Cybersicherheit Eisenbahn (RL CySec-Rail)

1 Ausgangslage

Die Verfügbarkeit und die Korrektheit von Daten und Informationen sind ein wesentlicher Erfolgsfaktor für alle Geschäftsprozesse im Bereich des öffentlichen Verkehrs. Die fortschreitende Digitalisierung führt dazu, dass Informationen heute überwiegend elektronisch verarbeitet und gespeichert werden. Gleichzeitig werden immer mehr und immer unterschiedlichere Systeme miteinander vernetzt. Die Grenzen zwischen Informatikanwendungen, Kommunikations-, Industrie- und Eisenbahnanlagen, wie sie im öffentlichen Verkehr zur Anwendung kommen, verschwinden zunehmend.

Daraus resultiert eine hohe Abhängigkeit von informationsverarbeitenden Systemen und Anwendungen. Die zunehmende Vernetzung eröffnet zwar neue unternehmerische Möglichkeiten und Chancen. Durch die damit verbundene erhöhte Anfälligkeit für Cyberangriffe verändert sich jedoch auch ständig das Gefährdungsbild. Gleiches gilt für das potenzielle Schadensausmass bei einem Angriff. Die öffentliche Wahrnehmung von Cyberbedrohungen hat sich jedoch in den letzten Jahren stark verändert, da die Auswirkungen von Cyberangriffen zunehmend sichtbar und spürbar geworden sind.

2 Ziel und Zweck der Richtlinie

Das vorliegende Dokument konkretisiert Artikel 2.1bis Absatz 1.2 der Ausführungsbestimmungen zur Eisenbahnverordnung hinsichtlich der minimalen Ausgestaltung des Informationssicherheitsmanagementsystems (ISMS).

Informationen, Daten und Systeme sollen entsprechend ihrem Schutzbedarf und unter Berücksichtigung der spezifischen Risikosituation geschützt werden. Dieser risikobasierte Ansatz ist die Grundlage für die Anwender dieser Richtlinie.

Dieser Ansatz besagt, dass Massnahmen zur Risikominderung und etwaige Lücken zwischen der aktuellen Risikominderung und dem vertretbarem Risikoniveau festzulegen sind, nachdem die wichtigsten Geschäftsrisiken in Bezug auf Vorschriften, operationellen und finanzielle Risiken oder Reputationsrisiken ermittelt wurden (siehe bspw. ISO/IEC 27005:2022, Kapitel 6.4). Das Erkennen von Bedrohungen und das Ermitteln von Risiken sowie deren Umgang sind deshalb zentrale Themen in einem ISMS und in dieser Richtlinie.

Die Verweise auf bestehende Hilfsmittel (Anhang 3) sollen bei der Implementierung eines ISMS unterstützen.

Werden die Vorgaben der Richtlinie durch das Eisenbahnunternehmen eingehalten, können die erarbeiteten ISMS-Grundlagen in methodischer Hinsicht durch das BAV akzeptiert werden. Abweichungen von den Vorgaben der Richtlinie sind zulässig, wenn das von Gesetz und der Verordnung verfolgte Ziel auf andere Weise erreicht wird.

Die Richtlinie dient zudem als Grundlage für die Prüfungen im Rahmen der Aufsichtstätigkeit des BAV.

Da sich Mittel und Vorgehensweisen von Cyberkriminellen wandeln und professionalisieren, wird sich diese Richtlinie im Laufe der Zeit weiterentwickeln.

24.06.2024 / Version: V1.1

3 Grundlagen / Referenzen

Das vorliegende Dokument basiert auf den nachfolgenden rechtlichen Grundlagen, Normen und Standards:

[1] Eisenbahngesetz (EBG), SR 742.1011

[2] Eisenbahnverordnung (SR 742.141.1)2 und deren Ausführungsbestimmungen (primär AB-EBV Art.

[3] Delegierte Verordnung (EU) 2018/762 DER KOMMISSION vom 8. März 2018 über gemeinsame Sicherheitsmethoden bezüglich der Anforderungen an Sicherheitsmanagementsysteme gemäss der Richtlinie (EU) 2016/798 des Europäischen Parlaments und des Rates und zur Aufhebung der Verordnungen (EU) Nr. 1158/2010 und (EU) Nr. 1169/2010 (CSM zum SMS)4

[4] Verordnung über die Koordination des Verkehrs zur Bewältigung von Ausnahmesituationen (VKOVA, siehe https://www.bav.admin.ch und https://www.fedlex.admin.ch/)

[5] Datenschutzgesetz (DSG), SR 235.15

[6] Informationssicherheitsgesetz (ISG)6 – Die Artikel mit der Meldepflicht bei Cyberangriffen wird im Jahr 2025 in Kraft gesetzt.

[7] Verordnung über die Sicherheitsuntersuchung von Zwischenfällen im Verkehrswesen (VSZV), SR 742.1617

[8] SN ISO/IEC 27001:2022 (Übersicht siehe Anhang 2, Kapitel 11)8

[9] SN ISO/IEC 27002:20228

[10] NIST Cybersecurity Framework CSF 2.0 (NIST CSF 2.0)9

[11] CLC/TS 50701:202310

[12] IEC 6244311

[13] Handbuch Cybersecurity für Betriebe des öffentlichen Verkehrs (Handbuch VöV vom 2020)12

3 https://www.bav.admin.ch/bav/de/home/rechtliches/rechtsgrundlagen-vorschriften/ab-ebv.html

5 https://www.fedlex.admin.ch/eli/cc/2022/491/de

6 https://www.fedlex.admin.ch/eli/fga/2023/2296/de

7 https://www.fedlex.admin.ch/eli/cc/2015/26/de

8 Die Normen ISO/IEC 27001 und ISO/IEC 27002 stehen auf der VöV-Normenplattform exklusiv den Mitarbeitenden der beteiligten Schweizer Eisenbahnunternehmen (ohne SBB), sowie BAV und ZVV zur Verfügung: www.voev.ch/normenplattform 9 https://www.nist.gov/cyberframework

10 Die Norm CLC/TS 50701 steht auf der VöV-Normenplattform exklusiv den Mitarbeitenden der beteiligten Schweizer Eisenbahnunternehmen (ohne

SBB), sowie BAV und ZVV zur Verfügung: www.voev.ch/normenplattform 11 Teile dieser Norm stehen auf der VöV-Normenplattform exklusiv den Mitarbeitenden der beteiligten Schweizer Eisenbahnunternehmen (ohne SBB),

sowie BAV und ZVV zur Verfügung: www.voev.ch/normenplattform 12 https://www.bwl.admin.ch/bwl/de/home/bereiche/ikt/ikt_minimalstandard/ikt_branchenstandards/oeffentlicher_verkehr.html

