Hamburg, August 2026 – Mit der Integration der Richtlinie „Cybersicherheit Eisenbahn“ (RL CySec-Rail) erweitert CRISAM® seine Multi-Compliance-Unterstützung für Betreiber kritischer Infrastrukturen. Eisenbahnunternehmen können die regulatorischen Anforderungen des Schweizer Bundesamts für Verkehr nun strukturiert bewerten, mit bestehenden Sicherheitsstandards verknüpfen und ihre Umsetzung nachvollziehbar dokumentieren.

Die RL CySec-Rail ist seit dem 1. Juli 2024 in Kraft. Sie konkretisiert die Anforderungen an Informationssicherheitsmanagementsysteme im Schweizer Eisenbahnsektor und dient dem Bundesamt für Verkehr zugleich als Grundlage für seine Aufsichtstätigkeit. Betroffen sind Eisenbahninfrastrukturbetreiberinnen und Eisenbahnverkehrsunternehmen. Der Geltungsbereich umfasst die eingesetzten Prozesse, Informationssysteme und Datennetze – von klassischer IT über Operational Technology bis zu ICT-Systemen in Eisenbahnfahrzeugen.

Sieben ISMS-Anforderungen und 29 Basismassnahmen

Im Zentrum der Richtlinie steht ein risikobasiertes Informationssicherheitsmanagementsystem. Die sieben übergeordneten Mindestanforderungen betreffen:

• Informationssicherheitsstrategie
• Rollen und Verantwortlichkeiten
• Richtlinien und Organisation
• regelmäßige Überprüfungen und Audits
• kontinuierliche Verbesserung
• Dokumentation
• Risikobeurteilung und Risikobehandlung

Ergänzt werden diese Anforderungen durch 29 organisatorische und technische Controls. Sie behandeln unter anderem Asset- und Lieferantenmanagement, Informationssicherheit in Projekten, Cloud-Nutzung, Security Monitoring, Incident Management, Business Continuity, Zugriffsmanagement, Schwachstellenmanagement und Netzsegmentierung.

Besonderes Augenmerk gilt den Anforderungen an Operational Technology und Eisenbahnfahrzeuge. Hier müssen Security-Maßnahmen eng mit dem Safety Management abgestimmt werden. Damit trägt die Richtlinie den besonderen Rahmenbedingungen des Eisenbahnbetriebs Rechnung: hohe Verfügbarkeitsanforderungen, lange Systemlebenszyklen, eingeschränkte Aktualisierungsmöglichkeiten und die enge Verbindung zwischen Cybersecurity und funktionaler Sicherheit.

Auditbereit gegenüber Management und Aufsicht

Mit CRISAM® lässt sich der Erfüllungsgrad der RL CySec-Rail systematisch erfassen. Abweichungen können bewertet, Maßnahmen zugewiesen und ihre Umsetzung nachverfolgt werden. Die zugehörigen Nachweise stehen zentral für interne Audits, Managementberichte und aufsichtsrechtliche Prüfungen zur Verfügung.

Auch der von der Richtlinie geforderte verbindliche Umsetzungszeitplan kann transparent gesteuert werden. So wird aus der regulatorischen Vorgabe ein nachvollziehbarer Verbesserungsprozess – von der ersten Gap-Analyse über die Risikobehandlung bis zur regelmäßigen Überprüfung der Wirksamkeit.