Standards des BSI-Audits übererfüllt, ISO 27001 angestrebt
Jedes KRITIS-zugehörige Unternehmen ist gesetzlich dazu verpflichtet, sich alle zwei Jahre dem BSI-Audit zu stellen. Dabei prüft ein zertifizierter Auditor, ob das Unternehmen die gesetzlichen Regulatorien des BSI erfüllt. "Wir nehmen das Thema Informationssicherheit sehr ernst und sind uns unserer Verantwortung bewusst. Das verlangen nicht nur die gesetzlichen Vorgaben. Auch unsere Kund*innen fordern zu Recht eine weitreichende Strategie zum Schutze der gemeinsam genutzten Informationssysteme im Rahmen unserer Serviceleistungen – und die bekommen sie", erläutert Nicolas Abel, Chief Information Security Officer bei der Deutschen Windtechnik. "Das BSI-Audit ist deswegen für uns nur ein Nachweis für die Erfüllung der Minimal-Anforderungen. Die eigentliche Messlatte unseres KRITIS-Konzepts liegt bei den Anforderungen der ISO 27001."
Denn die ISO 27001 ist die international anerkannte Norm für Informationssicherheits-Managementsysteme (ISMS). Sie zielt darauf ab, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu schützen. Entsprechend gibt sie die Anforderungen an die Implementierung eines ISMS vor und legt dessen Betrieb, Überwachung, Wartung und Verbesserung fest. Die Maßnahmen umfassen Risikomanagement, Sicherheitsrichtlinien, Zugriffskontrollen, Notfallpläne und kontinuierliche Überwachung, um Informationssicherheitsrisiken zu identifizieren, zu bewerten und zu minimieren.
Dezidierte Netzwerke für kritische Infrastrukturen
Die Sicherheit der Leitwarten steht bei der Deutschen Windtechnik im Zentrum der Schutzmaßnahmen. Sie gelten laut KRITIS-Vorgabe als besonders "kritische" bzw. schützenswerte Anlagen. Wären sie einem Cyberangriff ausgesetzt, könnte das weitreichende Auswirkungen haben: auf den Betrieb der betreuten Anlagen, auf unsere Kundinnen und Kunden bis hin zur Stromversorgung von Teilen der Bevölkerung.
"Wir sorgen dafür, dass niemand ohne Berechtigung auf unsere Datenströme zugreifen oder sie verändern kann", unterstreicht Nicolas Abel. "Dafür haben wir unsere kritische Infrastruktur in ein dezidiertes, unabhängiges Kraftwerknetzwerk verlagert. Diese Maßnahme geht deutlich über die gesetzlichen Anforderungen hinaus. Das findet man in der Windbranche tatsächlich nur recht selten."
Informationssicherheit bezieht die Mitarbeiterschaft ein
Ein wesentlicher Aspekt der Informationssicherheit ist es, Informationen unabhängig vom Speichermedium sicher zu machen. Denn Informationssicherheit geht über IT-Sicherheit hinaus. Dabei beschäftigen wir uns damit, wie Informationen klassifiziert, verschlüsselt, versendet, und später vernichtet werden – digital und analog. "Wir sind uns bewusst und darauf vorbereitet, dass Dritte versuchen könnten, an sensible Daten zu kommen, um Schaden anzurichten", sagt Nicolas Abel. "Dabei beginnt die Informationssicherheit bereits bei uns selbst – beim Menschen. Um das Bewusstsein unserer Mitarbeitenden zu schärfen, führen wir zum Beispiel regelmäßig Schulungen durch. So sind sie besser in der Lage, Phishing-Versuche zu identifizieren und zu melden."
Sicherheit schafft Vertrauen
Wir sind auf einem globalen Markt tätig. Das erfordert ein Denken über die Deutschen Grenzen hinaus – auch bei der Informationssicherheit. Indem wir uns an der international anerkannten ISO 27001 orientieren, setzen wir höchste Standards, dem auch unsere globalen Kund*innen vertrauen. Mit unserer konsequenten Ausrichtung auf die ISO 27001 setzen wir ein klares Zeichen: Wir sind uns unserer gesellschaftlichen Verpflichtung bewusst – Sicherheit ist für uns nicht nur eine gesetzliche Verpflichtung, sondern eine zentrale Säule unserer Unternehmensstrategie.
Diese proaktive Herangehensweise an die Informationssicherheit unterstreicht unser Engagement für höchste Sicherheitsstandards und schafft Vertrauen bei allen, die unsere Dienstleistungen in Anspruch nehmen. Unsere Standards stärken gemeinsame digitale Infrastruktur sowie das Vertrauen in die eigene Sicherheitsstrategie.
