Cyber-Meldepflicht: «Wenn niemand Verantwortung übernimmt, ist das ganze Unternehmen betroffen.»
Die grösste Herausforderung in OT-Projekten liegt in der frühen Planung: klare Risikoanalyse und weniger Komplexität. Was, wenn sie nicht klar definiert sind und es zu einem Cybervorfall kommt?
Wenn niemand vorbereitet ist
Dieser hypothetische, aber realitätsnahe Fall zeigt die Schwachstellen auf.
Frühjahr 2025: In einem medizinischen Labor mit 80 Mitarbeitenden kommt es zu einem Cybervorfall über das Gebäudeautomationssystem. Eine Fernwartungsschnittstelle war ungenügend abgesichert. Angreifer schleusten Steuerbefehle ein. Lüftungs- und Klimazonen wurden unkontrolliert verändert. In mehreren Laborräumen stiegen die Temperaturen, Probenmaterial wurde beschädigt, sensible Geräte reagierten nicht mehr zuverlässig. Der Betrieb stand still. Die Analyseresultate konnten nicht geliefert werden. Der daraus resultierende Betriebsausfall und Reputationsschaden waren enorm.
Doch, der eigentliche Fehler?
Die Meldepflicht wurde unterschätzt. Verantwortlichkeiten waren nicht geregelt, Abläufe, Prozesse und Rollen nicht definiert. «Strukturen und Prozesse müssen stehen, bevor in der Krise wertvolle Zeit verloren geht.», so Christoph Steiner.
Wer ist betroffen? – rechtlich bindend, organisatorisch unterschätzt
Seit 1. April 2025 gilt die Cyber-Meldepflicht (ISG Art. 74ff) für Betreiber kritischer Infrastrukturen. Es geht nicht nur um Technik. Sondern um klare Verantwortlichkeiten im Management, in IT, FM und der Krisenkommunikation.
Vorbereitung ist die beste Planung:
- IST-Analyse der Schutzziele
- Workshops mit den richtigen Fragen
- Risikoanalyse
- Entscheidung zu Schutzmassnahmen
- Umsetzung und Training
«Das Aufstellen der Krisenorganisation ist Teil der Planung. Ebenso das Testen und Üben.», betont Christoph Steiner.
Fazit: Sicherheit muss geführt, nicht nur gebaut werden
Wer Verantwortung trägt, – sei es in Planung, Betrieb oder IT – muss das Thema OT-Sicherheit heute anders denken.
Die gesetzliche Meldepflicht ist keine rein technische Aufgabe. Sie erfordert einen interdisziplinären Blick auf Betriebssicherheit, Organisation und Risikomanagement. Betreiber, Bauherren und Planer müssen Strukturen schaffen, die im Ernstfall funktionieren.
Denn der Schaden beginnt nicht erst mit dem Vorfall. Sondern mit der Annahme, dass jemand anderes zuständig ist.
Kennen Sie Ihre Risiken? Für den Ernstfall braucht es einen Plan.
Wir unterstützen Sie von der Risikoanalyse bis zum Meldeprozess.
Damit Verantwortung klar geregelt ist und Sicherheit funktioniert.
EPRO SECURE GmbH
Umfassende und integrale Sicherheitsplanung
Bahnhofstrasse 4, 3073 Gümligen, Schweiz
Tel Festnetz: +41 58 502 73 60
E-Mail: info@eprosecure.ch
