¶ Netzwerke und Kommunikation
Grundregel: Netzwerk- und Kommunikationsverbindungen werden nach Geschäftsbedarf, Schutzbedarf, minimaler Erreichbarkeit und klaren Vertrauensgrenzen geplant, freigegeben, betrieben, überwacht und beendet.
Kein Umsetzungsnachweis: Diese Seite beschreibt das Sollverfahren der fiktiven „Muster GmbH“. Sie belegt weder eine vollständige Netzwerkinventarisierung noch umgesetzte Segmentierung, sichere Firewallregeln, wirksame Filterung, aktuelle Konfigurationen oder getestete Wiederanlauffähigkeit.
TISAX-Hinweis: Im Reiter „Informationssicherheit“ der ISA-Selbsteinschätzung sind alle 46 Fragen umzusetzen und zu bewerten. Einzelne Fragen werden nicht wie Controls in einer ISO-27001-SoA als „nicht anwendbar“ ausgeschlossen.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-MA-04-12 |
| Dokumentenart | Richtlinie und Verfahren für Netzwerk- und Kommunikationssicherheit |
| Wiki.js-Pfad | /ISMS/04-Sicherheitsregelungen/Netzwerke-und-Kommunikation |
| Verantwortlich | IT-Leitung und Netzwerkverantwortung |
| Fachlich geprüft durch | Informationssicherheit, Netzwerk-/Systemadministration, Produktion/OT, Datenschutz, Einkauf, BCM und TISAX-Koordination |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – Netzbestand, Zonen, Regeln, Dienste, Konfigurationen und Wirksamkeit nicht bestätigt |
| Version | 0.3 |
| Stand | 06.08.2026 |
| Nächste Prüfung | Mindestens jährlich sowie bei wesentlichen Architektur-, Bedrohungs-, Provider-, Standort- oder Technologieänderungen |
| Schutzklasse | Intern; Detailpläne, Regeln und Konfigurationen regelmäßig Vertraulich oder strenger |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Annex A 5.14, 5.19 bis 5.23, 7.12, 8.9, 8.15 bis 8.17 und 8.20 bis 8.24 |
| VDA-ISA-Bezug | ISA 6.0.3, insbesondere Kapitel 5.2 „Betriebssicherheit“ sowie verbundene Fragen zu Zugriff, Kryptografie, Lieferanten und Notfallmanagement |
Abgestufte Netzsegmente von Internet und DMZ bis zu internen und besonders geschützten Bereichen. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Diese Regelung legt fest:
- wie Netzwerkarchitekturen, Zonen und Kommunikationsbeziehungen gesteuert werden,
- wie Netzwerkdienste ausgewählt, konfiguriert, überwacht und beendet werden,
- welche Regeln für Firewalls, WLAN, Fernzugriff, Internet, Cloud, OT und externe Verbindungen gelten,
- wie Webzugriffe und nicht erforderliche Kommunikation begrenzt werden,
- wie Netzwerkänderungen, Schwachstellen, Protokolle, Vorfälle und Notbetrieb behandelt werden,
- welche Nachweise für ISO 27001, TISAX, Audit und Risikobehandlung erforderlich sind.
Ziel ist, unberechtigte Kommunikation, laterale Bewegung, Datenabfluss, Manipulation, Ausfall und unkontrollierte Abhängigkeiten zu verhindern oder rechtzeitig zu erkennen.
¶ 2. Geltungsbereich
Die Regelung gilt innerhalb des ISMS-Geltungsbereichs für:
- LAN, WAN, WLAN, Internetzugänge und Standortverbindungen,
- Router, Switches, Firewalls, Gateways, Proxies und Load Balancer,
- VPN, Remote Access, Fernwartung und administrative Zugänge,
- Server-, Client-, Produktions-, OT-, IoT- und Gebäudenetze,
- Cloud-Netze, virtuelle Netze, Container- und Plattformnetzwerke,
- DNS, DHCP, NTP, IP-Adressmanagement und weitere Basisdienste,
- E-Mail-, Web-, Datei-, Sprach-, Video- und Kollaborationskommunikation,
- Provider-, Kunden-, Lieferanten- und Partnerverbindungen,
- physische Verkabelung und zugehörige Räume, Schränke und Ports.
¶ 3. Abgrenzung
Diese Seite steuert Netze und Kommunikationsdienste. Sie ersetzt nicht:
- die fachliche Freigabe einer Informationsübertragung,
- das Identitäts- und Berechtigungsmanagement,
- Kryptografie- und Schlüsselvorgaben,
- allgemeine Betriebs-, Change-, Schwachstellen- oder Incident-Prozesse,
- physische Sicherheits- und Verkabelungsanforderungen,
- den vollständigen Datenschutz-, Vertrags- oder Lieferantencheck.
Eine technisch mögliche Verbindung ist keine fachliche oder organisatorische Freigabe.
¶ 4. Begriffe
| Begriff | Bedeutung |
|---|---|
| Netzwerkzone | logisch oder physisch abgegrenzter Bereich mit vergleichbarem Schutzbedarf und Vertrauensniveau |
| Vertrauensgrenze | Übergang zwischen Bereichen mit unterschiedlichen Risiken, Ownern oder Kontrollen |
| Kommunikationsbeziehung | erlaubter Datenverkehr zwischen definierten Quellen und Zielen |
| Netzwerkdienst | technische Leistung wie Internetzugang, DNS, VPN, E-Mail-Relay oder Standortkopplung |
| Management Plane | Zugänge und Protokolle zur Administration von Netzwerkkomponenten |
| Data Plane | regulärer Nutzdatenverkehr |
| Control Plane | Steuerverkehr für Routing, Topologie und technische Kontrollfunktionen |
| DMZ | besonders kontrollierte Zone für exponierte oder vermittelnde Dienste |
| NAC | technische Kontrolle für die Zulassung von Geräten und Nutzern zum Netz |
| Mikrosegmentierung | feingranulare Trennung auf Workload-, Host- oder Anwendungsebene |
| Nord-Süd-Verkehr | Kommunikation zwischen internem Netz und externen Bereichen |
| Ost-West-Verkehr | Kommunikation innerhalb oder zwischen internen Zonen |
¶ 5. Grundsätze
- Verbindungen benötigen einen dokumentierten Zweck und verantwortliche Owner.
- Standardmäßig ist nur erforderliche Kommunikation erlaubt.
- Netze mit unterschiedlichem Schutzbedarf, Zweck oder Risiko werden angemessen getrennt.
- Verwaltung und Nutzdatenverkehr werden soweit erforderlich getrennt.
- Internet-, Lieferanten-, Cloud-, OT- und Gastverbindungen gelten als besondere Vertrauensgrenzen.
- Kommunikationsregeln sind minimal, eindeutig, befristbar und nachvollziehbar.
- Unsichere oder veraltete Protokolle werden nicht ohne dokumentierte Ausnahme eingesetzt.
- Netzwerkgeräte und Dienste werden gehärtet, aktualisiert, gesichert und überwacht.