24.06.2024 / Version: V1.1

[14] SN EN 50159:201013

[15] BDEW Whitepaper Anforderungen an sichere Steuerungs- und Telekommunikationssysteme (Version 2.0 05/2018)14

[16] Verordnung über die Videoüberwachung im öffentlichen Verkehr – VüV-ÖV15

[17] Implementierungsleitfaden ISO/IEC 27001:2022 von ISACA16 (nur in deutscher Sprache vorhanden)

[18] D RTE 28100 - Nachweisführung Datennetze (Verband öffentlicher Verkehr)

Welche Normen sind vorzuziehen? Für die Erstellung und Aufrechterhaltung eines ISMS hat sich die ISO/IEC 27001 als international anerkannte Norm etabliert. Die ISO/IEC 27002 ist der Leitfaden für Massnahmen (Controls), die aus den Anforderungen der ISO/IEC 27001 risikobasiert umzusetzen sind. Die IEC 62443 Normen basieren auf den ISO 27000 Normen und erweitern diese mit den Unterschieden und Spezifika der industriellen Automation. Die CLC/TS 50701 basieren auf den IEC 62443 Normen mit Spezifika der Eisenbahnsysteme und Eisenbahnfahrzeuge (siehe auch Abbildung 1 in [11]). Im Bereich der elektrischen Anlagen sind das referenzierte BDEW Whitepaper [15] und die ISO/IEC 27019 weit verbreitet. Für den Einstieg in das Thema Cybersicherheit bei Eisenbahnen eignet sich das Handbuch Cybersecurity für Betriebe des öffentlichen Verkehrs [13]. Dieses enthält auch ein Hilfsmittel zur Selbsteinschätzung. Bezüglich der Einführung und Betrieb von neuen Datennetzen bei Eisenbahninfrastrukturbetreiberinnen (ISB) wird auf die neue «D RTE 28100 - Nachweisführung Datennetze» verwiesen, welche in der zweiten Hälfte des Jahres 2024 durch den Verband öffentlicher Verkehr publiziert wird [18].

13 Diese Norm steht auf der VöV-Normenplattform exklusiv den Mitarbeitenden der beteiligten Schweizer Eisenbahnunternehmen (ohne SBB), sowie

BAV und ZVV zur Verfügung: www.voev.ch/normenplattform

15 https://www.fedlex.admin.ch/eli/oc/2009/736/de

16 https://www.isaca.de/publikationen/publikationen/leitfaeden.html

24.06.2024 / Version: V1.1

4 Aufbau dieser Richtlinie

Das Kapitel 5 beschreibt den Geltungsbereich dieser Richtlinie und gibt einige Hinweise zur Abgrenzung der beschriebenen Mindestanforderungen.

Das Kapitel 6 hebt die Bedeutung einer angemessenen Integration des ISMS in bestehende Prozesse und in die Sicherheitskultur des Unternehmens hervor. Es stellt den Bezug zu anderen Managementsystemen und bestehenden Normen und Standards her.

Die beschriebenen Mindestanforderungen gliedern sich in zwei Teile:

• Kapitel 7: Enthält Anforderungen an das ISMS mit dem Ziel, die Aspekte der Informationssicherheit systematisch und unter Berücksichtigung aller Vorgaben und Bedürfnisse auszurichten und zu steuern. Das Kapitel 7 konkretisiert den Artikel 2.1bis 1.2 der Ausführungsbestimmungen zur EBV (AB-EBV [2]) und definiert die Mindestanforderungen an ein ISMS. Dabei stehen die prozessualen Anforderungen an das Managementsystem im Fokus.

• Kapitel 8: Umfasst technische und organisatorische Massnahmen (sogenannte «Controls») zur Gewährleistung eines angemessenen Informationssicherheitsniveaus für den Eisenbahnsektor, als Teil der kritischen Infrastrukturen der Schweiz. Es werden sowohl generelle Massnahmen, die für alle Systeme und Anwendungen gelten, als auch spezifische Massnahmen für den Bereich Operational Technology (OT) und spezifische Massnahmen für Eisenbahnfahrzeuge aufgeführt.

Der Anhang 1 gibt einen kurzen Überblick über den Bezug eines ISMS zu anderen Managementsystemen als Teil eines Integrierten Managementsystems (IMS).

Der Anhang 2 gibt einen kurzen Überblick über die Normen ISO/IEC 27001 und 27002, welche für den Aufbau und die Weiterentwicklung eines ISMS von zentraler Bedeutung sind.

Der Anhang 3 verweist auf Hilfsmittel für die Implementierung eines ISMS.

Anhang 4 enthält das Gesuchformular zur Befreiung von der ISMS-Pflicht für EVU resp. ISB gemäss dem Geltungsbereich in Kapitel 5.

24.06.2024 / Version: V1.1

5 Geltungsbereich

Die Mindestanforderungen gelten für folgende Organisationen und Unternehmen:

• Eisenbahninfrastrukturbetreiberinnen (ISB): Unternehmen, die über eine Konzession und eine Sicherheitsgenehmigung nach Art. 5 Eisenbahngesetz (EBG) für den Bau und Betrieb einer Eisenbahninfrastruktur verfügen. Die Eisenbahninfrastruktur umfasst die Betriebsanlagen der Eisenbahn einschliesslich der Bahnstromanlagen.

• Eisenbahnverkehrsunternehmen (EVU): Unternehmen, die über eine Sicherheitsbescheinigung nach Art. 8c EBG verfügen.

Die enthaltenen Bestimmungen beziehen sich auf alle Prozesse, Informationsverarbeitungssysteme und Datennetzwerke, die im Rahmen der oben genannten Tätigkeiten eingesetzt werden oder diese Tätigkeiten indirekt ermöglichen. Werden einzelne Tätigkeiten an Dritte übertragen (z.B. Lieferanten, Hersteller, Instandhaltungsbetriebe, für die Instandhaltung zuständige Stellen, Schienenfahrzeughalter, Dienstleister und Beschaffungsstellen), gelten diese Bestimmungen ebenfalls. Die Verantwortung für die Einhaltung der Bestimmungen verbleibt bei den ISB bzw. EVU.

Die Bestimmungen gelten für alle Informationsverarbeitungssysteme (HW + SW) und Datennetzwerke in den Bereichen Informationstechnologie (IT), Operational Technology (OT) der ortsfesten Anlagen sowie für Eisenbahnfahrzeuge.

