auf regen fachlichen Austausch.

Veranstaltungsort:

Tagungshotel campus.guest Universitätsstraße 34 70159 Stuttgart

Zertifizierte Sicherheit für Roboter

Safety und Security für sichere Industrieanlagen

Stuttgart, 08.12.2017:  Industrielle Prozesse sind kaum mehr denkbar, ohne den Einsatz von hochpräzise arbeitenden Maschinen, da sie Abläufe vereinfachen und die Produktivität steigern. Doch auch in anderen kritischen Bereichen, wie der Medizin und im privaten Raum halten Roboter Einzug. Sie führen OPs durch oder saugen selbständig die Wohnung. Doch wie steht es dabei um die Sicherheit vor Cyberattacken oder ungewollter Fernkontrolle?

Der Standard Open Platform Communications Unified Architecture (OPC UA) hat sich zu einem der wichtigsten Standards zur sicheren, herstellerübergreifenden Vernetzung für industrielle Anlagen etabliert. Dies hat das BSI im Rahmen einer Studie (vom 26. April 2016) im Wesentlichen bestätigt. Dabei kann OPC UA aber nur IT Sicherheitsmaßnahmen definieren, welche die Kommunikation unmittelbar schützen. Von außen wirkende Bedrohungen, beispielsweise auf das Betriebssystem, bedürfen weiterführender Sicherheitsmaßnahmen.

Das Open-Source-Projekt „Robot Operation System“ (ROS) stellt ein Framework für Roboter-Applikationen zur Verfügung, das selbstverständlich auch Anbindungen an das Internet und den Einsatz der Cloud zur Kontrolle, Steuerung und zum Datenaustausch bietet und sich dementsprechend den oben genannten Herausforderungen stellen muss.

Safety und Security nur gemeinsam betrachten

Bleibt die Frage, welche Sicherheitsmaßnahmen Hersteller, Integratoren und Betreiber etablieren müssen, um einen ganzheitlichen Schutz im Sinne von Safety und Security zu gewährleisten. Die Definition, Abgrenzung und Abhängigkeit von Security und Safety spielen dabei eine wichtige Rolle. Denn ohne Security (IT-Sicherheit) keine Safety (Funktionssicherheit) und umgekehrt. Doch wie können Ingenieure ganzheitliche Sicherheit gewährleisten? Welche Methoden gibt es und wie lässt sich nachweisen, dass diese Methoden dem Stand der Technik und der einschlägigen Gesetzgebung entsprechen?

Ein wichtiges Element ist hier die Umsetzung der Normenreihe IEC 62443. Diese gewinnt immer mehr an Aufmerksamkeit und entwickelt sich zu einem der bedeutendsten IT-Sicherheitsstandards. Diese internationale Normenreihe hat zum Ziel, die Anforderungen der Industrial Security abzudecken und bildet eine gute Basis zur Erstellung von ganzheitlichen Schutzkonzepten. Eine Zertifizierung mit der IEC 62443 entspricht auch den normativen Grundlagen, wie sie vom Gesetzgeber gefordert werden und im B2B-Bereich als Beweis ausreichender Sicherheitsvorkehrung immer mehr an Bedeutung gewinnt.

Vortrag mit Sicherheits-Effekt

Diesem Thema nimmt sich Martin Zappe von der ICS AG in seinem Vortrag Challenges in Safety and Security for Industrial Automation Systems an, den er auf der Konferenz des ROS-Industrial am 13. Dezember 2017 in Stuttgart hält. Die ICS AG ist seit mehr als 50 Jahren als Experte im Sicherheitsbereich bekannt und Pionier im Bereich Umsetzung von industrieller Informationssicherheit. „Seit nun über vier Jahren arbeiten wir intensiv an dem Zusammenwirken von Safety und Security und den möglichen Lösungen für die unterschiedlichen Industrien“, untermauert Zappe.

Digitalisierung der Leit- und Sicherungstechnik: Besser, einfacher - sicher?