- Sicherheitsfunktionen werden nicht ohne Freigabe umgangen oder deaktiviert.
- Änderungen besitzen Test, Rückfall, Genehmigung und Abschlusskontrolle.
- Protokolle und Warnungen werden tatsächlich ausgewertet; bloße Erzeugung genügt nicht.
- Architekturdiagramme ohne Abgleich zur realen Konfiguration gelten nicht als Istnachweis.
¶ 6. Rollen und Verantwortlichkeiten
| Rolle | Verantwortung |
|---|---|
| Geschäftsführung | wesentliche Risiken, Ressourcen, Provider- und Ausnahmentscheidungen freigeben |
| IT-Leitung | Architekturrahmen, Betrieb, Prioritäten und Eskalationen verantworten |
| Netzwerkverantwortung | Bestand, Zonen, Regeln, Geräte, Dienste, Konfiguration und technische Nachweise führen |
| Informationssicherheit | Anforderungen, Risiken, Bedrohungen, Kontrolltests und Abweichungen bewerten |
| Asset-/System Owner | Geschäftsbedarf, Kritikalität, zulässige Kommunikation und Betriebsanforderungen bestätigen |
| Information Owner | Schutzbedarf und zulässige Empfänger/Übertragungswege festlegen |
| Produktion/OT | Anlagenabhängigkeiten, Wartungsfenster und sichere OT-Kommunikation verantworten |
| IT-Betrieb | Überwachung, Backup, Patchen, Incident-Unterstützung und Wiederanlauf durchführen |
| Einkauf/Provider-Owner | Dienste, Verträge, SLA, Unterauftragnehmer, Änderungen und Exit steuern |
| Datenschutz | Protokollierung, Filterung, Inhaltsprüfung und Personenbezug bewerten |
| BCM/Notfallmanagement | Kritikalität, Redundanz, Notbetrieb und Wiederanlauf abstimmen |
| Nutzende/Administrierende | nur freigegebene Netze, Dienste und Zugänge verwenden; Auffälligkeiten melden |
¶ 7. Netzwerk- und Diensteregister
Alle relevanten Netze, Komponenten, Dienste und Verbindungen werden erfasst.
| Feld | Inhalt |
|---|---|
| Netzwerk-/Service-ID | eindeutige Referenz |
| Bezeichnung und Zweck | geschäftliche und technische Funktion |
| Owner/Betrieb | Service-, Asset- und technische Verantwortung |
| Standorte/Hosting | Gebäude, Rechenzentrum, Provider, Cloud-Region |
| Zonen/Vertrauensniveau | Quell-, Ziel- und Managementbereiche |
| Komponenten | Router, Switches, Firewalls, Gateways, APs und virtuelle Instanzen |
| Adress-/Namensraum | geschützte Referenz zu IPAM, DNS und Netzen |
| Abhängigkeiten | Identität, DNS, Zeit, Strom, Provider, Cloud und Personal |
| Kritikalität | Schutzbedarf, RTO/RPO und Geschäftsfolgen |
| Exposition | Internet, Partner, Gast, OT, Remote und Cloud |
| Kommunikationsbeziehungen | Regelwerk-/Matrixreferenzen |
| Überwachung | Logs, Metriken, Alarme und Verantwortliche |
| Lifecycle | aktiv, eingeschränkt, Migration, veraltet oder außer Betrieb |
| Review | letzte/nächste Prüfung und offene Punkte |
Detaillierte Adressen, Regeln und Zugangsdaten werden nicht unnötig auf der allgemeinen Wiki-Seite veröffentlicht.
¶ 8. Netzwerkarchitektur und Pläne
Architekturunterlagen zeigen mindestens:
- Standorte, Provider und externe Verbindungen,
- Sicherheitszonen und Vertrauensgrenzen,
- Internet-, Cloud-, Kunden-, Partner- und Lieferantenübergänge,
- kritische Systeme, OT-/Produktionsbereiche und Managementnetze,
- Hochverfügbarkeit, Redundanz und Einzelfehlerstellen,
- zentrale Netzwerk-, Identitäts-, DNS-, Zeit- und Sicherheitsdienste,
- Datenflüsse und besonders schutzbedürftige Kommunikationswege,
- Owner, Version, Gültigkeitsbereich und Abgleichdatum.
Soll-, Ist-, Übergangs- und Notfallarchitektur werden eindeutig unterschieden.
¶ 9. Zonenmodell
Das konkrete Zonenmodell wird aus Schutzbedarf und Risiko abgeleitet. Mögliche Zonen sind:
| Zone | Zweck | typische zusätzliche Steuerung |
|---|---|---|
| Benutzerzone | verwaltete Arbeitsplatzgeräte | Geräte-/Identitätsprüfung, begrenzte Serverzugriffe |
| Server-/Anwendungszone | interne Dienste | restriktive Quell- und Dienstfreigaben |
| Managementzone | Administration | besonders begrenzte Geräte, Konten und Protokolle |
| Produktions-/OT-Zone | Anlagen und industrielle Steuerung | strikte Übergänge, Wartungs- und Verfügbarkeitskontrollen |
| DMZ | exponierte/vermittelnde Dienste | keine unnötige Direktverbindung in interne Zonen |
| Gastnetz | nicht vertrauenswürdige Gäste | Trennung von internen Ressourcen |
| Entwicklungs-/Testzone | Entwicklungs- und Testressourcen | Trennung von Produktion und kontrollierte Testdaten |
| Backup-/Recoveryzone | Sicherungs- und Wiederherstellungsdienste | eingeschränkte Administration und Schutz vor lateraler Ausbreitung |
| Sicherheitszone | Logging, Monitoring, Scanner | besonders geschützte Sensor-, Admin- und Datenwege |
| Cloud-Zone | virtuelle Cloud-Ressourcen | Mandanten-, Konto-, Routing- und Security-Group-Steuerung |
Die Tabelle ist ein Muster und kein Beleg für vorhandene Zonen.
¶ 10. Segmentierung
Segmentierung wird risikobasiert umgesetzt durch:
- physische Trennung,
- VLAN/VRF oder vergleichbare logische Trennung,
- Firewalls und kontrollierte Gateways,
- Host-, Workload- oder Mikrosegmentierung,
- Identitäts- und gerätebasierte Zugriffssteuerung,
- Anwendungsgateways, Proxies und Bastion Hosts,
- getrennte Management- und Sicherungswege.
VLANs allein belegen ohne angemessene Filterung und Konfigurationsschutz keine wirksame Sicherheitsgrenze.