EVU und ISB, die keine oder eine vernachlässigbare Angriffsfläche im Bereich der Informationssicherheit haben (beispielsweise historische Bahnen), können beim BAV eine Befreiung von der ISMS-Pflicht beantragen. Dazu ist das Gesuch im Anhang 4 auszufüllen und dem BAV grundsätzlich über die Website des BAV https://www.bav.admin.ch elektronisch einzureichen. In Ausnahmefällen und nach vorgängiger Abstimmung mit dem BAV, Sektion Zulassungen und Regelwerke, können unterzeichnete Gesuche über den E-Mail-Briefkasten zulassung@bav.admin.ch eingereicht werden. Ein separater Postversand ist nicht notwendig. Auskünfte sind unter derselben Adresse erhältlich.

Eisenbahnunternehmen welche die SiBe/SiGe zusammen beantragt haben, (Art. 5d Abs. 1 EBV) können sich auf ein einzelnes Befreiungsgesuch beschränken.

Die Gebühren berechnen sich auf Grundlage der Gebührenverordnung für den öffentlichen Verkehr (GebV-öV) SR 742.102.

5.1 Abgrenzungen

Die Verantwortung für den angemessenen Schutz ihrer Daten und Informationen liegt gemäss Geltungsbereich bei der jeweiligen ISB bzw. EVU. Das vorliegende Dokument grenzt sich dabei wie folgt ab:

• Die Bestimmungen enthalten Massnahmen zur Gewährleistung eines minimalen Informationssicherheitsniveaus.

• Abhängig von organisationsspezifischen Gegebenheiten, sowie resultierend aus Risikobewertungen, können weitergehende Massnahmen notwendig sein.

• Die Umsetzung der hier enthaltenen Bestimmungen ist nicht ausreichend, um eine Zertifizierung zu erlangen (z.B. ISO/IEC 27001).

24.06.2024 / Version: V1.1

6 Bezug zu anderen Managementsystemen

Bei der Ausgestaltung und Umsetzung des ISMS ist zu berücksichtigen, dass bei den betroffenen Unternehmen gegebenenfalls bereits andere Managementsysteme bestehen. Das ISMS ist so zu implementieren, dass keine Konflikte mit bestehenden Managementsystemen entstehen. Sind Konflikte mit bestehenden Managementsystemen unvermeidbar oder sind potenzielle Konflikte erkennbar, so ist dies zu dokumentieren. Soweit möglich und sinnvoll, sollen vorhandene Elemente und damit verbundene Synergien aus bereits bestehenden Managementsystemen genutzt werden. Ein integriertes Managementsystem (IMS) ist anzustreben (siehe Anhang 1).

24.06.2024 / Version: V1.1

7 Minimale Anforderungen an das Managementsystem für Informationssicherheit (ISMS)

Dieses Kapitel umfasst die Anforderungen an das ISMS mit dem Ziel, die Aspekte der Informationssicherheit systematisch und unter Berücksichtigung aller Vorgaben und Bedürfnisse auszurichten und zu steuern. Zudem konkretisiert dieses Kapitel den Artikel 2.1bis 1.2 der Ausführungsbestimmungen zur EBV (AB-EBV [2]) und definiert die Mindestanforderungen an ein ISMS. Der Fokus liegt dabei auf den prozessualen Anforderungen an das Managementsystem. In Kapitel 8 werden konkrete Massnahmen (Controls) beschrieben, die zur Erfüllung der in diesem Kapitel beschriebenen Anforderungen beitragen.

In der Spalte «Verweis» wird auf bestehende Normen, Standards, hoheitliche Vorgaben verwiesen und mögliche Synergien zur VO 2018/762 [3], Anhänge I und II aufgezeigt17. In der Spalte «Controls Kapitel 8» wird auf die mit der Anforderung verbundenen Massnahmen verwiesen.

Die Eisenbahnunternehmen sind verpflichtet, einen verbindlichen Zeitplan für die Umsetzung der nachfolgend beschriebenen Anforderungen an das ISMS zu führen und diesen dem BAV auf Verlangen zur Verfügung zu stellen.

Nr. Anforderung Verweis Controls Kapitel 8 A-01 Informationssicherheitsstrategie ISO/IEC 27001 B-01 Die oberste Führungsebene muss festlegen, welche Ziele mit der Kapitel 5.1 B-04 Informationssicherheit erreicht werden sollen. Die Ziele müssen B-05 mit der strategischen Ausrichtung des Unternehmens und den In- NIST CSF 2.0 B-06 teressen der interessierten Parteien vereinbar sein. Die oberste GV.OC-01 B-08 Führungsebene muss gewährleisten, dass die zur Zielerreichung GV.PO-01 B-09 notwendigen Ressourcen zur Verfügung stehen. Zudem muss GV.PO-02 B-10 definiert werden, welche Geschäftsbereiche das ISMS abdeckt B-18 und wo es keine Anwendung findet. Der minimale Geltungsbe- Handbuch VöV B-20 reich des ISMS kann Kapitel 5 entnommen werden. Kapitel 3.2.1 und 3.2.3

VO 2018/762 Kapitel 1 Kapitel 2.1

A-02 Rollen und Verantwortlichkeiten ISO/IEC 27001 B-01 Die Verantwortlichkeiten und Befugnisse der Rollen mit Bezug Kapitel 5.3 B-02 zur Informationssicherheit müssen klar definiert und zugewiesen B-04 sein. NIST CSF 2.0 B-06 Für das Unternehmen ist eine informationssicherheitsbeauftragte GV.RR-02 B-08 Person zu benennen und dem BAV bekannt zu geben. B-09 B-10 Handbuch VöV B-12 Kapitel 3.2.2 B-16 B-22 VO 2018/762 B-23 Kapitel 2.3 B-28

17 Die Anhänge I und II der VO 2018/762 sind inhaltlich identisch. Daher wird nicht unterschieden.

24.06.2024 / Version: V1.1

Nr. Anforderung Verweis Controls Kapitel 8 A-03 Richtlinien und Organisation ISO/IEC 27001 B-02 Die oberste Führungsebene muss gewährleisten, dass das Kapitel 5.2 B-03 ISMS in die Geschäftsprozesse des Unternehmens integriert B-04 ist (siehe Beispiel in Abbildung 1, Anhang 1). Hierfür müssen In- NIST CSF 2.0 B-05 formationssicherheitsrichtlinien erstellt, von der Führungsebene GV.OC-03 B-06 bzw. den verantwortlichen Personen freigegeben und innerhalb GV.RM-03 B-07 des Unternehmens sowie bei involvierten externen Stellen be- B-08 kannt gemacht werden. Handbuch VöV B-09 Kapitel 3.2.3 B-10 B-11 B-12 VO 2018/762 B-15 Kapitel 2.1-2.4 B-16 B-17 B-18 B-20 B-21 B-22 B-24 B-25 B-29