Die Bahnbranche diskutiert auf dem Signal+Draht-Kongress

Stuttgart, 07.11.2017:  Die Bahnbranche setzt auf vernetzten Fortschritt und arbeitet an einer allumfassenden Digitalisierung. Doch was bedeutet das für die Leit- und Sicherungstechnik? Welchen Nutzen bringt der Einsatz von Augmented Reality? Und wie sieht es mit der Informationssicherheit aus? Wenn sich die Teilnehmer des Signal+Draht-Kongresses dieses Jahr zum 17. Mal treffen, steht die digitale Zukunft im Mittelpunkt.

Die Bahnbranche hat sich einer allumfassenden Digitalisierung verschrieben und treibt die unterschiedlichsten Initiativen voran. So will die Deutsche Bahn in Kürze Augmented Reality einsetzen, um Bahnkunden schneller zu ihrem reservierten Sitzplatz zu geleiten. Sie investiert in Projekte zur Smart City und setzt bei Bauprojekten auf das Building Information Modeling (BIM). Das BIM digitalisiert sämtliche Prozesse bei Bauprojekten und vereinfacht so die Projektplanung, -Durchführung und –Überwachung. Die Devise lautet: Besser, einfacher, komfortabler.  

Zünglein an der Waage

So lockt die schöne neue Eisenbahnwelt mit zukunftsweisenden Versprechen von Vereinfachung und Modernisierung. Es entstehen veränderte Arbeitsprozesse und Perspektiven für modernere Systeme. Wenn jedoch Andreas Langer von der ICS AG aus Stuttgart am 9. und 10. November den Vorträgen und Diskussionen auf dem Signal+Draht-Kongress beiwohnt, wird er sich die Frage stellen: Ist das alles denn sicher?

„Mit der Einführung des BIM geht die Deutsche Bahn einen weiteren Schritt in Richtung digitalisierte Öffnung. Da jeder auf das System zugreifen kann, der an dem Projekt beteiligt ist, muss man sich fragen, ob das System auch den aktuellen Sicherheitsstandards entspricht. Oder bietet es etwa Cyberkriminellen ein unerwünschtes Einfallstor?“, warnt der Key Account Manager für den Bereich Transportation.

Sicherheitskonzepte gemeinsam erarbeiten

Die ICS AG hat sich, neben ihren klassischen Bereichen des Engineering über die komplette Prozesskette der Leit- und Sicherungstechnik, zusätzlich in den letzten Jahren auf IT- und Informationssicherheit spezialisiert und gestaltet aktiv die Umsetzung der KRITIS-Verordnung des BSI mit. Zusätzlich engagiert sie sich bei CYSIS, der Forschungskooperation Cyber-Security für sicherheitskritische Infrastrukturen, einer Initiative der Deutschen Bahn und der TU Darmstadt. CYSIS erarbeitet Konzepte, wie man der stetig wachsenden Bedrohung durch Cyberkriminelle in einem durchdigitalisierten Bahnumfeld gemeinsam begegnen kann. Für ihre Kunden aus der Industrie- und Bahnbranche entwickelt das IT-Beratungs- und Engineering-Unternehmen normenkonforme Methoden und Lösungsansätze für Aufgabenstellungen rund um das Thema IT-Security.

Seit 2009 ist die ICS AG Sponsor des Signal+Draht-Kongresses und sitzt im Redaktionsbeirat der Signal+Draht. Sie wird auch dieses Jahr wieder mit einem Infostand anwesend sein. „Ich freue mich auf den Austausch mit den Teilnehmern“, sagt Andreas Langer. Das Programm verspricht interessante Vorträge und belebte Diskussionen. Der Signal+Draht-Kongress findet am 9. und 10. November in Fulda statt. Die ICS AG ist mit einem Infostand im Foyer vertreten und freut sich auf konstruktive Gespräche.

(Autor: Julia Grewe)

Digitalisierung und KMUs: Sicherheit im Griff?

