ISO 27001 Checkliste für Industrie und Maschinenbau: in zwölf Schritten zum Zertifikat

Im Maschinenbau kommt der Anstoß fast immer von außen: ein Lieferantenfragebogen, eine Konzernvorgabe, NIS2. Wer daraufhin eine Liste abarbeitet, sollte zwei Fragen vorher klären, weil sie über den Nutzen des Zertifikats entscheiden. Erstens: Akzeptiert der Kunde überhaupt ein ISO-27001-Zertifikat? Zweitens: Deckt es auch die Maschinen ab, die das Unternehmen selbst verkauft?

Was gehört in eine ISO 27001 Checkliste für Industrie und Maschinenbau?

Zwei Teile. Der erste sind die Anforderungen der Kapitel 4 bis 10, also das Managementsystem: Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung. Der zweite ist der Annex A mit 93 Maßnahmen in vier Themen, 37 organisatorischen, 8 personenbezogenen, 14 physischen und 34 technologischen, aus denen risikobasiert ausgewählt wird.

Der Unterschied zu anderen Branchen liegt im Asset-Register. Neben Servern und Endgeräten gehören Maschinen, Steuerungen und vernetzte Anlagen hinein, dazu die Konstruktions- und CAD-Daten mit einer Einstufung ihres Schutzbedarfs. Wer die Produktionsseite später nachträgt, muss Risikobeurteilung und Erklärung zur Anwendbarkeit erneut anfassen. Deshalb steht der Geltungsbereich vorn und nicht in der Mitte.

Reicht die ISO 27001 Checkliste für Industrie und Maschinenbau, wenn der Kunde ein Automobilhersteller ist?

Meist nicht, und das ist die wichtigste Vorabklärung. Automobilhersteller und Tier-Zulieferer in Europa akzeptieren in der Regel nur TISAX, also das Label des von der ENX Association betriebenen Austauschverfahrens, sichtbar im ENX-Portal. Ein ISO-27001-Zertifikat allein genügt für das Onboarding dort typischerweise nicht.

Die gute Nachricht: Die Arbeit ist nicht verloren. Grundlage von TISAX ist der Prüfkatalog VDA ISA, aktuell in der Version 6 mit 80 Prüfkriterien in drei Modulen, nämlich Informationssicherheit, Datenschutz und Prototypenschutz. Ein reifes ISMS nach ISO 27001 deckt einen erheblichen Teil davon ab, ersetzt das Assessment aber nicht. Ein Label gilt drei Jahre.

Ein Termin gehört dabei in die Planung: Der Nachfolgekatalog VDA ISA 2027 ist für Assessments verbindlich, die ab dem 1. Januar 2027 beauftragt werden. Er wird an die ISO/IEC 27001 in der Fassung 2022 angepasst und um eine Zuordnung zum NIST Cybersecurity Framework 2.0 ergänzt. Wer jetzt ein ISMS nach der Fassung 2022 aufbaut, arbeitet also schon auf den neuen Katalog zu.

Was deckt die ISO 27001 Checkliste für Industrie und Maschinenbau bei den eigenen Produkten nicht ab?

Die Sicherheit der ausgelieferten Maschine. Die ISO 27001 deckt die Organisation ab, über IT, OT und Cloud hinweg, aber nicht die Entwicklung der industriellen Produkte, die ein Maschinenbauer verkauft. Dafür ist die Normenreihe IEC 62443 zuständig.

Für einen Hersteller sind vor allem drei Teile relevant: die IEC 62443-4-1 mit dem sicheren Entwicklungslebenszyklus für Produkte, die IEC 62443-4-2 mit den technischen Sicherheitsanforderungen an Komponenten und die IEC 62443-3-3 für die Sicherheit auf Systemebene in der Betriebsumgebung. Die Reihen ergänzen sich und ersetzen sich nicht. Es gibt inhaltliche Überschneidungen, etwa bei der Trennung von Entwicklungs- und Produktivumgebungen oder beim Schutz privater Schlüssel, aber die Prüfgegenstände sind verschieden. Ein Kunde, der nach IEC 62443-4-2 fragt, wird mit einem ISO-27001-Zertifikat nicht zufrieden sein, und umgekehrt.

Welche physischen Punkte gehören in die ISO 27001 Checkliste für Industrie und Maschinenbau?

Mehr als in jeder Bürobranche, denn 14 der 93 Maßnahmen im Annex A sind physische. Im Werk heißt das konkret: Zutritt zu Fertigung und Leitstand geregelt und protokolliert, Besucher begleitet, Fremdfirmen und Wartungstechniker mit einem definierten Verfahren für Zutritt und mitgebrachte Geräte. Die physische Sicherheitsüberwachung gehört dabei zu den Maßnahmen, die erst mit der Fassung 2022 in den Annex A gekommen sind.

Der Punkt, der am häufigsten fehlt, sind Wechselmedien. In der Fertigung ist der USB-Stick oft noch der reale Transportweg zur Maschine, weil die Anlage nicht im Netz hängt oder nicht hängen darf. Eine Regel dafür gehört in die Liste, samt Festlegung, welche Medien zugelassen sind und wie sie geprüft werden. Ohne das ist die Trennung von IT und OT ein Diagramm und keine Maßnahme.

Welche Punkte der ISO 27001 Checkliste für Industrie und Maschinenbau werden am häufigsten unterschätzt?

Drei. Erstens die Klassifizierung der Konstruktionsdaten. In der Liste steht eine Zeile, im Audit wird nach dem Schema gefragt, nach der Kennzeichnung im Alltag und nach den Regeln für den Austausch mit Partnern. Eine Klassifizierung, die am Dokument niemand sieht, wirkt nicht.

Zweitens die eigene Rolle als Dienstleister. Ein Maschinenbauer wartet die Anlagen seiner Kunden aus der Ferne und ist damit selbst der Externe mit Zugriff auf fremde Produktionsnetze. Genau das prüfen die Kunden, und genau daraus wird ein Vertriebsargument, sobald die eigenen Zugriffs- und Protokollierungsregeln belegbar sind. Drittens der Umgang mit neuen Maschinen. Der letzte Schritt der Liste nennt es, in der Praxis fehlt der Prozess: Jede neue Anlage verändert Asset-Register, Risikoregister und je nach Standort auch den Geltungsbereich.

Was steht in der Checkliste?

• Zwölf Schritte in verbindlicher Reihenfolge, von Auftrag und Geltungsbereich bis zum laufenden Betrieb
• Abhakbare Punkte je Schritt, von Maschinen und Steuerungen im Asset-Register über die IT-OT-Segmentierung bis zur Notfallübung in der Produktion
• Vier Treiber, die den Zeitpunkt bestimmen: Kundenanforderung in der Lieferkette, NIS2, vernetzte Produktion und der Schutz des Konstruktions-Know-hows
• Was Stage 1 und Stage 2 des Zertifizierungsaudits jeweils prüfen
• Die Punkte zu Lieferkette, Fernwartung und Datenaustausch mit OEMs, an denen Zulieferer am häufigsten nacharbeiten

Die Checkliste richtet sich an IT-Leitungen, Geschäftsführungen sowie Sicherheits- und Produktionsverantwortliche im produzierenden Mittelstand und im Maschinenbau. Laden Sie sie kostenfrei herunter.