A-04 Regelmässige Überprüfung der Informationssicherheit / Au- ISO/IEC 27001 B-04 dits Kapitel 9.1 B-05 Die Durchführung regelmässiger Audits liefert Informationen dar- Kapitel 9.2 B-06 über, in welchen Bereichen die Informationssicherheit zu verbes- B-08 sern ist. Dabei sind auch Lieferanten und Dienstleister zu berück- NIST CSF 2.0 B-09 sichtigen. Die zu prüfenden Themenbereiche und die Periodizität GV.SC-07 B-10 der Audits sind in einem Auditprogramm festzuhalten. Daraus re- PR.PS-04 B-14 sultierende Massnahmen sind nach einer vorgenommenen Priori- B-20 sierung umzusetzen. VO 2018/762 Kapitel 6.1 Kapitel 6.2

A-05 Kontinuierliche Verbesserung ISO/IEC 27001 B-04 Das Unternehmen muss die Eignung und Wirksamkeit ihres Kapitel 5.1 B-08 ISMS kontinuierlich verbessern. Kapitel 9.3 B-14 Diese Prüfung erfolgt mindestens einmal jährlich. Kapitel 10

NIST CSF 2.0 ID.IM-03

VO 2018/762 Kapitel 6.3 Kapitel 7

24.06.2024 / Version: V1.1

Nr. Anforderung Verweis Controls Kapitel 8 A-06 Dokumentation ISO/IEC 27001 Sämtliche relevanten Aktivitäten und Ergebnisse im Zusammen- Kapitel 4.1 Geeignete hang mit dem ISMS müssen dokumentiert und protokolliert wer- Kapitel 4.2 Dokumentation den. D.h. insbesondere: Kapitel 7.5 zu jedem a) Die Beschreibung der Prozesse und Aktivitäten im Zu- B-Control in sammenhang mit der Informationssicherheit des Eisen- NIST CSF 2.0 Kapitel 8 bahnbetriebs, einschliesslich sicherheitsrelevanter Auf- GV.PO-01 gaben und der damit verbundenen Verantwortlichkeiten. GV.PO-02 b) Identifizierung der Auftragnehmer, Partner und Zulieferer GV.OC-03 mit Beschreibungen der Art und des Umfangs der erbrachten Dienstleistungen. VO 2018/762 Kapitel 4.5 c) Identifizierung der vertraglichen und sonstigen geschäftlichen Vereinbarungen zwischen dem Unternehmen und der anderen unter Buchstabe b genannten Beteiligten, die für die Beherrschung der durch das Unternehmen und den Einsatz von Auftragnehmern entstehende Sicherheitsrisiken erforderlich sind.

Die Dokumentation und die Protokolle sind vor unbefugter Einsichtnahme und vor Verlust zu schützen. A-07 Risikobeurteilung und –behandlung AB-EBV Das Unternehmen muss einen Prozess zur Beurteilung von Infor- Artikel 2.1bis Ab- B-04 mationssicherheitsrisiken festlegen und anwenden. Es müssen satz 1.2 B-13 Kriterien für die Risikoakzeptanz und die Durchführung von Risi- B-15 kobeurteilungen definiert werden. Der Prozess muss folgende ISO/IEC 27001 B-16 Punkte beinhalten: Kapitel 6.1.2 B-19 a) Risiken identifizieren Kapitel 6.1.3 B-20 Risiken, die sich aus dem Ausfall oder Beeinträchtigung B-26 von Informationssystemen ergeben, sind im Hinblick auf NIST CSF 2.0 B-27 Integrität, Verfügbarkeit und Vertraulichkeit zu ermitteln. GV.RM-01 Es sind Personen zu bestimmen, die als Risikoeigner GV.RM-02 fungieren. GV.SC-01 b) Risiken analysieren Die möglichen Folgen bei Eintritt der identifizierten Risi- Handbuch VöV ken und deren Eintrittswahrscheinlichkeit sind abzu- Kapitel 3.3 schätzen. c) Risiken bewerten VO 2018/762 Die Ergebnisse der Risikoanalyse (Risk Assessment) Kapitel 3.1 müssen mit den definierten Risikokriterien verglichen (Eingang in SMS und eine Priorisierung für die Risikobehandlung durch- von relevanten geführt werden. Bedrohungen aus der Risikoanalyse d) Risiken behandeln der Cybersicher- Basierend auf den Ergebnissen der Risikobeurteilung heit) muss das Unternehmen angemessene Massnahmen zur Risikobehandlung auswählen und deren Umsetzung Hilfsmittel zum Riplanen und durchführen. Die Risikoeignerin bzw. der Ri- sikomanagement sikoeigner muss diesen Plan genehmigen, die Restrisi- siehe ken dokumentieren, ggf. akzeptieren und die Mitarbei- Anhang 3 tenden sowie externe Beteiligte informieren. Es ist sicherzustellen, dass diese Schritte bei relevanten Änderungen sowie bei einer Verschlechterung der Bedrohungslage wiederholt werden. Mindestens einmal jährlich sind die Schritte a) bis d) zu wiederholen, um neue Risiken zu identifizieren, bestehende Risiken ggf. neu zu bewerten und die Wirksamkeit der umgesetzten Massnahmen auf die Risiken zu beurteilen.

24.06.2024 / Version: V1.1

8 Controls (Basismassnahmen)

Die in diesem Kapital aufgeführten Massnahmen tragen dazu bei, die Anforderungen des Kapitels 7 zu erfüllen und ein minimales Niveau an Informationssicherheit im Eisenbahnsektor zu erreichen.

Die Umsetzung der Massnahmen bzw. deren Priorisierung hat risikobasiert zu erfolgen. Dies bedeutet, dass aufgrund der Risikoanalyse und des Schutzbedarfs der Systeme zusätzliche Massnahmen erforderlich sein können oder einzelne der hier aufgeführten Massnahmen nicht zielführend sind. Es ist zulässig, andere Kompensationsmassnahmen zu realisieren oder auf Zielkonflikte zu reagieren, sofern damit das von Gesetz und Verordnung verfolgte Ziel erreicht wird (siehe auch [11]). Die Kompensationsmassnahmen sind schriftlich festzuhalten.

8.1 Organisatorische, personelle, physische und technologische Controls für IT, OT, Datennetzwerke, inkl. Eisenbahnfahrzeuge

Dieses Kapitel umfasst organisatorische, personelle, physische und technologische Massnahmen (Controls) zur Gewährleistung eines angemessenen Informationssicherheitsniveaus für den Eisenbahnsektor als Teil der kritischen Infrastrukturen der Schweiz.

In Kapitel 8.1 sind die Controls aufgeführt, die für alle Systeme und Anwendungen gelten. In Kapitel 8.2 sind die spezifischen Controls für den Bereich Operational Technology (OT) und in Kapitel 8.3 die spezifischen Controls für die Eisenbahnfahrzeuge aufgeführt.