Ein Seminar informiert über das IT-Sicherheitsgesetz

Stuttgart, 19. Juni 2017 - Die Bundesregierung hat die zweite Tranche des IT-Sicherheitsgesetzes verabschiedet. Ab jetzt läuft der Countdown für Unternehmen aus den Bereichen Finanzen, Gesundheit sowie Transport und Verkehr, den Zertifizierungsprozess für ihre IT-Systeme zu starten. Wer  jetzt allerdings glaubt, das Gesetz gelte nur für Betreiber kritischer Infrastrukturen (KRITIS), sollte seine Auftragsbücher studieren. Denn die von dem Gesetz direkt betroffenen KRITIS-Unternehmen werden auch von ihren kleineren Zulieferern entsprechende Nachweise verlangen. Die Normenreihe ISO 27000 und der IEC 62443 sind der Standard, an dem sie ihre Systemsicherheit in Zukunft messen müssen. Damit sich die Unternehmen nicht im Normendschungel verirren, setzt die Stuttgarter ICS AG zusammen mit der BWCon am 29. Juni 2017 ihre Seminarreihe mit dem Titel Kritische Infrastruktur und Industrie 4.0 fort. Neben einer Einführung in die Normenreihe ISO 27000 und der IEC 62443 steht diesmal ein Gastvortrag zum Thema Versicherungen für Unternehmen im Zeitalter der Digitalisierung auf der Agenda.

Rechtsanwalt Philip Smitka gibt einen Überblick zur Compliance und IT-Sicherheit, einschließlich der rechtlichen Anforderungen und Umsetzungspflichten für Unternehmen. Auch wenn Unternehmen ihre Systeme nach dem Stand der Technik vor möglichen Angriffen aus dem Netz schützen, bleibt immer ein gewisses Restrisiko. Die möglichen rechtlichen Folgen für die Geschäftsführung durch einen erfolgreich durchgeführten Cyberangriff soll hier beleuchtet werden. Der Versicherungsmakler Stephan Kuhn gibt einen Überblick über Versicherungen gegen Cyber-Risiken. Denn auch wenn Unternehmen ihre Systeme nach allen Regeln vor möglichen Angriffen aus dem Netz schützen, gibt es keinen 100%igen Schutz vor Cyberangriffen. Kann ich mein Unternehmen also vor den Folgen einer gelungen Hacker-Attacke schützen? Und was bringen die Cyber-Versicherungen? Dieser Frage geht der Versicherungsexperte mit Ihnen nach. Der Vortrag von Michael Kirsch von der ICS AG führt in die Normenreihe ISO 27000 ein. Der Standard definiert unter Anderem die Anforderungen für die Zertifizierung, bietet einen Leitfaden zur Implementierung und stellt Modelle für das Risikomanagement vor. An diesem Nachmittag sollen die verschiedenen Eckpunkte näher beleuchtet werden. Abschließend widmet sich Martin Zappe von der ICS AG der Industrienorm IEC 62443. Diese baut auf dem Standard 27000 auf, erweitert diesen aber um die Anforderungen an die IT-Sicherheit für Produktionsanlagen. Dabei schließt sie Betreiber, Hersteller und Integratoren mit ein.

Das Programm im Einzelnen:

• Willkommen Michael Kirsch, Leiter der Geschäftsfeldentwicklung ICS AG  
• Compliance und IT-Sicherheit und die rechtlichen Anforderungen und Umsetzungspflichten für Unternehmen Rechtsanwalt Philip Smitka,  Associated Partner bei Noerr LLP  
• Cyber-Kriminalität: Das unterschätze Risiko? Schadenszenarien und Lösungsansätze aus Versicherungssicht Stephan Kuhn, Geschäftsführer Finanzdienstleistungen Kuhn  
• IT-Sicherheit, Grundschutz, ISO 27000ff, ISIS12, IT-Security, viele Namen ein Ziel! Philip Degenhardt, Head of Business Center Information Security, ICS AG  
• IEC 62443 und was das für die kritischen Infrastrukturen und Industrie 4.0 bedeutet. Martin Zappe, Business Unit Leiter ICS AG  
• Podiumsdiskussion  