¶ 11. Kommunikationsmatrix
Jede wesentliche zonenübergreifende Kommunikation wird dokumentiert.
| Feld | Inhalt |
|---|---|
| Regel-/Flow-ID | eindeutige Referenz |
| Quelle | Zone, System, Identität oder Dienst |
| Ziel | Zone, System, Dienst oder externer Empfänger |
| Protokoll/Port/Dienst | konkret erforderliche Kommunikation |
| Richtung | ein- oder beidseitig |
| Zweck | Geschäftsprozess, Anwendung oder Administration |
| Owner | fachliche und technische Verantwortung |
| Schutz | Authentisierung, Verschlüsselung, Filterung, Protokollierung |
| Zeit | dauerhaft, geplant oder befristet |
| Abhängigkeiten | DNS, Zeit, Identität, Provider oder Zertifikate |
| Risiko/Freigabe | Bewertung, Genehmigung und Ausnahme |
| Review/Ablauf | nächste Prüfung oder automatische Beendigung |
Breite Freigaben wie „Any/Any“ werden vermieden und benötigen im Ausnahmefall besondere Begründung, Befristung und Überwachung.
¶ 12. Firewall- und Regelmanagement
Firewallregeln werden:
- nur auf nachvollziehbaren Antrag eingerichtet,
- durch fachliche und technische Owner bestätigt,
- auf notwendige Quelle, Ziel, Dienst und Richtung begrenzt,
- vor Umsetzung auf Konflikte, Umgehung und Risiko geprüft,
- getestet und mit Rückfallmöglichkeit geändert,
- bei temporärem Bedarf automatisch oder kontrolliert befristet,
- protokolliert und regelmäßig rezertifiziert,
- bei Wegfall des Zwecks unverzüglich entfernt.
Inaktive, redundante, verschattete oder unklare Regeln werden identifiziert und kontrolliert bereinigt.
¶ 13. Internetzugänge
- Internetverkehr wird über freigegebene Übergänge geführt.
- Direkte oder persönliche Umgehungswege sind nicht zulässig.
- Ein- und ausgehende Kommunikation wird nach Zweck, Risiko und Schutzbedarf begrenzt.
- Exponierte Dienste werden getrennt, gehärtet, überwacht und regelmäßig geprüft.
- Ausgehende Verbindungen von Servern, OT, Management und Backup werden besonders restriktiv behandelt.
- Internetzugänge besitzen angemessene Ausfalls-, Kapazitäts- und Providersteuerung.
- Änderungen öffentlicher Adressen, DNS, Zertifikate und Routen werden kontrolliert.
¶ 14. Eingehende Verbindungen und exponierte Dienste
Vor externer Erreichbarkeit werden geprüft:
- bestätigter Geschäftsbedarf und Service Owner,
- minimale exponierte Dienste und Schnittstellen,
- Platzierung in geeigneter Zone,
- starke Authentisierung und Autorisierung,
- aktuelle Härtung, Patchstand und Schwachstellenprüfung,
- Schutz vor Missbrauch, Überlastung und automatisierten Angriffen,
- Protokollierung, Alarmierung und Incident-Weg,
- Datenflüsse zu internen Systemen,
- Zertifikate, Schlüssel, DNS und Notfallabschaltung.
Unbekannte oder verwaiste öffentliche Dienste werden als kritische Abweichung behandelt.
¶ 15. Ausgehende Verbindungen
Ausgehende Kommunikation wird nicht pauschal als vertrauenswürdig behandelt.
- Server und technische Systeme erhalten nur erforderliche Ziele und Dienste.
- Softwareupdates, Telemetrie und Herstellerzugriffe werden bewertet.
- DNS-, Proxy-, Tunnel- und Verschlüsselungswege werden gegen Umgehung berücksichtigt.
- Ungewöhnliche Ziele, Länder, Mengen oder Protokolle werden risikobasiert erkannt.
- Direktzugriffe auf private Speicher-, Transfer-, Fernwartungs- oder Anonymisierungsdienste werden nach Regelwerk begrenzt.
- Notwendige Ausnahmen erhalten Owner, Befristung und Review.
¶ 16. Webzugriffsfilterung
Webfilterung kann umfassen:
- Blockierung bekannter schädlicher oder unzulässiger Ziele,
- Kategorien nach Geschäftsbedarf und Risiko,
- Schutz vor Phishing, Malware, Command-and-Control und Datenabfluss,
- Kontrolle nicht freigegebener Speicher-, KI-, Proxy- und Transferdienste,
- Warnung oder Isolation riskanter Inhalte,
- Ausnahmeverfahren für legitime Geschäftsanforderungen.
Vor Betrieb werden Zweck, Transparenz, Datenschutz, Protokollierung, Fehlalarme, Ausnahmen und Mitbestimmungsanforderungen geklärt. Eine Filterlizenz allein belegt keine wirksame Filterung.
¶ 17. DNS
DNS wird als sicherheitskritischer Basisdienst behandelt:
- nur freigegebene Resolver und autoritative Dienste werden genutzt,
- Zonendaten und Administration werden geschützt,
- Änderungen werden freigegeben und protokolliert,
- rekursive, interne und externe Funktionen werden angemessen getrennt,
- Manipulation, Tunneling, ungewöhnliche Anfragen und Ausfälle werden risikobasiert überwacht,
- externe DNS-Provider werden vertraglich und technisch gesteuert,
- Wiederanlauf, Sicherung und Notfalländerungen werden getestet.
¶ 18. DHCP, IPAM und Adressmanagement
- Adressräume, Reservierungen, Netze und Zuständigkeiten werden zentral dokumentiert.
- Unautorisierte DHCP-Dienste und Adresskonflikte werden erkannt und behandelt.
- Statische und dynamische Zuordnungen werden nachvollziehbar gesteuert.
- Management-, Infrastruktur- und Sicherheitsadressen werden besonders geschützt.
- Veraltete Netze, Adressen und Einträge werden kontrolliert bereinigt.
- IPAM- und DHCP-Daten werden gegen unbefugte Änderung und unnötige Offenlegung geschützt.
¶ 19. Routing und Switching
Routing- und Switching-Konfigurationen:
- folgen freigegebenen Architektur- und Segmentierungsregeln,
- verwenden nur erforderliche Protokolle und Nachbarschaften,
- schützen Control- und Management Plane,
- begrenzen Manipulation, Schleifen, Spoofing und unerwünschte Weiterleitung,
- werden versioniert, gesichert und nach Änderungen geprüft,
- enthalten dokumentierte Redundanz- und Fehlerverhalten,
- werden regelmäßig gegen den Sollzustand abgeglichen.
¶ 20. Netzwerkzugang und Geräteaufnahme
Vor Anschluss eines Geräts werden soweit erforderlich geprüft:
- Eigentum, Asset-ID und verantwortliche Person,
- Gerätezustand, Management und Patchstand,
- Identität, Zertifikat oder andere Zulassungsmerkmale,
- Gerätetyp und vorgesehene Zone,
- zulässige Dienste und Informationsarten,
- Quarantäne-, Gast- oder Sanierungsverfahren.
Unbekannte, private oder nicht verwaltete Geräte erhalten keinen automatischen Zugriff auf interne Netze.
¶ 21. WLAN
WLAN wird getrennt nach Nutzergruppen und Zweck gesteuert.
- Unternehmens-, Produktions-, Gast- und gegebenenfalls Geräte-WLAN werden angemessen getrennt.
- Authentisierung und Verschlüsselung entsprechen Risiko und aktueller technischer Bewertung.