In der Spalte «Control» werden konkrete Massnahmen beschrieben. Diese orientieren sich unter anderem an der ISO/IEC 27001:2022 [8] bzw. ISO/IEC 27002:2022 [9]. In der Spalte «Verweis» wird der Bezug zu bestehenden Normen, Standards, Hilfsmitteln und hoheitlichen Vorgaben hergestellt. Die letzte Spalte soll mögliche Synergien zum SMS [3] aufzeigen.

Nr. Control Verweis Synergie zu VO 2018/762 [3] B-01 Festlegung von Rollen und Verantwortlichkeiten ISO/IEC Kapitel 2.3 Es müssen Rollen und Verantwortlichkeiten für den Bereich der Infor- 27002:2022 Kapitel 4.1 mationssicherheit definiert werden. Die einzelnen Aufgabenbereiche Kapitel 5.2 Kapitel 4.2 müssen Personen mit den entsprechenden Fachkenntnissen zugewiesen werden. NIST CSF 2.0 GV.RR-02

B-02 Zugriffs- und Identitätsmanagement ISO/IEC Identitäten von Personen und Systemen, die Zugriff auf Informationen 27002:2022 oder anderen Assets haben, müssen verifiziert und verwaltet werden. Kapitel 5.3 a) Eine Identität muss immer nur einer Person oder einem Sys- Kapitel 5.15 tem zugeordnet werden. Kapitel 5.16 b) Es ist festzulegen, welche Identitäten welche Berechtigungen Kapitel 5.17 und Zugriffe erhalten. Kapitel 5.18

c) Dabei sind die Grundsätze des "Need-to-know-" und des NIST CSF 2.0 "Least-privilege-Prinzips" anzuwenden. PR.AA-01 d) Die vergebenen Berechtigungen müssen regelmässig über- PR.AA-02 prüft und den aktuellen Begebenheiten angepasst werden. PR.AA-05 e) Nicht mehr aktive Identitäten sind zu deaktivieren. PR.AA-06

24.06.2024 / Version: V1.1

Nr. Control Verweis Synergie zu VO 2018/762 [3] B-03 Asset Management ISO/IEC Kapitel 5.2 a) Es muss ein Inventar von Daten, Informationen und informati- 27002:2022 onsverarbeitenden Systemen erstellt werden. Kapitel 5.9 Kapitel 5.11 b) Für jedes Asset resp. jede Kategorie ist eine verantwortliche Person zu benennen. Kapitel 5.12 Kapitel 7.8 c) Es ist ein Verfahren zu implementieren, das gewährleistet, Kapitel 7.14 dass neue Assets aufgenommen werden und das Inventar aktualisiert wird. NIST CSF 2.0 d) Die Assets bzw. die Kategorien sind hinsichtlich ihres Schutz- ID.AM-01 bedarfs in Bezug auf Vertraulichkeit, Integrität und Verfügbar- ID.AM-02 keit zu klassifizieren. ID.AM-05

Handbuch VöV Kapitel 3.3.1

Kapitel 4.2

B-04 Lieferantenmanagement ISO/IEC Kapitel 2.4 Gemäss dem Geltungsbereich in Kapitel 5 ist sicherzustellen, dass die 27002:2022 Kapitel 5.3 Informationssicherheit bei der Zusammenarbeit mit Lieferanten berück- Kapitel 5.18 sichtigt wird. Kapitel 5.19 a) Sämtliche Lieferanten sowie deren Beitrag zur Informationssi- Kapitel 5.20 cherheit müssen erfasst und beurteilt sein. Kapitel 5.21 b) Je nach Schutzbedarf (Kritikalität) der verarbeiteten Daten sind Lieferanten im Rahmen ihrer Leistungserbringung zur Einhal- DSG tung der relevanten Informationssicherheitsvorgaben zu verpflichten. Diese Verpflichtung ist auch auf deren Mitarbeitende NIST CSF 2.0 und allfällige Unterlieferanten zu übertragen. GV.OC-04 c) Darüber hinaus sind die Mitarbeitenden der Lieferanten durch GV.OC-05 regelmässige Schulungen über die gesetzlichen und internen GV.SC-01 Vorgaben zum Schutz von Informationen und zum sicheren GV.SC-03 Umgang mit informationsverarbeitenden Systemen zu infor- GV.SC-05 mieren und zu schulen. GV.SC-07 d) Sofern die Nachweise nicht anderweitig ausreichend vorliegen, ist vertraglich ein Auditrecht vorzusehen. Handbuch VöV e) Es muss regelmässig überprüft werden, ob die vertraglich defi- Tabelle 6 nierten Bestimmungen eingehalten werden. Kapitel 3.6

Siehe auch Anhang 3 Hilfsmittel

24.06.2024 / Version: V1.1

Nr. Control Verweis Synergie zu VO 2018/762 [3] B-05 Informationssicherheit in Projekten mit IT- und OT-Bezug (einsch- ISO/IEC liesslich Beschaffungen) sowie bei Prozess- und Organisationsentwick- 27002:2022 lungen. Kapitel 5.2 a) Das Projekt hat einer definierten Projektmanagementmethode Kapitel 5.8 zu folgen. b) Informationssicherheit ist ein Bestandteil der Projektmanage- NIST CSF 2.0 mentmethode. GV.PO-02 ID.RA-04 c) Zu Beginn des Projektes sind der Schutzbedarf und relevante Informationssicherheitsanforderungen festzulegen. OT: d) Während des Projekts ist der Erfüllungsgrad der vorgenannten TS50701:2023 Anforderungen zu überprüfen und zu dokumentieren. Abbildung 6 e) Nicht umgesetzte Anforderungen oder bekannte Risiken sind innerhalb des Unternehmens bekannt zu machen. f) Informationssicherheitsanforderungen müssen frühzeitig in Projekte integriert werden. Deren Einhaltung ist zu dokumentieren und an relevante Interessengruppen zu berichten.