Seminar zum Thema Kritische Infrastruktur und Industrie 4.0

Wann?              Donnerstag, 29. Juni 2017, 16:30 Uhr – 20:30 Uhr Wo?                  Steinbeis Europazentrum Stuttgart Veranstalter:   ICS AG und BWCon

(Autor: Julia Grewe)

Bahnanwendungen mit IT-Sicherheitsanalyse vor Angriffen schützen

Stuttgart, 14. Mai 2017 - Das diesjährige Muttertagswochenende war geprägt von Nachrichten über den WannaCry Malware-Angriff, der sich in fast 100 Länder ausbreitete. Auch deutsche Unternehmen waren betroffen. Sicherheitsexperten sehen hierin eine Eskalation der weltweit wachsenden Bedrohung für unsere zunehmend digitalisierte Infrastruktur. Dies macht erneut deutlich, dass die Bundesregierung mit dem IT-Sicherheitsgesetz zu Recht Betreiber kritischer Infrastrukturen (KRITIS) dazu verpflichtet, ihre Systeme nach dem Stand der Technik zu schützen. Wie dies auf Grundlage vertrauter Normen und Vorgaben im Transportwesen möglich ist, erklärt ein Artikel am Beispiel einer Leit- und Sicherungstechnik (LST) für Bahnanwendungen.

Der Autor Patric Birr, RAMS Engineer bei der ICS AG, beschreibt in seinem Artikel das Vorgehen zur Ableitung von IT-Sicherheitsanforderungen. Dabei werden sowohl an die Organisation und Prozesse von Bahnbetreibern als auch an die Technik der dazugehörigen LST- Systeme Anforderungen gestellt. In Bahnanwendungen müssen dem Stand der Technik entsprechende IT-Sicherheitsanforderungen umgesetzt und kontinuierlich überprüft werden. Um dies zu gewährleisten, muss zuerst auf Basis der gängigen Sicherheitsnormen ein System zur Risikobewertung errichtet und zertifiziert werden. Darauf aufbauend folgt die Einführung und ebenfalls Zertifizierung entsprechender Schutzmechanismen.

Vom bahnspezifischen Leitfaden zur Zertifizierung

Birr erklärt, wie eine IT-Sicherheitsanalyse auf Basis der bekannten Normenreihe IEC 62443 zum Schutz von industriellen Kommunikationsnetzen durchgeführt werden kann. Das im bahnspezifischen Leitfaden DIN VDE V 0831-104 beschriebene Vorgehen zur Anwendung der Normenreihe wird dabei um eine mehrstufige qualitative Risikobetrachtung erweitert. Dies geschieht durch die Anwendung bewährter „Bottom-Up“- und „Top-Down“-Analysetechniken, die schrittweise die vorhandenen Schutzmechanismen bewerten und gegebenenfalls ergänzen.

Um, wie von dem IT-Sicherheitsgesetz gefordert, dem Stand der Technik zu entsprechen, empfiehlt der Autor, Datenbanken wie die vom BSI erstellten IT-Grundschutzkataloge zu Rate zu ziehen und mit IT-Experten zusammenzuarbeiten. Wenn im System die geforderten IT-Sicherheitsanforderungen implementiert und die entsprechenden Nachweise erbracht sind, steht einer Systemzertifizierung nichts mehr im Wege. Dadurch kann eine Schädigung der Systeme durch Malware wie WannaCry, abgewendet werden.

Der Artikel ist in Signal+Draht, Ausgabe 4/2017 erschienen und auf der Website der ICS AG kostenlose abrufbar.

