Question 1

Ist mein Unternehmen von NIS2 betroffen?

Accepted Answer

NIS2 gilt für mittlere und große Unternehmen in den sogenannten „kritischen“ Sektoren (Energie, Wasser, Verkehr, Gesundheitswesen, Lebensmittelversorgung, digitale Infrastruktur) und „wichtigen“ Sektoren (Fertigung, Chemie, Postdienste, Abfallwirtschaft). Wenn Sie vernetzte Industrieanlagen in diesen Branchen betreiben, sind Sie wahrscheinlich davon betroffen. Die vollständige Liste finden Sie auf der Website der ANSSI oder lassen Sie sich von unserem Team beraten.

Question 2

Muss das Eziwan-Gateway CRA-zertifiziert sein?

Accepted Answer

Ja. Die CRA-Verordnung (gültig ab Dezember 2027) schreibt eine CE-Kennzeichnung für Cybersicherheit für alle Produkte vor, die digitale Komponenten enthalten, darunter Router und IoT-Gateways. Eziwan verpflichtet sich zu einem umfassenden Plan zur Einhaltung der CRA-Vorschriften vor Ablauf der Frist. Das Gateway wurde bereits gemäß den in der Verordnung geforderten „Secure by Design“-Grundsätzen entwickelt.

Question 3

Was bedeutet „Zero Trust“ im Zusammenhang mit der OT?

Accepted Answer

Das Zero-Trust-OT-Modell bedeutet, dass kein Gerät standardmäßig als vertrauenswürdig eingestuft wird, auch nicht innerhalb des Netzwerks. Konkret bedeutet dies bei Eziwan: keine offenen Ports zum Internet (Zero Inbound Port), Authentifizierung jedes Gateways mittels asymmetrischer Zertifikate, streng kontrollierter Benutzerzugriff (MFA, RBAC, Ablauf) sowie Segmentierung jedes Standorts in einen eigenen VPN-Tunnel.

Question 4

Wie dokumentiere ich die Eziwan-Konformität für mein NIS2-Audit?

Accepted Answer

Eziwan Cloud stellt umfassende Audit-Exporte bereit: Gerätebestandsliste, Zugriffsprotokolle, Netzwerkereignisse, VPN-Konfigurationen. Unser Team kann Ihnen ein technisches Konformitätsdossier bereitstellen, das den Anforderungen von NIS2 und den ANSSI-Richtlinien entspricht. Wenden Sie sich an unser Sicherheitsteam, um Ihr Audit vorzubereiten.

Question 5

Inwiefern stimmen Eziwan und IEC 62443 überein?

Accepted Answer

Die Eziwan-Architektur entspricht den Anforderungen der Norm IEC 62443-3-3 auf Sicherheitsstufe 2 (SL2): Authentifizierung, Verschlüsselung, Prüfpfad, Flusskontrolle, Software-Integrität. Für Kunden, die SL3 erreichen möchten, stehen erweiterte Konfigurationen zur Verfügung (physische Isolierung, Authentifizierung mittels Hardware-Token).

Question 6

Wie führe ich die IT-OT-Netzwerksegmentierung in meinem Werk ein?

Accepted Answer

Die IT/OT-Netzwerksegmentierung ist die von der Norm IEC 62443 und der ANSSI empfohlene vorrangige Maßnahme zum Schutz industrieller Systeme. Als Referenzarchitektur dient das Purdue-Modell (ISA-95/ISA-99), das fünf Ebenen definiert: Ebene 0 (Feld, Sensoren, Aktoren), Ebene 1 (SPS, Frequenzumrichter), Ebene 2 (SCADA-Überwachung, HMI), Ebene 3 (MES, Protokollierung), Ebene 4 (ERP, IT-Büroanwendungen). Die Grundregel lautet, dass kein Datenstrom zwei Ebenen durchqueren darf, ohne eine DMZ (demilitarisierte Zone) mit Anwendungsfilterung zu passieren. In der Praxis erfolgt die IT/OT-Segmentierung mithilfe einer industriellen Firewall (Fortinet FortiGate, Palo Alto PA-400, Cisco FirePower), die im Anwendungsmodus konfiguriert ist, um OT-Protokolle (Modbus, OPC-UA, EtherNet/IP) zu überprüfen. Spezielle VLANs isolieren jeden Bereich: VLAN 10 für die Steuerungen, VLAN 20 für die Überwachung, VLAN 30 für den Fernzugriff. Bei Eziwan erfolgt die Segmentierung nativ: Das OT-Gateway initiiert eine ausgehende OpenVPN-Verbindung zur Cloud (keine eingehenden Ports), und der VPN-Tunnel bildet selbst einen isolierten Kanal gemäß IEC 62443-3-2. Das OT-Netzwerk hat niemals Einblick in das IT-Unternehmensnetzwerk – jeder Eziwan-Standort verfügt über einen eigenen verschlüsselten Tunnel.

Question 7

Wie läuft ein Cybersicherheits-Audit für industrielle OT-Systeme ab?