B-06 Massnahmen im Bereich Cloud Es ist sicherzustellen, dass beim Bezug von Cloud-Diensten die Anfor- DSG derungen an die Informationssicherheit berücksichtigt und Massnahmen zum Schutz umgesetzt werden. Cloud-Dienste, die geschäftskriti- ISO/IEC sche Prozesse oder personenbezogene Daten betreffen, sind im Rah- 27002:2022 men eines internen Freigabeprozesses regelmässig auf ihre Eignung zu Kapitel 5.23 prüfen. Kapitel 8.27 a) Es muss eine Übersicht über alle verwendeten Cloud-Dienste geführt werden. Jedem Cloud-Dienst ist eine verantwortliche Handbuch Person zuzuordnen. VöV b) Die Verantwortlichkeiten des Cloud Anbieters und Cloud Nut- Kapitel 3.6.3 zers müssen klar definiert werden (Shared Responsibility Model). Siehe auch c) Vor der Verwendung von Cloud-Diensten ist zu prüfen, welche Anhang 3 Daten dort gespeichert und verarbeitet werden. Es ist eine Ri- Hilfsmittel sikoanalyse durchzuführen und zu beurteilen, ob die vorhandenen bzw. die vom Cloud-Anbieter angebotenen Schutzmassnahmen ausreichend sind.

B-07 Überwachung (security monitoring) ISO/IEC Systeme und Netzwerke sind so aufzubauen und zu konfigurieren, dass 27002:2022 Angriffe und Anomalien zeitnah erkannt und ausgewertet werden kön- Kapitel 8.15 nen. Kapitel 8.16

NIST CSF 2.0 ID.AM-03 DE.AE DE.CM

Handbuch VöV Kapitel 3.6.4

24.06.2024 / Version: V1.1

Nr. Control Verweis Synergie zu VO 2018/762 [3] B-08 Management von Informationssicherheitsvorfällen ISO/IEC Kapitel 7 a) Verfahren, wie mit Informationssicherheitsvorfällen umgegan- 27002:2022 Kapitel 7.1. gen wird, sind zu etablieren. Der Prozess muss das Vorgehen Kapitel 5.24 Kapitel 7.2. bei einem Sicherheitsvorfall beschreiben und die Verantwort- Kapitel 5.25 lichkeiten und Kommunikationswege festlegen. Kapitel 5.26 b) Der Prozess stellt sicher, dass geeignete Massnahmen zur Kapitel 5.27 Reaktion und Wiederherstellung getroffen und umgesetzt wer- Kapitel 5.28 den. NIST CSF 2.0 c) Bei der Behandlung von Vorfällen sind die einzelnen Bearbei- PR.AT-01 tungsschritte zu dokumentieren. RS.MA-01 d) Geltende Meldepflichten gegenüber Behörden und Dritten RS.MA-04 (z.B. EDÖB18, NCSC19) müssen eingehalten werden. RS.CO-02 e) Aus Informationssicherheitsvorfällen müssen entsprechende RS.CO-03 Erkenntnisse und Verbesserungen gezogen werden. RS.CO-04 RC.RP-01 ID.IM-03

DSG

ISG (Meldepflicht ab 2025)

VSZV

B-09 Business Continuity Management VKOVA Art.11 Kapitel 5.5 Es ist ein Prozess zu erstellen, welcher die Fortführung der Betriebstätigkeit bei Ausfall kritischer Komponenten oder eines Systems gewähr- ISO/IEC leistet. Dies betrifft neben den Informations- und Kommunikationstech- 27002:2022 nologien auch Technologien der OT und den Bereich der Eisenbahn- Kapitel 5.29 fahrzeuge. Kapitel 5.30 a) Kritische Komponenten oder Systeme sind bekannt und beurteilt. NIST CSF 2.0 b) Für alle kritischen Komponenten und Systeme muss ein Not- ID.RA-04 fall- und Wiederherstellungsplan erstellt werden. RS.MA-01 ID.IM-02 c) Diese Pläne werden regelmässig oder nach weitreichenden Änderungen getestet und geübt. Handbuch Siehe auch B-27 Verfügbarkeit VöV Kapitel 3.3.5

18 www.edoeb.admin.ch

19 www.ncsc.admin.ch

24.06.2024 / Version: V1.1

Nr. Control Verweis Synergie zu VO 2018/762 [3] B-10 Beschäftigung von Mitarbeitenden Vor und während der Beschäftigung einer Person im Unternehmen sind ISO/IEC Kapitel 4.2 folgende Massnahmen durchzuführen: 27002:2022 Kapitel 4.3 a) Insbesondere bei Mitarbeitenden mit sicherheitsempfindlichen Kapitel 6.1 Kapitel 4.4 Tätigkeiten: Durchführung einer angemessenen Sicherheits- Kapitel 6.2 überprüfung unter Berücksichtigung relevanter gesetzlicher Kapitel 6.3 Bestimmungen und der vorgesehenen Funktion. Kapitel 6.4 b) Die Mitarbeitenden werden durch regelmässige Schulungen Kapitel 6.5 über die gesetzlichen und internen Vorgaben zum Schutz von Kapitel 6.6 Informationen und zum sicheren Umgang mit informationsverarbeitenden Systemen informiert. NIST CSF 2.0 GV.RR-04 c) In den vertraglichen Vereinbarungen werden die Mitarbeiten- PR.AA-01 den zur Einhaltung der gesetzlichen und internen Informationssicherheitsvorgaben verpflichtet. PR.AA-05 PR.AT-01 d) Personen, die mit schützenswerten Informationen arbeiten PR.AT-02 oder Zugang zu solchen haben, müssen vertraglich zur Geheimhaltung verpflichtet werden (Geheimhaltungsverpflich- Handbuch tung) VöV Kapitel 3.7 Änderung und/oder Beendigung der Beschäftigung: e) Zugänge zur Unternehmensinfrastruktur müssen für austretende Personen zeitnah deaktiviert werden.

f) Es ist ein Prozess zu etablieren, der die Rückgabe oder Vernichtung entsprechender Daten, Informationen und informationsverarbeitender Geräte bei Beschäftigungswechsel (Übertritt und insbesondere Austritt) regelt.

B-11 Betreiben von Systemen und Datennetzwerken ISO/IEC Systeme und Datennetzwerke sind so zu konfigurieren bzw. zu schüt- 27002:2022 zen, dass ungeplante Beeinträchtigungen oder Ausfälle vermieden wer- Kapitel 5.2 den. Kapitel 7.11 a) Für eine Übersicht des vorhandenen Netzes müssen aktuelle Kapitel 8.9 Netzwerkpläne vorliegen. Kapitel 8.14 b) Netzwerke müssen in sinnvollem Mass und unter Berücksichti- Kapitel 8.20 gung der Grösse segregiert werden. Hierfür ist ein Netzwerk- Kapitel 8.22 konzept zu erstellen, das spezifische Massnahmen zum Informationsschutz beschreibt. NIST CSF 2.0 ID.RA-07 Kapitel 3.1.2 c) Falls eine Vernetzung von OT- und IT-Diensten z.B. mit Public-Cloud Anwendungen so zunimmt, dass Netzübergänge PR.IR-01 nicht mehr sicher nach dem klassischen Zonenkonzept «Zo- PR.PS-01 nes and Conduits» betrieben und verwaltet werden können, ist PR.AA-06 eine geeignete Sicherheitsarchitektur z.B. nach dem Zero- Trust-Prinzip zu etablieren. Handbuch VöV d) Informationssicherheitsrelevante Aktivitäten und Änderungen Kapitel 3.5 an den Systemen müssen gemäss dem Änderungsmanagementprozess protokolliert werden. Betrifft ISB , Datennetze für OT: D RTE 28100 Kapitel 5