- Standardkennwörter, gemeinsame langlebige Geheimnisse und unsichere Altverfahren werden vermieden.
- Access Points, Controller, Funkabdeckung und Konfiguration werden inventarisiert.
- Rogue Access Points, Evil Twins und ungewöhnliche Clients werden risikobasiert erkannt.
- Gäste erhalten keinen unnötigen Zugriff auf interne Ressourcen.
- private Hotspots oder Repeater umgehen keine Sicherheitsgrenzen.
¶ 22. Fernzugriff und VPN
Fernzugriff benötigt:
- benannte berechtigte Person oder technische Identität,
- genehmigten Zweck und Zielsysteme,
- angemessene Mehrfaktor-Authentisierung,
- freigegebenes und geschütztes Endgerät,
- minimale Routen und Berechtigungen,
- Protokollierung, Alarmierung und zeitliche Begrenzung nach Risiko,
- Sperrung bei Rollenwechsel, Vertragsende oder Verdacht,
- getesteten Incident- und Notfallweg.
Split Tunneling oder vergleichbare parallele Verbindungen werden risikobasiert bewertet und nicht unbesehen zugelassen.
¶ 23. Lieferanten- und Fernwartungszugänge
Externe Zugänge werden:
- vertraglich und fachlich genehmigt,
- personenbezogen oder eindeutig zurechenbar eingerichtet,
- nur bei Bedarf freigeschaltet,
- auf vereinbarte Systeme, Zeiten und Tätigkeiten begrenzt,
- mit angemessener Authentisierung und Bastion-/Jump-Mechanismen geschützt,
- überwacht und nach Abschluss beendet,
- bei kritischen Tätigkeiten begleitet oder nachträglich geprüft,
- mit Melde-, Aufbewahrungs- und Nachweispflichten versehen.
Dauerhafte unbeaufsichtigte Herstellerzugänge benötigen eine besondere Risikobegründung.
¶ 24. Managementnetz und Administration
Die Administration von Netzwerk- und Sicherheitskomponenten erfolgt:
- über besonders geschützte Managementwege,
- von freigegebenen Administrationsgeräten,
- mit getrennten privilegierten Identitäten,
- über sichere, aktuelle Managementprotokolle,
- ohne unnötige Erreichbarkeit aus Benutzer-, Gast- oder Internetzonen,
- mit starker Authentisierung und nachvollziehbarer Protokollierung,
- bei Notfallzugriffen mit nachgelagerter Prüfung.
Managementschnittstellen werden nicht ohne bestätigten Bedarf öffentlich exponiert.
¶ 25. Cloud-Netzwerke
Bei Cloud-Netzen werden zusätzlich gesteuert:
- Konten, Subscriptions/Projekte, Mandanten und Regionen,
- virtuelle Netze, Subnetze, Routing und Security Groups,
- Internet-Gateways, private Endpunkte und Peering,
- hybride Verbindungen und Transitnetze,
- Cloud-Firewalls, Load Balancer, WAF und DNS,
- Identitäts- und rollenbasierte Administration,
- Infrastruktur als Code, Änderungs- und Driftkontrolle,
- Providerlogs, Flow Logs und Sicherheitsalarme,
- Exit, Export, Trennung und Löschung.
Providerstandardwerte gelten nicht automatisch als sichere Konfiguration.
¶ 26. Standort- und Weitverkehrsverbindungen
- Standorte, Bandbreiten, Provider, Übergänge und Abhängigkeiten werden dokumentiert.
- Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit werden risikobasiert geschützt.
- Routen, Failover, QoS und Notbetrieb werden getestet.
- Providerzugriffe und -änderungen werden kontrolliert.
- Lokale Internet-Breakouts und alternative Wege werden in der Sicherheitsarchitektur berücksichtigt.
- Trennung von Gast-, Büro-, Produktion-, Management- und Sicherheitsverkehr bleibt standortübergreifend erhalten.
¶ 27. OT-, Produktions- und Gebäudenetze
Für OT und cyber-physische Systeme gelten zusätzlich:
- Bestand, Zonen, Produktionsabhängigkeiten und Anlagen-Owner sind bestätigt.
- Büro-, Gast- und Internetzugriffe werden von OT angemessen getrennt.
- Übergänge erfolgen über kontrollierte, dokumentierte Gateways.
- Fernwartung, Herstellerzugang und Wechseldatenträger werden besonders gesteuert.
- Verfügbarkeit und Personensicherheit werden mit Informationssicherheit abgestimmt.
- Änderungen, Scans und Tests werden mit Anlagenrisiko und Wartungsfenstern geplant.
- Altprotokolle und nicht patchbare Systeme erhalten kompensierende Maßnahmen.
- Notbetrieb und Wiederanlauf werden praktisch erprobt.
¶ 28. IoT und eingebettete Geräte
Vor Anschluss werden bewertet:
- Hersteller, Eigentum, Zweck und Supportzeitraum,
- Standardzugänge, Updatefähigkeit und bekannte Schwachstellen,
- Cloud- und Herstellerkommunikation,
- Mikrofon, Kamera, Sensorik und Standortdaten,
- erforderliche Ziele, Protokolle und Bandbreiten,
- eigene Zone, minimale Kommunikation und Monitoring,
- Rücksetzen, Eigentumswechsel und sichere Außerbetriebnahme.
Nicht verwaltbare Geräte erhalten keine unnötige Verbindung zu schutzbedürftigen Netzen.
¶ 29. Sprach-, Video- und Unified-Communications-Dienste
- Dienste, Konten, Gateways und Provider werden freigegeben.
- Signal- und Medienverkehr wird angemessen geschützt und segmentiert.
- Administration, Aufzeichnung, Transkription und Voicemail werden besonders kontrolliert.
- Externe Einwahl, Weiterleitung und Premium-/Mehrwertdienste werden begrenzt.
- Missbrauch, Gebührenbetrug, Identitätstäuschung und ungewöhnliche Nutzung werden überwacht.
- Notruf-, Ausfall- und Ersatzkommunikation werden berücksichtigt.
¶ 30. E-Mail-Kommunikationsdienste
Für technische E-Mail-Dienste werden gesteuert:
- autorisierte Domänen, Relays und Versandquellen,
- Schutz vor Spoofing, Phishing, Malware und unzulässiger Weiterleitung,
- Absenderauthentizität und Domänenschutz nach aktueller technischer Bewertung,
- sichere Transportwege, soweit erforderlich,
- Quarantäne, Freigabe und Fehlalarmverfahren,
- Protokollierung, Aufbewahrung und Incident-Unterstützung,
- Drittanbieter, Newsletter-, Marketing- und Systemversanddienste.
Die nutzerbezogene Empfänger- und Inhaltsprüfung regelt Informationsübertragung.
¶ 31. Datei-, Datenaustausch- und Kollaborationsdienste
Netzwerk- und Dienstschutz umfasst:
- benannte, authentisierte Empfänger,
- getrennte interne und externe Freigaben,
- minimale Protokolle und freigegebene Gateways,
- Verschlüsselung, Zertifikats- und Schlüsselsteuerung,
- Größen-, Typ-, Malware- und Inhaltskontrollen nach Risiko,
- Ablauf, Widerruf, Protokollierung und Löschung,
- Blockierung nicht freigegebener Transferwege.
¶ 32. Kryptografischer Schutz
Netzwerkverschlüsselung wird nach Schutzbedarf und Risiko eingesetzt für:
- Standort- und Partnerverbindungen,
- Fernzugriff,
- Administration,
- Web-, E-Mail-, API- und Dateiübertragung,
- WLAN und Cloud-Verbindungen,
- besonders schutzbedürftige interne Kommunikationswege.
Verfahren, Protokolle, Schlüssellängen, Zertifikate und Lebenszyklen richten sich nach Kryptografie und Schlüssel und aktueller technischer Bewertung.
¶ 33. Netzwerkdienste und Provider
Für interne und externe Netzwerkdienste werden dokumentiert:
- Leistungsumfang, Owner und Zielgruppen,
- Sicherheitsmerkmale und Konfigurationsverantwortung,
- Verfügbarkeit, Kapazität, Support und Eskalation,
- Protokollierung, Monitoring und Nachweise,
- Unterauftragnehmer, Standorte und Fernzugriffe,
- Änderungen, Störungen und Meldefristen,
- Wiederanlauf, Portabilität, Exit und Löschung.
SLA oder Zertifikat des Providers ersetzen keine Prüfung der eigenen Konfiguration und Nutzung.
¶ 34. Sichere Konfiguration
Netzwerkkomponenten erhalten eine freigegebene Baseline, insbesondere für:
- deaktivierte Standardkonten und unnötige Dienste,
- sichere Managementprotokolle und Authentisierung,
- Rollen, privilegierte Rechte und Notfallzugang,
- Zeitsynchronisation, Logging und Monitoring,
- Verschlüsselung und Zertifikatsprüfung,
- Konfigurationsschutz, Banner und Sessionsteuerung,
- Routing-, Switching-, Firewall- und Schutzfunktionen,
- Backup, Wiederherstellung und Integritätsprüfung.
Soll-Ist-Abweichungen werden dokumentiert und behandelt.
¶ 35. Schwachstellen und Patchen
- Geräte, virtuelle Appliances, Firmware, Betriebssysteme und Dienste werden in den Schwachstellenprozess einbezogen.
- Hersteller- und Bedrohungsinformationen werden überwacht.
- Exponierte und sicherheitskritische Komponenten werden priorisiert.
- Updates werden getestet, freigegeben, eingespielt und verifiziert.
- Nicht patchbare Komponenten erhalten Segmentierung, Filterung, Monitoring oder Ersatzplanung.
- Scans und Tests berücksichtigen Verfügbarkeit und OT-Risiken.
- Ausnahmen besitzen Risikoentscheidung, Kompensation und Ablaufdatum.
Details regelt Schwachstellen- und Patchmanagement.
¶ 36. Protokollierung
Risikobasiert protokolliert werden:
- administrative Anmeldungen und Konfigurationsänderungen,
- Regeländerungen, Objektänderungen und Freigaben,
- erlaubte oder blockierte Verbindungen nach festgelegtem Bedarf,
- Authentisierungs-, VPN-, NAC- und Fernzugriffsereignisse,
- DNS-, Proxy-, Webfilter-, E-Mail- und Sicherheitsereignisse,
- Verfügbarkeit, Kapazität, Fehler und Failover,
- ungewöhnliche Kommunikation und erkannte Angriffe.
Protokolle werden gegen unberechtigte Einsicht, Veränderung und Löschung geschützt.
¶ 37. Monitoring und Alarmierung
Monitoring wird aus Bedrohungen, Kritikalität und erwartbarem Normalverhalten abgeleitet.
Zu überwachen sind je nach Risiko:
- Verfügbarkeit, Latenz, Verlust, Auslastung und Fehler,
- Änderungen an Konfiguration, Regeln, Routen und Firmware,
- neue, unbekannte oder nicht konforme Geräte,
- ungewöhnliche interne und externe Verbindungen,
- Scans, Brute Force, Command-and-Control und Exfiltrationsmuster,
- DNS-Anomalien, Tunnel, Proxy- und VPN-Missbrauch,
- Ausfall von Sensoren, Logquellen oder Zeitabgleich.
Für Alarme bestehen Owner, Priorität, Reaktionsziel, Eskalation und Abschlussnachweis.
¶ 38. Angriffserkennung und -verhinderung
IDS, IPS, NDR oder vergleichbare Funktionen werden risikobasiert eingesetzt.
Vor Wirksamkeitsaussage werden geprüft:
- Sensorabdeckung und relevante Netzwerkpfade,
- verschlüsselte und nicht einsehbare Verkehrsanteile,
- Signaturen, Modelle, Regeln und Aktualität,
- Alarmweiterleitung, Triage und Reaktion,
- Fehlalarme, Ausnahmen und Umgehungsmöglichkeiten,
- Auswirkungen blockierender Funktionen auf Betrieb und OT,
- praktische Testfälle und dokumentierte Ergebnisse.
Ein installierter Sensor ohne Abdeckung und Bearbeitung gilt nicht als wirksame Kontrolle.
¶ 39. Schutz vor Überlastung und DDoS
Für exponierte und kritische Dienste werden berücksichtigt:
- Kapazitätsgrenzen und Baselines,
- Provider- und vorgelagerte Schutzmöglichkeiten,
- Rate Limits, Verbindungsgrenzen und Ressourcensteuerung,
- Redundanz, Skalierung und alternative Wege,
- Alarmierung, Kontakt- und Eskalationsverfahren,
- Abschalt-, Filter- und Notfallentscheidungen,
- Tests oder Übungen ohne unvertretbare Betriebsgefährdung.
¶ 40. Schadsoftware- und Datenabflussschutz
Netzwerkseitige Kontrollen können umfassen:
- Blockierung schädlicher Ziele und Inhalte,
- Proxy-, DNS-, E-Mail- und Transferkontrollen,
- Erkennung ungewöhnlicher Protokolle, Mengen, Länder oder Zeitmuster,
- Einschränkung nicht freigegebener Cloud-, KI-, Speicher- und Fernwartungsdienste,
- Sandboxing, Inhalts- oder Malwareprüfung,
- Quarantäne und Netzisolation.
Abdeckung, Datenschutz, Fehlalarme und Wirksamkeit werden nachgewiesen; die Netzwerksicht ersetzt keine Endpunkt-, Identitäts- oder Datenkontrollen.
¶ 41. Zeitsynchronisation
- Netzwerk- und Sicherheitskomponenten verwenden freigegebene Zeitquellen.
- Vertrauenswürdigkeit, Erreichbarkeit und Redundanz werden festgelegt.
- Abweichungen und Ausfälle werden erkannt.
- Zeitzonen und Zeitstempel werden konsistent dokumentiert.
- Änderungen der Zeitkonfiguration sind geschützt und nachvollziehbar.