"Industrie 4.0 -  aber sicher"

Vortrag bei der IHK Stuttgart

Gerne und regelmäßig unterstützen wir die IHK Stuttgart mit Rednern und Vorträgen zu den Themen Safety und Security. Nächste Woche ist es wieder soweit! Am Donnerstag, 18. Mai ergänzt unser Experte Dr. Thomas Liedtke das Vortragsprogramm auf der Info-Veranstaltung „IT-Sicherheit im Mittelstand“ mit seinem Vortrag „Industrie 4.0 – aber sicher!“

Die wichtigsten Fragen in den derzeit geführten Diskussionen und Gesprächen zu den Schlagworten „Informationssicherheit“; „IT-Security“ – ausgelöst durch die Änderungen des IT-Sicherheitsgesetztes (ITSig) im Jahr 20015 lautet:

• Welche Sicherheitsmaßnahmen zuerst umsetzen?
• Was bedeutet das für meinen mittelständischen Betrieb?
• Welche Schritte sind zu tun?
• Was gilt es dabei zu beachten?

Zur Beantwortung dieser und weiterer Fragen, lädt die IHK Stuttgart ihre Mitgliedsunternehmen zur Informationsveranstaltung „IT-Sicherheit im Mittelstand“ ein.

Weitere Vorträge an diesem Abend:

• "Aktuelle Cyber-Security Lage"  Bernhard Lacker, LKA Baden-Württemberg
• "Anatomie eines Angriffs - Ein Hacker demonstriert live den Angriff auf eine Produktionsanlage"   Götz Weinmann, Thinking Objects GmbH
• "Cyber-Angriff auf Ihr Unternehmen! und was jetzt...? - Präventive und reaktive Maßnahmen gegen Attacken aus dem Cybersprache"   Andreas Fülöp, G-Data Software AG

Veranstaltungsort: IHK Stuttgart, Jägerstraße 30, 70174 Stuttgart - Do. 16.03.2017 // 17:00 - 20:00 Uhr

>> Anmeldung + weitere Informationen bei der IHK Stuttgart

IT-Sicherheit ist Pflicht für den Mittelstand

Auch der Mittelstand ist von den Regularien des IT-Sicherheitsgesetzes (ITSiG) betroffen. Die Bundesagentur für Informationssicherheit (BSI) hat klare Regeln und einen Terminplan festgelegt, welche von den Unternehmen befolgt und zeitnah umgesetzt werden müssen. Die Informationsveranstaltung der IHK Stuttgart am 16. März 2017 gab den rund 60 Anwesenden hierzu praktische Hilfestellung. 

„Wir sind sehr stolz, dass wir Teil dieses gelungenen Abends sein durften“, freut sich Michael Kirsch, Leiter Geschäftsfeldentwicklung bei der ICS AG. Die Firma, die sich seit mehr als 50 Jahren mit dem Thema Sicherheit beschäftigt, hat einen weiteren Grund zu feiern: Am selben Tag lancierte das Unternehmen seine neue Webseite KritisForum. 

Durchblick im Regularien-Dschungel im KritisForum 

Mit dieser Webseite will die ICS AG - Dienstleister für kritische Infrastrukturen - über das IT-Sicherheitsgesetz informieren und den komplexen Sachverhalt in eine Handlungsstrategie übersetzen. Denn viele Unternehmen wissen nicht einmal, ob sie von dem Gesetz überhaupt betroffen sind. Und genau hier setzt die Dienstleistung der ICS AG an: „Wir helfen den Unternehmen Schritt für Schritt fit in Sachen IT-Sicherheit zu werden und begleiten sie beim Erlangen der geforderten Zertifizierungen“, erläutert Michael Kirsch.

Mit der Norm IEC 62443 auf der sicheren Seite

Der Fokus des Abends lag von Seiten der ICS AG auf der Normenreihe IEC 62443. Hinter dieser sperrigen Bezeichnung verbirgt sich ein Regelwerk, das definiert, welche Sicherheitsstandards die Systemintegratoren, Dienstleister sowie Hersteller und Lieferanten von industriellen Kommunikationsnetzen implementieren müssen. Es bietet zudem Hilfestellung, um mögliche Schwachstellen in der Steuerungs- und Leittechnik zu identifizieren.

Weitere Informationsveranstaltungen der ICS AG zum Thema werden folgen.

Die Webseite KritisForum finden Sie unter der Adresse: