Industrielle Cybersicherheit für vernetzte Sicherheitssysteme

IT-Sicherheit konzentriert sich auf den Schutz von Vertraulichkeit, Integrität und Verfügbarkeit von Daten in Geschäftssystemen wie E-Mail, ERP und Datenbanken. OT-Sicherheit schützt operative Technologien: industrielle Steuerungssysteme, Sensorik und Sicherheitsvorrichtungen, die physische Prozesse steuern. OT-Umgebungen setzen andere Prioritäten. Verfügbarkeit und Sicherheit haben oft Vorrang vor Vertraulichkeit. Ausfälle können physische Gefahren bedeuten, nicht nur Betriebsunterbrechungen. Bei Dräger kümmern wir uns um beide Bereiche, da wir wissen, dass vernetzte Sicherheitssysteme eine Brücke zwischen IT und OT schlagen und in beiden Bereichen geschützt werden müssen.

„Security-by-Design“ bedeutet, Schutz bereits bei den frühesten architektonischen Entscheidungen in Produkte zu integrieren, anstatt ihn später hinzuzufügen. Unser IN6000-Entwicklungsprozess schreibt Bedrohungsmodellierung, sichere Programmierpraktiken und „Privacy-by-Design“-Prinzipien vor. Jede Produktfreigabe durchläuft vor der Markteinführung eine Sicherheitsüberprüfung. Dieser Ansatz reduziert Schwachstellen an der Quelle und senkt die Kosten für die Behebung von Schwachstellen über den gesamten Produktlebenszyklus hinweg.

Eine SBOM ist ein vollständiges Inventar aller Softwarekomponenten eines Produkts – einschließlich Open-Source-Bibliotheken, Modulen von Drittanbietern und proprietären Codes. Sie ermöglicht es Unternehmen, ihr Risiko schnell einzuschätzen, wenn neue Schwachstellen bekannt werden. Der Cyber Resilience Act wird Hersteller dazu verpflichten, SBOMs zu führen und bereitzustellen. Im Rahmen eines laufenden Verbesserungsprogramms erweitern wir kontinuierlich die Verfügbarkeit von SBOMs in unserem gesamten Portfolio, um Ihre Prozesse für Schwachstellenmanagement und Compliance zu unterstützen.

Dräger betreibt ein Product Security Incident Response Team (P-SIRT), das die Behandlung von Schwachstellen koordiniert. Werden Schwachstellen identifiziert, intern oder durch externe Researcher, bewerten wir das Risiko, entwickeln Maßnahmen zur Behebung und kommunizieren mit betroffenen Kunden. Wir folgen koordinierten Disclosure-Verfahren und veröffentlichen bei Bedarf Sicherheitshinweise. Kunden können potenzielle Schwachstellen über psirt@draeger.com melden.

Der CRA trat im Dezember 2024 in Kraft. Die Meldepflicht für aktiv ausgenutzte Schwachstellen beginnt am 11. September 2026. Die vollständige Einhaltung der Vorschriften, einschließlich Konformitätsbewertungen, technischer Dokumentation und der Bereitstellung von SBOMs, ist bis zum 11. Dezember 2027 erforderlich. Hersteller, Importeure und Händler von Produkten mit digitalen Elementen unterliegen alle bestimmten Verpflichtungen. Bei Nichteinhaltung drohen Geldbußen von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes.

NIS2 verpflichtet Organisationen zur Umsetzung von Risikomanagementmaßnahmen, die die Behandlung von Vorfällen, die Geschäftskontinuität, die Sicherheit der Lieferkette, die Netzwerksicherheit und die Offenlegung von Schwachstellen umfassen. Wesentliche Vorfälle müssen innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (vollständige Meldung) an die Behörden gemeldet werden. Führungskräfte können für Verstöße persönlich haftbar gemacht werden. Die Strafen können für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes betragen. Die Richtlinie gilt branchenübergreifend, unter anderem für die Bereiche Energie, Verkehr, Gesundheit, Fertigung und digitale Infrastruktur.

Beginnen Sie mit einer Bestandsaufnahme: Dokumentieren Sie alle vernetzten Geräte, Softwareversionen und Datenflüsse. Ordnen Sie Ihre Kontrollmaßnahmen den relevanten Standards zu (ISO 27001, IEC 62443, NIS2-Anforderungen). Stellen Sie sicher, dass Sie Nachweise wie Richtlinien, Prozesse, Schulungsunterlagen, Incident-Logs und Testergebnisse vorlegen können. Dräger bietet Unterstützung bei der Dokumentation und bei der Compliance, um Kunden dabei zu helfen, die Sicherheitslage unserer Lösungen im Rahmen ihres benötigten Audit-Umfangs nachzuweisen.

BitSight ist ein unabhängiges, datengestütztes Bewertungssystem, das die von außen beobachtbare Cybersicherheitsleistung eines Unternehmens bewertet. Es überwacht kontinuierlich Faktoren wie kompromittierte Systeme, Schwachstellen, Sicherheitsvorkehrungen und die Wahrscheinlichkeit von Ransomware- oder Sicherheitsvorfällen.

Dräger hält ein Advanced BitSight Rating von 790 und liegt damit deutlich über dem Branchendurchschnitt von 730 im Bereich Medizin- und Sicherheitstechnik. Damit befinden wir uns in der Spitzengruppe und ordnen unser Risikoniveau Unternehmen mit 750+ zu, die mit einer geringeren Exposition gegenüber Ransomware und Sicherheitsvorfällen verbunden sind.

Für Kunden bietet dies eine transparente, unabhängige Bestätigung durch Dritte, dass unsere industriellen Cybersicherheitspraktiken in der Infrastruktur, in Cloud-Umgebungen und bei vernetzten Sicherheitsprodukten einen hohen und kontinuierlich überwachten Sicherheitsstandard erfüllen. Wir nutzen die Erkenntnisse von BitSight proaktiv, um unsere Widerstandsfähigkeit zu stärken, Cyber-Risiken für unser Ökosystem zu reduzieren und sichere, zuverlässige Abläufe in industriellen Umgebungen zu unterstützen.