- Incident-, Log- und forensische Anforderungen werden berücksichtigt.
¶ 42. Konfigurationssicherung und Wiederherstellung
Für kritische Netzwerkkomponenten werden:
- Konfigurationen automatisiert oder kontrolliert gesichert,
- Sicherungen versioniert, verschlüsselt und getrennt geschützt,
- Geheimnisse angemessen behandelt,
- Wiederherstellung, Kompatibilität und Integrität getestet,
- Ersatzgeräte, Images, Lizenzen und Schlüssel berücksichtigt,
- Zuständigkeiten und Notfallzugänge bestätigt.
Eine vorhandene Konfigurationsdatei ohne erfolgreichen Wiederherstellungstest gilt nicht als vollständiger Nachweis.
¶ 43. Verfügbarkeit, Redundanz und Kapazität
- Kritikalität und Wiederanlaufziele werden mit den Geschäftsprozessen abgestimmt.
- Einzelfehlerstellen und gemeinsame Abhängigkeiten werden identifiziert.
- Redundanz wird physisch und logisch auf echte Unabhängigkeit geprüft.
- Kapazität, Wachstum, Lastspitzen und Providergrenzen werden überwacht.
- Failover und Rückkehr in den Regelbetrieb werden getestet.
- Hochverfügbarkeit ersetzt keine Sicherung, Notfallplanung oder manuelle Ersatzverfahren.
¶ 44. Änderungen
Netzwerkänderungen folgen IT-Betrieb und Änderungen und enthalten mindestens:
- Zweck, Scope und betroffene Dienste/Zonen,
- Risiko-, Sicherheits- und Datenschutzbewertung,
- Sollkonfiguration und Peer Review,
- Test, Wartungsfenster und Kommunikationsplan,
- Backup und Rückfallplan,
- Freigabe und Funktionstrennung,
- Umsetzung, Validierung und Monitoring,
- Aktualisierung von Inventar, Diagrammen und Regeln,
- Abschluss- und Wirksamkeitsprüfung.
¶ 45. Notfalländerungen
Notfalländerungen:
- sind auf die erforderliche Gefahrenabwehr begrenzt,
- besitzen eine befugte Entscheidung und nachvollziehbare Aufzeichnung,
- sichern vorher den Zustand, soweit vertretbar,
- werden besonders überwacht,
- erhalten nachträglichen Test, Review und Dokumentationsabgleich,
- werden zurückgebaut oder regulär übernommen,
- dürfen nicht dauerhaft außerhalb des Change-Prozesses bestehen bleiben.
¶ 46. Tests und technische Prüfungen
Geeignete Prüfungen umfassen:
- Soll-Ist-Abgleich von Diagramm, Inventar und Konfiguration,
- Regelwerksanalyse und Rezertifizierung,
- Segmentierungs- und Erreichbarkeitstests,
- Prüfung von Internet-, Gast-, Cloud-, OT- und Managementgrenzen,
- VPN-, MFA-, Fernwartungs- und Sperrtests,
- Schwachstellen- und Härtungsprüfung,
- DNS-, Webfilter-, E-Mail- und Datenabflusstests,
- Alarm-, Log- und Zeitsynchronisationsprüfung,
- Failover-, Restore- und Notfalltests.
Tests werden autorisiert, risikobasiert geplant und so durchgeführt, dass Produktion und Personen nicht unvertretbar gefährdet werden.
¶ 47. Sicherheitsvorfälle
Bei Netzwerkereignissen werden je nach Lage:
- Alarm und betroffene Verbindungen verifizieren,
- relevante Logs, Konfigurationen und Zeitbezüge sichern,
- Systeme, Konten, Zonen oder Verbindungen kontrolliert isolieren,
- Geschäfts-, Produktions- und Personenauswirkungen berücksichtigen,
- Provider, Kunden oder Lieferanten über befugte Rollen einbinden,
- Blockierungen, Routen, Zertifikate oder Zugänge kontrolliert ändern,
- Wiederanlauf und Beobachtungsphase durchführen,
- Ursache, Reichweite, Datenabfluss und Korrekturmaßnahmen bewerten.
Der Incident Response bleibt führend.
¶ 48. Notbetrieb und Wiederanlauf
Notfallplanung berücksichtigt:
- Ausfall von Internet, WAN, DNS, VPN, Firewall, WLAN und Cloud-Verbindungen,
- Verlust zentraler Netzwerk- oder Sicherheitskomponenten,
- Provider-, Strom-, Standort- und Personalabhängigkeiten,
- alternative Kommunikations- und Administrationswege,
- sichere reduzierte Betriebsmodi,
- Ersatzkonfigurationen, Lizenzen, Schlüssel und Hardware,
- kontrollierte Rückkehr zum Normalbetrieb,
- Übungen mit bestätigten Wiederanlaufzielen.
¶ 49. Physische Netzwerksicherheit und Verkabelung
- Netzwerk- und Technikräume werden angemessen zoniert und geschützt.
- Schränke, Patchfelder, Konsolen- und Managementports sind gegen unbefugten Zugriff gesichert.
- Verkabelung wird gegen Beschädigung, Manipulation, Abhören und Umweltgefahren geschützt.
- Trassen und Übergabepunkte kritischer Verbindungen werden dokumentiert.
- Nicht benötigte Ports und Anschlüsse werden deaktiviert oder kontrolliert.
- Besucher-, Dienstleister- und Wartungszugriffe werden begleitet und nachgewiesen.
Details regelt Physische Sicherheit.
¶ 50. Dokumentation und Schutz von Netzwerkdetails
Folgende Inhalte werden regelmäßig als Vertraulich oder strenger behandelt:
- detaillierte Netzpläne, IP-Adressen und Routinginformationen,
- Firewallregeln, Sicherheitsobjekte und Ausnahmen,
- Managementzugänge, Schlüssel, Zertifikate und Notfallinformationen,
- Schwachstellen, Sensorabdeckung und Erkennungsgrenzen,
- Provider- und Kundenverbindungen,
- OT-, Sicherheits- und Wiederanlaufarchitekturen.
Wiki-Seiten enthalten nur die für Zielgruppe und Zweck erforderlichen Details; operative Geheimnisse liegen in geschützten Systemen.
¶ 51. Außerbetriebnahme
Bei Außerbetriebnahme werden:
- Geschäftsbedarf, Abhängigkeiten und Kommunikation geprüft,
- Routen, Regeln, DNS, Zertifikate, Konten und Monitoring entfernt,
- Konfigurationen und erforderliche Nachweise archiviert,
- Daten und Geheimnisse sicher gelöscht,
- Geräte inventarseitig aktualisiert, zurückgegeben oder vernichtet,
- Providerleistungen und Verträge beendet,
- Dokumentation und Wiederanlaufpläne angepasst,
- verbleibende Kommunikationswege auf Fehler oder Umgehung geprüft.
¶ 52. Ausnahmen
Ausnahmen werden nach Ausnahmen und Risikoakzeptanzen behandelt.
