OT Security, die in Ihrer Produktionsumgebung funktioniert.
Wir unterstützen Unternehmen dabei, industrielle Steuerungs- und Produktionssysteme strukturiert abzusichern – von der Analyse realer Datenflüsse und Netzwerkübergänge bis zur priorisierten Umsetzung technischer und organisatorischer Schutzmaßnahmen.
Nachvollziehbar geplant.
An Produktionsbedingungen angepasst.
Für interne Verantwortliche und externe Prüfungen dokumentiert.
Leistungen: OT-Sicherheitsarchitektur, Gap-Analyse, regulatorische Einordnung und Recovery
Jede Leistung mit klarer Zielgruppe, Ergebnis und Rollenverteilung. Keine einzelne Norm oder Zertifizierung erfüllt automatisch alle gesetzlichen Anforderungen – wir zeigen, welche Maßnahme welche Anforderung adressiert.
OT-Sicherheitsarchitektur
Wie trennen und schützen wir Anlagen, ohne Verfügbarkeit und Safety zu gefährden?
Für wen
Betreiber von Produktionsanlagen, Leitstellen und industriellen Netzen
Ergebnisse
Bestandsaufnahme von Anlagen, Kommunikationsbeziehungen und Fernwartungswegen
Zonen- und Conduit-Modell mit kontrollierten IT/OT-Übergängen
Sechs Schritte von der Bestandsaufnahme bis zur Übergabe. Welche Schritte wir übernehmen, legen wir im Scoping fest.
1
Ausgangslage und Scope klären
Standorte, Anlagen, Ziele und anwendbare Anforderungen festlegen.
Durchführung: ADVISORI mit Ihren Verantwortlichen
2
Assets, Kommunikation und Betriebsprozesse erfassen
Steuerungen, Netze, Übergänge und Fernwartungswege aufnehmen – passiv und abgestimmt.
Durchführung: ADVISORI mit Betrieb und Instandhaltung
3
Risiken und Anforderungen bewerten
Lücken nach Auswirkung auf Produktion, Safety und Compliance bewerten.
Durchführung: ADVISORI
4
Zielarchitektur und Maßnahmenplan entwickeln
Zonen, Übergänge und priorisierte Maßnahmen mit Zuständigkeiten und Terminen.
Durchführung: ADVISORI, abgestimmt mit Ihnen
5
Umsetzung begleiten und dokumentieren
Steuerung, fachliche Prüfung und Nachweisführung. Konfigurationsarbeiten an Anlagen führen je nach Umfang Ihr Team, Anlagenhersteller oder Dienstleister aus.
Durchführung: Je nach Projektumfang
6
Übergabe offener Punkte
Restrisiken, offene Maßnahmen und Zuständigkeiten nachvollziehbar übergeben.
Durchführung: ADVISORI an Ihre Verantwortlichen
Antworten auf Ihre konkreten Fragen
Anlagenbetreiber
Wie sichere ich bestehende Anlagen ohne unnötige Produktionsunterbrechungen?
Zuerst Angriffsfläche reduzieren (Segmentierung, Übergänge, Zugänge), Änderungen an Steuerungen in Wartungsfenstern einplanen.
Wie kontrolliere ich Fernwartung und externe Servicezugänge?
Über einen zentralen Zugangsweg mit Sitzungsfreigabe, MFA und Protokollierung. Mehr dazu
Wie priorisiere ich Risiken in heterogenen, teils veralteten Umgebungen?
Nach Auswirkung auf Produktion und Safety, Erreichbarkeit und Umsetzbarkeit – nicht nach Alter der Systeme. Mehr dazu
Maschinenbauer und Integratoren
Wie gestalte ich sichere Schnittstellen und Fernwartungskonzepte?
Mit definierten Conduits, minimalen Diensten und einem Fernzugang, den der Betreiber kontrolliert.
Wie dokumentiere ich Sicherheitsanforderungen und Zuständigkeiten?
Orientiert an IEC 62443-2-4 und 3-3, mit klarer Abgrenzung zwischen Hersteller und Betreiber. Mehr dazu
Wie integriere ich Security in Projektierung, Inbetriebnahme und Wartung?
Als Anforderungen im Lastenheft, Prüfpunkte bei der Abnahme und Regeln im Wartungsvertrag.
Unternehmen mit erhöhten regulatorischen Anforderungen
Wie verbinde ich technische Maßnahmen und Compliance-Nachweise?
Über ein gemeinsames Register: Anforderung, Maßnahme, Verantwortliche, Nachweis, Status. Mehr dazu
Wie gestalte ich eine nachvollziehbare Sicherheitsarchitektur?
Mit dokumentierten Zonen, Übergängen und Begründungen für jede zugelassene Verbindung.
Wie berücksichtige ich sensible Informationen und kontrollierte Netzübergänge?
Durch Einbeziehung von Geheimschutzvorgaben wie VS-NfD, sofern sie für Ihren Fall gelten.
Was ist der Unterschied zwischen IT- und OT-Security?
IT-Security schützt vor allem Daten. OT-Security schützt physische Prozesse: Eine Maßnahme ist nur dann geeignet, wenn sie die Anlage nicht gefährdet. Deshalb lassen sich IT-Verfahren nicht unverändert auf die Produktion übertragen.
