REIFEGRADCHECKINDUSTRIE.

Bleibt in Ihrem Browser: Ihre Antworten werden nicht gesendet und nicht gespeichert. Nach dem Schließen der Seite sind sie weg; drucken Sie den Bericht oder speichern Sie ihn als PDF.

Antworten Sie je Maßnahme mit Ja, Teilweise oder Nein. Unter jeder Frage steht, was „Ja“ bedeutet. Wenn Sie es nicht wissen, wählen Sie Nein: Eine Maßnahme, die niemand bestätigen kann, zählt nicht als umgesetzt.

1. 1Frage 1: Haben Sie geprüft, ob Ihr Unternehmen nach dem NISG 2026 als wesentliche oder wichtige Einrichtung gilt, und sich gegebenenfalls registriert?

   OrganisationGrundlage

   Ja heißt: Die Einstufung ist geprüft und dokumentiert, und fällt Ihr Unternehmen darunter, ist es bei der Cybersicherheitsbehörde registriert. Geprüft, aber noch nicht registriert: Teilweise.

   JaTeilweiseNein
2. 2Frage 2: Steuert die Geschäftsleitung die Sicherheitsmaßnahmen für Büro-IT und Produktion, hat sie eine verantwortliche Person für die OT benannt und selbst eine Cybersicherheitsschulung besucht?

   OrganisationGrundlage

   Ja heißt: Die Leitung hat die Maßnahmen beschlossen und lässt sich regelmäßig berichten, eine gesamtverantwortliche Person für die Sicherheit der OT ist benannt und bekannt, und die Leitung wurde geschult.

   JaTeilweiseNein
3. 3Frage 3: Gibt es ein aktuelles Verzeichnis aller IT- und OT-Systeme, also auch Steuerungen und Bedien-PCs, mit ihren Verbindungen nach außen?

   OrganisationGrundlage

   Ja heißt: Das Verzeichnis nennt Komponenten, Versionen und Zuständige, und ein Netzplan zeigt Zonen, Übergänge und Außenschnittstellen.

   JaTeilweiseNein
4. 4Frage 4: Sind Büronetz und Produktionsnetz getrennt, mit kontrollierten Übergängen, sodass eine Störung im Büro nicht die Fertigung erreicht?

   Systeme und NetzSchlüsselmaßnahme

   Ja heißt: Steuerungen und Bedien-PCs hängen nicht im Büronetz, die Produktion ist in Zonen gegliedert, und an den Übergängen lässt eine Firewall nur erlaubte Verbindungen durch.

   JaTeilweiseNein
5. 5Frage 5: Greifen Maschinen- und Anlagenhersteller nur über einen zentralen, kontrollierten Zugang zu, den Ihre Mitarbeitenden für jede Sitzung freigeben?

   DienstleisterSchlüsselmaßnahme

   Ja heißt: Eine Richtlinie regelt die Fernwartung, jeder Zugriff läuft über eine Sicherheitskomponente in Ihrer Zuständigkeit, jede Sitzung wird freigegeben, und über die Fernwartung einer Maschine erreicht niemand andere Systeme.

   JaTeilweiseNein
6. 6Frage 6: Ist für Fernzugriffe, E-Mail, Cloud-Dienste und Administratorkonten eine Multi-Faktor-Authentifizierung eingerichtet?

   Konten und ZugängeSchlüsselmaßnahme

   Ja heißt: Neben dem Passwort ist für alle diese Zugänge ein zweiter Faktor nötig, besonders für Konten mit Administrationsrechten.

   JaTeilweiseNein
7. 7Frage 7: Werden Server-Daten sowie Programme und Konfigurationen der Steuerungen regelmäßig sowie vor und nach jeder Änderung gesichert, außerhalb des Netzes der gesicherten Systeme aufbewahrt und die Wiederherstellung getestet?

   Daten und SicherungSchlüsselmaßnahme

   Ja heißt: Sicherungen umfassen auch Steuerungsprogramme und Konfigurationen, entstehen vor und nach jeder Systemänderung, liegen nicht im selben Netz wie das System, und die Rücksicherung wird regelmäßig getestet, zuletzt erfolgreich.

   JaTeilweiseNein
8. 8Frage 8: Werden Sicherheitsupdates für Büro-IT und Anlagen nach einem festen Ablauf bewertet und eingespielt, mit festgelegten Ersatzmaßnahmen für Systeme, die sich nicht aktualisieren lassen?

   Systeme und NetzSchlüsselmaßnahme

   Ja heißt: Schwachstellenmeldungen der Hersteller und CERTs werden verfolgt, Updates werden geprüft und eingespielt, und wo das nicht geht, sind zusätzliche Schutzmaßnahmen festgelegt und dokumentiert.

   JaTeilweiseNein
9. 9Frage 9: Dürfen USB-Sticks und Laptops von Servicetechnikern in der Produktion nur nach Freigabe und Prüfung auf Schadsoftware verwendet werden?

   Systeme und NetzWichtige Maßnahme

   Ja heißt: Es gibt Regeln und einen Genehmigungsprozess für fremde Datenträger und Geräte, Daten werden vor der Verwendung geprüft, und nicht benötigte Schnittstellen sind deaktiviert.

   JaTeilweiseNein
10. 10Frage 10: Stellen Sie Sicherheitsanforderungen an Lieferanten und Dienstleister mit Zugang zu Ihren Systemen, und prüfen Sie diese?

    DienstleisterWichtige Maßnahme

    Ja heißt: Kriterien für die Auswahl sind festgelegt, die Anforderungen stehen in den Verträgen, und Sie prüfen sie, etwa mit einem Fragebogen.

    JaTeilweiseNein
11. 11Frage 11: Gibt es einen Ablauf für Sicherheitsvorfälle mit Zuständigen und Kontakten, der auch die Frühwarnung binnen 24 Stunden nach dem NISG 2026 abdeckt?

    Vorfall und NotfallWichtige Maßnahme

    Ja heißt: Definition, Zuständige und aktuelle Kontakte stehen fest, und die Meldewege nach NISG 2026 und DSGVO sind beschrieben. Fällt Ihr Unternehmen nicht unter das NISG 2026, zählt der interne Ablauf samt Meldung von Datenpannen.

    JaTeilweiseNein
12. 12Frage 12: Gibt es einen geübten Plan, wie Produktion und IT nach einem Cyberangriff oder Ausfall wieder anlaufen?

    Vorfall und NotfallWichtige Maßnahme

    Ja heißt: Ein Notfallhandbuch mit Rollen, Sofortmaßnahmen und Wiederanlaufplänen liegt vor, ist auch im Notfall zugänglich und wurde geübt.

    JaTeilweiseNein
13. 13Frage 13: Werden Mitarbeitende in Büro und Produktion regelmäßig zu Cybersicherheit geschult, etwa zu Phishing und zum sicheren Umgang mit Anlagen?

    MenschenWichtige Maßnahme

    Ja heißt: Alle werden eingewiesen und regelmäßig geschult, auch zum Umgang mit Steuerungen und mobilen Geräten in der Produktion.

    JaTeilweiseNein