Sie enthalten mindestens:
- betroffene Zone, Komponente, Regel oder Dienst,
- Geschäftsgrund und Zeitraum,
- Risiko, Bedrohungen und betroffene Anforderungen,
- kompensierende Segmentierung, Filterung, Überwachung oder organisatorische Maßnahme,
- Owner, befugte Genehmigung und Ablaufdatum,
- Test, Review und Beendigungsnachweis.
¶ 53. Kontrollen und Wirksamkeitsprüfungen
| Kontrolle | mögliche Stichprobe | Frequenz im Entwurf |
|---|---|---|
| Netzbestand | Geräte, virtuelle Komponenten, Dienste und Owner gegen Istzustand | mindestens jährlich und laufend |
| Zonen/Diagramme | Architektur gegen Routen, VLANs, Firewalls und Cloudregeln | mindestens jährlich und bei Änderung |
| Firewallregeln | Zweck, Owner, Minimalität, Nutzung, Ablauf und Freigabe | mindestens halbjährlich im Entwurf |
| Internetexposition | externe Erreichbarkeit gegen freigegebenen Bestand | regelmäßig |
| Fernzugriff | Nutzer, MFA, Gerät, Ziel, Zeit und Protokoll | regelmäßig |
| Netzwerkgeräte | Baseline, Patch, Backup, Logging und Administration | regelmäßig |
| Segmentierung | kontrollierte Erreichbarkeitstests | mindestens jährlich und bei Änderung |
| Web-/DNS-/E-Mail-Schutz | Testfälle, Abdeckung, Alarme und Ausnahmen | regelmäßig |
| Provider | SLA, Störungen, Änderungen, Nachweise und Exit | mindestens jährlich |
| Wiederanlauf | Restore, Failover, Ersatzweg und Notfallzugang | nach Kritikalität |
¶ 54. Kennzahlen
| Kennzahl | Definition | Ziel im Entwurf |
|---|---|---|
| erfasste Netzwerkkomponenten und Dienste | vollständig / identifiziert | Zielwert festzulegen |
| Zonen mit bestätigtem Owner und Schutzbedarf | bestätigt / relevante Zonen | Zielwert festzulegen |
| aktuelle Firewallregelreviews | fristgerecht / fällig | Zielwert festzulegen |
| Regeln ohne Owner/Zweck/Ablauf | Anzahl nach Kritikalität | 0 kritische |
| unbekannte Internetexpositionen | Anzahl | 0 |
| konforme Netzwerkgeräte | Baseline-konform / geprüft | Zielwert festzulegen |
| gepatchte kritische Netzwerkkomponenten | fristgerecht / relevant | Zielwert festzulegen |
| vollständige Log-/Sensorabdeckung | abgedeckt / relevante Pfade | Zielwert festzulegen |
| rechtzeitig bearbeitete kritische Alarme | innerhalb Ziel / bestätigt | Zielwert festzulegen |
| erfolgreiche Segmentierungs-/Failovertests | bestanden / geplant | Zielwert festzulegen |
| Netzwerkstörungen | Dauer, Auswirkung und Ursache | Trend bewerten |
Unbekannte Grundgesamtheiten werden nicht als 100-prozentige Abdeckung ausgewiesen.
¶ 55. ISO-27001- und SoA-Zuordnung
| ISO/IEC-27001:2022-Control | Beitrag dieser Seite |
|---|---|
| A.5.14 Informationsübertragung | kontrollierte Kommunikationswege und Netzwerkdienste |
| A.5.19 bis A.5.23 | Provider-, Lieferanten-, Cloud-, Änderungs- und Exitsteuerung |
| A.7.12 Schutz von Verkabelung | physischer Schutz von Leitungen und Übergabepunkten |
| A.8.9 Konfigurationsmanagement | Baselines, Soll-Ist-Abgleich und Änderungen |
| A.8.15 bis A.8.17 | Protokollierung, Überwachung und Zeitsynchronisation |
| A.8.20 Netzwerksicherheit | Architektur, Schutz, Betrieb und Überwachung |
| A.8.21 Sicherheit von Netzwerkdiensten | Serviceanforderungen, Provider, SLA und Nachweise |
| A.8.22 Trennung von Netzwerken | Zonen, Vertrauensgrenzen, Segmentierung und Tests |
| A.8.23 Filterung von Webzugriffen | risikobasierte Web- und Zielkontrolle |
| A.8.24 Kryptografie | Schutz von Kommunikationsverbindungen |
Die verbindliche Anwendbarkeit und der Umsetzungsstatus werden im Statement of Applicability geführt. Diese Richtlinie allein belegt keinen umgesetzten Control.
¶ 56. TISAX-/VDA-ISA-Zuordnung
Die Richtlinie unterstützt insbesondere:
- Kapitel 4 Identitäts- und Zugriffsmanagement,
- Kapitel 5.1 Kryptografie,
- Kapitel 5.2 Betriebssicherheit,
- Kapitel 5.3 Systembeschaffung und Änderungen,
- Kapitel 6 Lieferantenbeziehungen,
- Kapitel 1.6 Incident- und Krisenmanagement.
Verbindliche Bewertungsregeln:
- Alle 46 Fragen des Reiters „Informationssicherheit“ werden einzeln umgesetzt und bewertet.
- Keine dieser Fragen wird wegen einer SoA-Entscheidung pauschal als „nicht anwendbar“ behandelt.
- Ein Netzplan oder Regelwerk belegt noch keine korrekte Konfiguration oder wirksame Segmentierung.
- Reifegrad benötigt reale Konfigurationen, Regelreviews, Prüfungen, Alarme, Wiederanlauf- und Stichprobennachweise.
¶ 57. Risikobezug im Muster
| Referenz | Zusammenhang |
|---|---|
| RIS-2026-001 | Netzwerkzugriff auf vertrauliche Kundenzeichnungen |
| RIS-2026-002 | Ransomware, Segmentierung, EDR-Abdeckung und Wiederanlauf |
| RIS-2026-003 | Cloud-Kommunikation, Provider und Ausfall |
| RIS-2026-004 | externe Fernwartung und Dienstleisterzugriffe |
| RIS-2026-005 | Datenabfluss und nicht kontrollierte Transferwege |
| RIS-2026-006 | Netzwerkabhängigkeit von Sicherung und Wiederherstellung |
| RIS-2026-009 | Standort-, Versorgungs- und Produktionsunterbrechung |
| RIS-2026-010 | kritische Schwachstellen in erreichbaren Systemen |
| RIS-2026-013 | IKT-Lieferkette und externe Dienste |
| RIS-2026-014 | Phishing, schädliche Ziele und Kontoübernahme |
M-002, M-004, M-010 und TISAX-M-010 bleiben offen, bis technische Umsetzung und Wirksamkeit belastbar nachgewiesen sind.