Accepted Answer

Ein OT-Cybersicherheits-Audit unterscheidet sich grundlegend von einem klassischen IT-Audit durch die Vorgabe, den Betrieb nicht zu unterbrechen. Die Standardmethodik umfasst vier Phasen. Phase 1 – Passive Kartierung (2–3 Tage): Identifizierung der im OT-Netzwerk vorhandenen Geräte ohne Einleitung von aktivem Datenverkehr. Die verwendeten Tools sind Nmap im passiven Modus (nur Abhören des vorhandenen Datenverkehrs), Claroty, Nozomi Networks Guardian oder Dragos Platform, die den über den SPAN-Port erfassten Netzwerkverkehr analysieren. Diese Phase liefert ein vollständiges Inventar: SPSen, HMIs, Engineering-Workstations, industrielle Switches samt Firmware-Versionen. Phase 2 – Schwachstellenanalyse (3–5 Tage): Abgleich des Bestandsverzeichnisses mit den CVE-Datenbanken (NVD, ICS-CERT), um aktive CVEs auf Ihren Geräten zu identifizieren. Typische Beispiele: Siemens SINEMA (CVE-2022-43767, CVSS-Score 9,8), Schneider EcoStruxure (CVE-2023-37196), Rockwell ControlLogix (CVE-2022-1159). Phase 3 – Kontrollierte Penetrationstests (optional, außerhalb der Produktion): Penetrationstests während eines geplanten Wartungsfensters, um die tatsächliche Ausnutzbarkeit der identifizierten CVEs zu überprüfen. Phase 4 – Bericht und Roadmap (5–10 Tage): Abschlussbericht mit CVSS-Kritikalität, Abbildung der Datenflüsse, priorisierten Empfehlungen und einem 12-monatigen Behebungsplan. Die Gesamtdauer eines vollständigen OT-Audits beträgt je nach Umfang (Anzahl der Standorte, Anzahl der Steuerungsgeräte) 4 bis 8 Wochen. Die Kosten variieren je nach Komplexität zwischen 15.000 und 80.000 €.

Question 8

Welche SPS-Steuerungen sind derzeit am anfälligsten für Cyberangriffe?

Accepted Answer

Industrielle Steuerungen weisen strukturell erhebliche Schwachstellen auf, da sie zu einer Zeit entwickelt wurden, als Konnektivität noch keine Priorität hatte. Die drei Produktreihen, die im Zeitraum 2024–2025 am häufigsten ins Visier genommen werden, sind die folgenden. Siemens S7-1500: Die CVE-2022-43767 (CVSS-Score 9,8) ermöglicht die Remote-Codeausführung über den integrierten Webserver bei Firmware-Versionen vor V2.9.4. Die CVE-2023-46280 betrifft die OPC-UA-Kommunikation. Schneider Electric Modicon M340: Die CVE-2022-45788 (CVSS 9,8) ermöglicht einen Denial-of-Service-Angriff über den nicht authentifizierten Modbus-TCP-Port 502. Firmware-Versionen vor V3.60 von Unity Pro sind zudem von Schwachstellen zur Rechteausweitung betroffen. Rockwell Automation ControlLogix: Die im Juli 2023 bekannt gewordenen CVE-2023-3595 und CVE-2023-3596 (CVSS 9,8) ermöglichen die unbefugte Änderung von Ladder-Programmen über das Netzwerk. Diese CVEs wurden bei Angriffen auf die kritische Infrastruktur der USA ausgenutzt. Der für alle diese Steuerungen empfohlene Prozess zur Firmware-Aktualisierung lautet: (1) Einsicht in die PSIRT-Bulletins (Product Security Incident Response Team) der jeweiligen Hersteller, (2) Test der Firmware in einer Simulationsumgebung vor der Bereitstellung im Produktivbetrieb, (3) Bereitstellung während eines geplanten Wartungsfensters mit einem Plan für die Rücknahme der Änderungen, (4) Überprüfung der Integrität der heruntergeladenen Firmware (vom Hersteller veröffentlichter SHA-256-Hash). Eziwan abonniert die PSIRT-Bulletins von Siemens, Schneider und Rockwell, um betroffene Kunden innerhalb von 24 Stunden nach Veröffentlichung einer kritischen CVE zu benachrichtigen.

Sicherheitsanforderung	CRA	NIS2	IEC 62443	ANSSI
Starke Authentifizierung (MFA)
Verschlüsselung während der Übertragung (TLS 1.3)
Verschlüsselung im Ruhezustand (AES-256)		—
Keine eingehenden Ports (Zero Trust)
Granulare RBAC	—
Unveränderliche Audit-Protokolle
Signierte Firmware (OTA)		—		—
Verwaltung von Sicherheitslücken (CVE)		—	—	—
Trennung von OT und IT	—
Kontinuität (Dual-SIM-Failover)	—		—
Souveränes Hosting in Frankreich	—	—	—
Vollständige technische Dokumentation

Einhaltung der Cybersicherheitsvorschriften
integrierte Industrie

Was jede Vorschrift
erwartet von Ihnen

6 Sicherheitsschichten
Zero-Trust-OT

Port 0 für eingehenden Datenverkehr

End-to-End-Verschlüsselung

Starke Authentifizierung

RBAC & Zugriffskontrolle

Trennung von OT und IT

Sichere Firmware & OTA

Eziwan deckt ab die wichtigsten Anforderungen

Zertifiziert. Dokumentiert.
Auditable.

Häufig gestellte Fragen

Sind Sie bereit, Ihre Compliance sicherzustellen?
Industrielle Cybersicherheit?

Einhaltung der Cybersicherheitsvorschriftenintegrierte Industrie

Was jede Vorschrifterwartet von Ihnen

6 SicherheitsschichtenZero-Trust-OT