24.06.2024 / Version: V1.1

Nr. Control Verweis Synergie zu VO 2018/762 [3] B-12 Erstellen von Richtlinien (policies) für die Authentifizierung bei ISO/IEC Systemen 27002:2022 Kapitel 5.17 a) Es sind Richtlinien zu etablieren, die beschreiben, wie sich Benutzer an den Systemen anmelden. NIST CSF 2.0 b) Die Richtlinien beschreiben, welche Authentifizierungsverfah- PR.AA-01 ren verwendet werden müssen (z.B. Zwei-Faktor-Authentisie- PR.AA-03 rung) und wie diese korrekt zu verwenden sind. PR.AA-05 c) Die Sicherheitsanforderungen an die Authentifizierungsverfahren sind nach Möglichkeit technisch durchzusetzen (z.B. Min- Handbuch destanforderungen an Passwörter, Änderung von Initialpass- VöV wörtern). Kapitel 3.5 d) Wo möglich, sind starke Authentifizierungsverfahren zu verwenden (z.B. Zwei-Faktor-Authentisierung, tokenbasierte oder Siehe auch biometrische Verfahren, etc.). Anhang 3 Hilfsmittel

B-13 Massnahmen zum Schutz von Endgeräten ISO/IEC Verwendete Endgeräte im Bereich IT, OT oder für Eisenbahnfahrzeuge 27002:2022 müssen die folgenden Sicherheitsanforderungen erfüllen: Kapitel 8.1 a) Die Konfiguration und die Verwendung erfolgen gemäss definierten Richtlinien. NIST CSF 2.0 b) Bei der Nutzung privater Endgeräte im Unternehmenskontext PR.DS-01 ist darauf zu achten, dass diese mindestens die Anforderun- PR.DS-02 gen der in a) erstellten Richtlinie erfüllen. PR-DS-10

c) Auf Systemen und Endgeräten müssen sicherheitsrelevante Patches zeitnah installiert werden. Kapitel 10.2 d) Können keine sicherheitsrelevanten Patches innerhalb nützli- Kapitel 10.3 cher Frist installiert werden, sind entsprechend der Risiken andere Massnahmen zu treffen (z.B. Einschränkungen bei Fern- Handbuch zugriffen, Optimierung des Sicherheitsmonitorings, um eine VöV Ausnutzung der Schwachstelle zeitnah erkennen zu können). Kapitel 3.5 Siehe auch B-20 b). Tabelle 6

B-14 Schutz vor Schadsoftware (malware) ISO/IEC Es müssen Schutzmassnahmen zum präventiven Schutz und zur Er- 27002:2022 kennung von Schadsoftware auf Systemen implementiert werden. Die Kapitel 6.3 Implementierung kann je nach verwendeten Technologien und Zweck Kapitel 8.7 des Systems durch den Einsatz entsprechender Software oder durch eine Härtung des Systems erfolgen (z.B. Perimeterschutz, Defence-in- NIST CSF 2.0 depth). DE.CM-01 Für OT: siehe auch B-25 DE.CM-04 DE.AE-02

B.4.4, C.3

Handbuch VöV Kapitel 3.5

24.06.2024 / Version: V1.1

Nr. Control Verweis Synergie zu VO 2018/762 [3] B-15 Konfigurations- und Änderungsmanagement ISO/IEC Kapitel 5.2 Bei der Konfiguration von Hardware, Software, innerhalb von Netzwer- 27002:2022 Kapitel 5.4 ken sowie im Bereich OT und für Eisenbahnfahrzeuge müssen Informa- Kapitel 5.22 tionssicherheitsanforderungen erfüllt werden. Kapitel 8.9 a) Änderungen müssen nach einem definierten Prozess autori- Kapitel 8.32 siert und umgesetzt werden. b) Bei der Konfiguration ist sicherzustellen, dass nur Personen NIST CSF 2.0 Konfigurationseinstellungen durchführen dürfen, die für die Tä- ID.RA-07 tigkeit autorisiert sind. PR.PS-01

c) Standardpasswörter müssen vor der Inbetriebnahme geändert Handbuch werden. VöV Kapitel 3.5

B-16 Fernarbeit (remote work) ISO/IEC Fernarbeit liegt dann vor, wenn Mitarbeitende oder externe Dienstleister 27002:2022 von einem Ort ausserhalb des Unternehmensgeländes arbeiten und da- Kapitel 6.7 bei über ICT-Geräte auf Informationen zugreifen. a) Wenn Mitarbeitende oder externe Dienstleister über ICT-Ge- NIST CSF 2.0 räte aus der Ferne auf Informationen zugreifen, müssen Richt- PR.AA-03 linien definiert werden, wie die Fernarbeit im Kontext der Infor- PR.AA-05 mationssicherheit zu erfolgen hat. PR.IR-01 b) Es ist zu definieren, welche Authentifizierungsmechanismen PR.AT-01 zur Durchführung von Fernarbeit verwendet werden. PR-AT-02 c) Mitarbeitende müssen für das Thema Fernarbeit sensibilisiert werden und entsprechende Informationen (z.B. Umgang mit persönlichen Accounts) erhalten. d) Massnahmen, die gewährleisten, dass nur berechtigte Personen über das Internet auf Informationen zugreifen können (z.B. über VPN), sind zu forcieren.

B-17 Einsatz von kryptografischen Verfahren TS50701:2023 Falls in Applikationen kryptografische Verfahren zur Anwendung kom- SR 4.2 men, müssen diese auf anerkannten und geprüften Algorithmen und ei- SR 4.3 ner sicherer Schlüsselgenerierung basieren. NIST CSF 2.0 PR.DS-01 PR.DS-02 PR.DS-10

Siehe auch Anhang 3 Hilfsmittel

B-18 Schutz der Daten und Informationen ISO/IEC Kapitel 4.5 Daten- und Informationen müssen geschützt werden, um die Anforde- 27002:2022 rungen von Gesetzen, Behörden oder anderen Verträgen zu erfüllen. Kapitel 5.24 Es bedarf einer Richtlinie, welche die Regeln und Verfahren zum Kapitel 5.31 Schutz der Daten und Informationen definiert. Kapitel 8.10 a) Daten- und Informationen sind bei der Speicherung und Über- Kapitel 8.11 tragung entsprechend ihrem Schutzbedarf zu schützen. Die Kapitel 8.12 Schutzmassnahmen und die Verfahren sind zu dokumentie- Kapitel 8.13 ren.

