Industrielle Cybersecurity für vernetzte Sicherheitssysteme

IT-Sicherheit konzentriert sich auf den Schutz von Vertraulichkeit, Integrität und Verfügbarkeit von Daten in Geschäftssystemen wie E-Mail, ERP und Datenbanken. OT-Sicherheit schützt die operative Technologie: industrielle Steuerungssysteme, Sensoren und Sicherheitsgeräte, die physische Prozesse steuern. OT-Umgebungen haben andere Prioritäten. Verfügbarkeit und Sicherheit sind dort oft wichtiger als Vertraulichkeit. Ein Ausfall kann nicht nur eine Betriebsstörung, sondern auch eine physische Gefährdung bedeuten. Bei Dräger adressieren wir beide Bereiche, da vernetzte Sicherheitssysteme eine Brücke zwischen IT und OT bilden und in beiden Bereichen geschützt werden müssen.

Security-by-Design bedeutet, Schutz bereits in den frühesten Architekturentscheidungen in Produkte einzubauen, statt ihn erst später hinzuzufügen. Unser IN6000-Entwicklungsprozess schreibt Threat Modeling, sichere Programmierpraktiken und Privacy-by-Design-Prinzipien vor. Jede Produktfreigabe durchläuft vor der Markteinführung eine Sicherheitsprüfung. Dieser Ansatz reduziert Schwachstellen an der Quelle und senkt die Kosten für deren Behebung über den gesamten Produktlebenszyklus hinweg.

Eine SBOM ist ein umfassendes Verzeichnis aller Softwarekomponenten in einem Produkt, einschließlich Open-Source-Bibliotheken, Drittanbieter-Module und proprietärem Code. Sie ermöglicht es Organisationen, ihre Betroffenheit schnell einzuschätzen, wenn neue Schwachstellen bekannt werden. Der Cyber Resilience Act wird Hersteller dazu verpflichten, SBOMs vorzuhalten und bereitzustellen. Wir erweitern die Verfügbarkeit von SBOMs in unserem Portfolio laufend im Rahmen eines fortlaufenden Verbesserungsprogramms, um Ihre Prozesse für Schwachstellenmanagement und Compliance zu unterstützen.

Dräger betreibt ein Product Security Incident Response Team (P-SIRT), das das Schwachstellenmanagement koordiniert. Wenn Schwachstellen identifiziert werden – intern oder durch externe Forscher –, bewerten wir das Risiko, entwickeln Behebungen und kommunizieren mit betroffenen Kunden. Wir folgen koordinierten Disclosure-Verfahren und veröffentlichen bei Bedarf Sicherheitshinweise. Kunden können potenzielle Schwachstellen über psirt@draeger.com melden.

Der CRA ist im Dezember 2024 in Kraft getreten. Meldepflichten für aktiv ausgenutzte Schwachstellen beginnen am 11. September 2026. Die vollständige Konformität einschließlich Konformitätsbewertungen, technischer Dokumentation und SBOM-Bereitstellung ist bis zum 11. Dezember 2027 erforderlich. Hersteller, Importeure und Händler von Produkten mit digitalen Elementen haben jeweils Verpflichtungen. Bei Nichtkonformität drohen Geldbußen von bis zu 15 Mio. € oder 2,5 % des weltweiten Umsatzes.

NIS2 verpflichtet Organisationen zur Umsetzung von Risikomanagementmaßnahmen in den Bereichen Incident Handling, Geschäftskontinuität, Lieferkettensicherheit, Netzwerksicherheit und Offenlegung von Schwachstellen. Wesentliche Vorfälle müssen innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (vollständige Meldung) an die Behörden gemeldet werden. Leitungsorgane können für Verstöße gegen die Compliance persönlich haftbar gemacht werden. Die Strafen können für wesentliche Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes betragen. Die Richtlinie gilt branchenübergreifend, unter anderem für Energie, Verkehr, Gesundheit, Fertigung und digitale Infrastruktur.

Beginnen Sie mit einem Asset-Inventar: Dokumentieren Sie alle vernetzten Geräte, Softwareversionen und Datenflüsse. Ordnen Sie Ihre Kontrollen den relevanten Standards zu (ISO 27001, IEC 62443, NIS2-Anforderungen). Stellen Sie sicher, dass Sie Nachweise wie Richtlinien, Prozesse, Schulungsunterlagen, Incident-Logs und Testergebnisse vorlegen können. Dräger unterstützt mit Dokumentation und Compliance-Hilfen dabei, die Sicherheitslage unserer Lösungen im Rahmen Ihres umfassenderen Audit-Scopes nachzuweisen.

BitSight ist ein unabhängiges, datenbasiertes Ratingsystem, das die von außen beobachtbare Cybersecurity-Leistung einer Organisation bewertet. Es überwacht kontinuierlich Faktoren wie kompromittierte Systeme, Schwachstellenexposition, Sorgfaltsverhalten und die Wahrscheinlichkeit von Ransomware- oder Sicherheitsvorfällen. Dräger hält ein Advanced BitSight-Rating von 790 und liegt damit deutlich über dem Branchendurchschnitt von 730 im Bereich Medizin- und Sicherheitstechnik. Damit befinden wir uns in der Spitzengruppe und ordnen unser Risikoniveau Unternehmen mit 750+ zu, die mit einer geringeren Exposition gegenüber Ransomware und Sicherheitsvorfällen verbunden sind. Für Kunden bietet das eine transparente, unabhängige Bestätigung, dass unsere industriellen Cybersecurity-Praktiken über Infrastruktur, Cloud-Umgebungen und vernetzte Sicherheitsprodukte hinweg einen hohen und laufend überwachten Sicherheitsstandard erfüllen. Wir nutzen die BitSight-Erkenntnisse proaktiv, um unsere Resilienz zu stärken, Cyberrisiken für unser Ökosystem zu reduzieren und sichere, zuverlässige Abläufe in industriellen Umgebungen zu unterstützen.