¶ 58. Aktueller Dokumenten- und Umsetzungsstatus
| Prüfaspekt | Status am 23.07.2026 |
|---|---|
| Sollregelung erstellt | Ja, als Entwurf |
| vollständiger Netz-/Dienstebestand | Nicht nachgewiesen |
| bestätigte Ist-Architektur | Nein |
| freigegebenes Zonenmodell | Nicht nachgewiesen |
| vollständige Kommunikationsmatrix | Nicht nachgewiesen |
| Firewallregelbestand und Reviews | Nicht geprüft |
| Internetexposition und externe Zugänge | Nicht vollständig geprüft |
| sichere Geräte-/Dienstekonfiguration | Nicht nachgewiesen |
| Logging, Monitoring und Alarmbearbeitung | Nicht nachgewiesen |
| Segmentierungs- und Wiederanlauftests | Nicht durchgeführt/nicht belegt |
| Provider-/Cloud-Anforderungen | Nicht vollständig geprüft |
| offene Maßnahmen wirksam abgeschlossen | Nein |
| fachliche Prüfung | Ausstehend |
| Geschäftsführungsfreigabe | Ausstehend |
| 46 ISA-Informationssicherheitsfragen bewertet | Nein; 0 von 46 |
¶ 59. Offene Punkte vor Freigabe
- realen Bestand an Netzen, Komponenten, Diensten, Providern und Ownern erfassen
- Soll-, Ist-, Übergangs- und Notfallarchitektur unterscheiden und bestätigen
- Zonen, Vertrauensgrenzen und Schutzbedarf freigeben
- Kommunikationsmatrix und Firewallregelbestand vollständig zuordnen
- Internetexposition, Fernzugriffe und Herstellerverbindungen prüfen
- WLAN-, Cloud-, OT-, IoT- und Gastnetze bewerten
- sichere Konfigurationsbaselines und Patchfristen festlegen
- DNS-, Web-, E-Mail-, Proxy- und Datenabflussschutz technisch prüfen
- Logging, Sensorabdeckung, Alarme und Reaktionsziele operationalisieren
- Providerverträge, SLA, Änderungen, Notbetrieb und Exit bestätigen
- Segmentierung, Restore, Failover und Ersatzwege praktisch testen
-
M-002,M-004,M-010undTISAX-M-010nachweisbezogen bearbeiten - alle 46 ISA-Informationssicherheitsfragen bewerten
- fachliche Prüfung und formale Freigabe dokumentieren
¶ 60. Qualitätssicherung vor Freigabe
| Prüffrage | Status Entwurf |
|---|---|
| Ist der reale Netz- und Dienstebestand vollständig? | Nein |
| Stimmen Diagramme, Inventar und Konfiguration überein? | Nicht geprüft |
| Sind Zonen und Vertrauensgrenzen risikobasiert bestätigt? | Nein |
| Sind Kommunikationsregeln minimal, begründet und aktuell? | Nicht nachgewiesen |
| Sind Internet-, Provider-, Cloud-, OT- und Gastzugänge kontrolliert? | Nicht vollständig geprüft |
| Sind Managementzugänge und privilegierte Konten geschützt? | Nicht nachgewiesen |
| Sind Baselines, Patches und Konfigurationssicherungen aktuell? | Nicht nachgewiesen |
| Sind Protokollierung, Sensorabdeckung und Alarmbearbeitung wirksam? | Nicht geprüft |
| Sind Segmentierung, Failover und Wiederanlauf getestet? | Nein |
| Sind Datenschutz und Mitbestimmung bei Filterung/Monitoring geprüft? | Ausstehend |
| Sind alle 46 ISA-Informationssicherheitsfragen bewertet? | Nein; 0 von 46 |
| Liegen fachliche Prüfung und Geschäftsführungsfreigabe vor? | Nein |
¶ 61. Mitgeltende Dokumente
- ISMS-Startseite
- Geltungsbereich und Standorte
- ISO-TISAX-Mapping
- Informationssicherheitspolitik
- Rollen und Verantwortlichkeiten
- Dokumentenlenkung
- Methodik der Risikobewertung
- Risikoregister
- Risikobehandlungsplan
- Statement of Applicability
- Rechts- und Vertragskataster
- Ausnahmen und Risikoakzeptanzen
- Asset-Inventar
- Zulässige Nutzung von Assets
- Informationsklassifizierung
- Standorte und Sicherheitsbereiche
- Lieferanten und Dienstleister
- Physische Sicherheit
- Zugriff und Berechtigungen
- Kryptografie und Schlüssel
- Informationsübertragung
- Bedrohungsinformationen
- IT-Betrieb und Änderungen
- Schwachstellen- und Patchmanagement
- Protokollierung und Überwachung
- Datensicherung und Wiederherstellung
- Mobile Arbeit und Cloud
- Sichere Entwicklung
- Meldeweg für Sicherheitsvorfälle
- Incident Response
- Notfallvorsorge und BCM
- Wiederanlaufplanung
- VDA-ISA-Selbsteinschätzung
- Maßnahmenplan und Reifegrad
- Datenschutz im TISAX-Kontext
- Prototypenschutz
- Auditprogramm
- Interne Audits
- Abweichungen und Korrekturmaßnahmen
- NIS2 Netz- und Informationssysteme
¶ 62. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.3 | 08.08.2026 | NIS2-Register für Netz- und Informationssysteme als Architektur- und Scope-Schnittstelle ergänzt | IT-Leitung / Netzwerk / NIS2-Koordination | Ausstehend | – |
| 0.2 | 06.08.2026 | SVG-Titelgrafik ergänzt, Bildpfad auf /public-bilder vereinheitlicht und responsive Darstellung umgesetzt; keine Änderung der fachlichen Regelung | IT-Leitung und Netzwerkverantwortung | Ausstehend | – |
| 0.1 | 23.07.2026 | Netzwerk- und Kommunikationssicherheitsregelung mit Architektur, Segmentierung, Diensten, Betrieb, Monitoring und Wiederanlauf angelegt | IT / Netzwerk / ISMS | Ausstehend | – |
¶ 62.1 Formale Dokumentenfreigabe
| Funktion | Name | Entscheidung | Datum |
|---|---|---|---|
| Netzwerkverantwortung | – | technische Prüfung ausstehend | – |
| IT-Leitung | – | betriebliche Prüfung ausstehend | – |
| Informationssicherheit | – | Sicherheitsprüfung ausstehend | – |
| Produktion/OT/BCM | – | Kritikalitäts- und Notfallprüfung ausstehend | – |
| Datenschutz/Recht/Einkauf | – | Filter-, Provider- und Anforderungsprüfung ausstehend | – |
| Geschäftsführung | – | Freigabe ausstehend | – |
¶ 63. Externe Grundlagen
- ISO – ISO/IEC 27001 Information security management systems
- ENX – TISAX Downloads und aktuelle ISA-Versionen
- BSI – IT-Grundschutz-Kompendium
- BSI – Sichere Nutzung von TLS
Normtexte, VDA-ISA, Rechtsquellen, Provider- und Kundenverträge sowie aktuelle technische Empfehlungen sind in ihrer jeweils gültigen Fassung separat zu prüfen. Diese Seite enthält bewusst keine produktiven Adressen, Regeln, Zugangsdaten oder Geheimnisse.