Vergleich IT-Security und OT-Security
Kriterium
IT-Security
OT-Security
Oberstes Schutzziel
Vertraulichkeit und Integrität von Daten
Verfügbarkeit, Integrität und Safety der Anlage
Lebenszyklus
Typisch 3–5 Jahre
Häufig 15–25 Jahre und länger
Updates
Regelmäßig und zeitnah
Nur nach Herstellerfreigabe und im Wartungsfenster
Protokolle
Standard-IT-Protokolle
Industrielle Protokolle, oft ohne Authentisierung
Auswirkung eines Vorfalls
Datenverlust, Betriebsunterbrechung
Produktionsausfall, Sach- und Personenschäden möglich
Maßgebliche Standards
ISO 27001, IT-Grundschutz
IEC 62443, ergänzend ISO 27001 / IT-Grundschutz
Lebenszyklusangaben sind typische Größenordnungen aus der Praxis und variieren je nach Branche und Anlage.
NIS2 und OT: Was gilt in Deutschland?
Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Ob und welche Pflichten Ihr Unternehmen treffen, hängt zuerst von der Sektorzuordnung ab, danach von Größe und Sonderregeln. Für Produktionsumgebungen ist entscheidend, dass Risikomanagementmaßnahmen nach § 30 BSIG die relevante OT erfassen.
Principal Consultant Information Security · ADVISORI FTC GmbH
20+ Jahre Erfahrung in der Informationssicherheit
Zertifizierungen u. a. T.I.S.P., ISO 27001 & IT-Grundschutz, Cyber Security Practitioner (IT & OT), IT-Security Auditor, KBV-Zertifizierung nach § 390 SGB V
Umsetzung regulatorischer Projekte bei DAX-Konzernen
Projekte in Banken, Verteidigung, Gesundheitswesen, Energiebranche
Schwerpunkte: OT-Security, Cyber- und Informationssicherheit, VS-NfD, ZDv A-960/1
Sarah Richter
Team Head Information Security · ADVISORI FTC GmbH
15+ Jahre Erfahrung in der Informationssicherheit
Zertifizierungen u. a. ISO 27001, BSI IT-Grundschutz, CISA, CISM, Lead Auditor, Prüfverfahrenskompetenz für § 8a BSIG
Regulatorische Projekte von DAX-Konzernen bis KMU
Projekte in Banken, Verteidigung, Gesundheitswesen, Energiebranche
Schwerpunkte: OT-Security, BCM, Cyber- und Informationssicherheit
Häufige Fragen zur OT Security
Was ist OT Security?
OT Security umfasst alle Maßnahmen, die Steuerungen, Leitsysteme, Industrienetzwerke und Fernwartungszugänge in Produktion und Infrastruktur vor Manipulation und Ausfall schützen. Im Vordergrund stehen Verfügbarkeit und Safety der Anlagen.
Was macht eine OT-Security-Beratung?
Sie erfasst Anlagen, Datenflüsse und Übergänge, bewertet Risiken und Anforderungen, entwickelt eine Zielarchitektur und einen priorisierten Maßnahmenplan und begleitet die Umsetzung bis zur prüffähigen Dokumentation.
Was ist IEC 62443?
IEC 62443 ist eine internationale Normenreihe für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme. Sie richtet sich an Betreiber, Integratoren und Komponentenhersteller und arbeitet mit Zonen, Conduits und Security Levels.
Betrifft NIS2 auch Produktionsunternehmen?
Möglicherweise. Entscheidend ist zuerst, ob eine Tätigkeit einem Sektor nach Anlage 1 oder 2 BSIG zuzuordnen ist – etwa Chemie, Lebensmittel oder die Herstellung bestimmter Waren wie Maschinen, Fahrzeuge oder elektrische Ausrüstung. Danach sind Größenkriterien einschließlich Partner- und verbundener Unternehmen sowie Sonderregeln zu prüfen. Die Einstufung verantwortet das Unternehmen selbst.
Was ist der Unterschied zwischen NIS2 und dem Cyber Resilience Act?
NIS2 bzw. das BSIG verpflichtet erfasste Einrichtungen, ihren eigenen Betrieb abzusichern. Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller von Produkten mit digitalen Elementen. Seine Meldepflichten gelten seit dem 11. September 2026, die übrigen Pflichten grundsätzlich ab dem 11. Dezember 2027.
Wie sichert man Fernwartung in der Industrie ab?
Mit einem zentralen Zugangsweg über eine DMZ, personalisierten Konten mit Multi-Faktor-Authentisierung, Sitzungsfreigabe durch den Betreiber, Zugriff nur auf benötigte Systeme und Protokollierung aller Sitzungen.
Kann OT abgesichert werden, ohne die Produktion zu unterbrechen?
Ein großer Teil der Maßnahmen ja: Bestandsaufnahme, Segmentierung an Übergängen, Fernwartungskonzept und Monitoring lassen sich meist ohne Stillstand umsetzen. Änderungen an Steuerungen selbst werden in Wartungsfenstern geplant.
Übernimmt ADVISORI auch die technische Umsetzung?
Wir planen, steuern und prüfen die Umsetzung und dokumentieren die Ergebnisse. Konfigurationsarbeiten an Anlagen und Netzkomponenten werden je nach Projektumfang durch Ihr Team, Anlagenhersteller oder Dienstleister ausgeführt. Das legen wir im Scoping fest.
OT-Security-Erstgespräch vereinbaren
30 Minuten zu Ihrer Ausgangslage: Anlagen, Fernwartung, regulatorische Anforderungen. Danach wissen Sie, welche nächsten Schritte sinnvoll sind und welcher Projektumfang dafür nötig ist.