24.06.2024 / Version: V1.1

Nr. Control Verweis Synergie zu VO 2018/762 [3] Kapitel 8.24 b) Schützenswerte Daten (z.B. personenbezogene Daten, Zugangsdaten) sind durch technische Massnahmen zu schützen (beispielsweise durch Verschlüsselung). NIST CSF 2.0 PR.DS-01 c) Es müssen Massnahmen zum Schutz vor Datenverlust in Sys- PR.DS-02 temen, Netzwerken und anderen Geräten implementiert wer- PR.DS-10 den (beispielsweise die Überwachung von Zugriffen auf Daten PR.DS-11 mit hohem Schutzbedarf). d) Sicherungskopien von Daten, Informationen, Software und SN EN 50159: Systemen sind regelmässig durchzuführen und zu testen. 2010 e) Auf Geräten oder Speichermedien gespeicherte und nicht DSG mehr verwendete Daten bzw. Informationen müssen entsprechend ihrem Schutzbedarf gelöscht werden. Für die Vernichtung von Speichergeräten empfiehlt sich der Einsatz von zuge- Handbuch lassenen, zertifizierten Anbietern von sicheren Entsorgungs- VöV dienstleistungen. Kapitel 3.5

B-19 Zutrittsschutz zu Gebäuden und Schienenfahrzeugen ISO/IEC Gebäude, Räume und Bereiche mit sicherheitsrelevanten Systemen in 27002:2022 Kapitel 5.2 Anlagen, Aussenanlagen und in Schienenahrzeugen sind, soweit mög- Kapitel 5.15 lich und verhältnismässig, gegen unbefugten Zutritt zu schützen. Kapitel 7.1 Kapitel 7.2 Kapitel 7.3 Kapitel 7.4

NIST CSF 2.0 PR.AA-06

Handbuch VöV Kapitel 3.5.5 B-20 Schwachstellenmanagement ISO/IEC Es muss ein Schwachstellenmanagement eingerichtet werden, dass alle 27002:2022 Systeme berücksichtigt und die folgenden Kriterien erfüllt: Kapitel 8.8 a) Die Verantwortlichkeiten im Zusammenhang mit der Identifizierung und Meldung von Schwachstellen, sind zwischen dem Be- TS50701:2023 treiber, dem Systemintegrator, dem Hersteller und in den Ser- Kapitel 10.2 vice Level Agreements (SLA) für jedes System klar zu definie- Kapitel 10.3 ren. b) Wird eine Schwachstelle identifiziert, muss das hierdurch ent- NIST CSF 2.0 stehende Risiko durch die verantwortliche(n) Stelle(n) bewertet ID.RA-01 und auf dieser Basis entschieden werden, ob und welche So- PR.PS-02 fortmassnahmen getroffen werden können und wann resp. unter welchen Bedingungen ein Sicherheitspatch einzuspielen ist. Dabei kann ein temporäres Risiko bestehen, das ggf. getragen werden muss. B-21 Trennung von Entwicklungs-, Test- und Produktionsumgebungen ISO/IEC a) Entwicklungs-, Test- und Produktionssysteme sind voneinan- 27002:2022 der zu trennen. Kapitel 8.29 b) Änderungen an Produktionssystemen müssen zunächst in ei- Kapitel 8.31 ner Testumgebung durchgeführt werden, bevor diese auf Produktionssysteme angewendet werden dürfen. NIST CSF 2.0 PR.IR-01

24.06.2024 / Version: V1.1

8.2 Spezifische Controls im Bereich Operational Technology (OT)

In diesem Kapitel beziehen sich die Controls sowohl auf OT-Systeme ortsfester Anlagen als auch auf OT- Systeme auf Eisenbahnfahrzeugen. Bei den OT-Systemen ist davon auszugehen, dass insbesondere die Verfügbarkeit und die Integrität der Systeme im Fokus stehen und die Vertraulichkeit eine untergeordnete Rolle spielt. Daher ist bei der Umsetzung der Security-Massnahmen im OT-Bereich immer zu prüfen, ob diese die Funktionssicherheit (Safety) oder die Betriebsfähigkeit des jeweiligen Systems beeinflussen oder indirekte Auswirkungen auf diese haben. Die Implementierung von Security-Massnahmen ist immer in enger Zusammenarbeit und Abstimmung mit dem Safety-Management zu entscheiden und durchzuführen, um mögliche Wechselwirkungen angemessen zu berücksichtigen (Rückwirkungsfreiheit) und Risiken identifizieren zu können.

Die Rückwirkungsfreiheit (d.h. Abwesenheit von Rückwirkungen, was bedeutet, dass die Funktion andere sicherheitsbezogene Funktionen nicht beeinträchtigt) muss nachgewiesen werden. Fallspezifisch sind für diesen Nachweis sowohl analytische Methoden wie auch Regressionstests anzuwenden.

Signifikante resp. wesentliche Änderungen an bestehenden Systemen sind gemäss EBV Art. 8 [2] genehmigungspflichtig. Im Zweifelsfall ist das BAV zu kontaktieren. Nr. Control Verweis

B-22 Installation von Software auf OT TS50701:2023 Aufgrund der Kritikalität (Schutzbedarf) der OT-Systeme müssen Softwareinstallatio- Kapitel 9 nen überwacht und kontrolliert werden. Kapitel 10.2 a) Die Installation von Updates auf OT-Systemen dürfen nur von qualifiziertem Kapitel 10.3 Personal durchgeführt werden. b) Es muss sichergestellt werden, dass Softwareupdates der Hersteller für die NIST CSF 2.0 OT-Systeme in einem vorgängig mit dem Hersteller definierten Zeitraum zur ID.AM-08 Verfügung gestellt werden. PR.DS-01 PR.PS-02 c) Für die Installation von Updates muss ein Genehmigungsverfahren durchlaufen werden, an dem auch das Safety-Management involviert ist. d) Vor der Installation von Updates auf OT-Systemen ist die Software umfangreich zu testen. Für die Tests sind Testprotokolle zu führen, mit denen die getesteten Funktionen und eventuelle Auffälligkeiten dokumentiert werden. Bei Problemen darf keine Installation respektive Update durchgeführt werden. e) Es muss im Voraus eine Rollback-Strategie definiert und getestet werden. Dies bedeutet, dass die OT-Systeme bei Nichtfunktionalität auf den ursprünglichen, funktionierenden Zustand zurückgeführt werden können. f) Es ist zu protokollieren, von wem und aus welchem Grund Updates oder Software installiert werden. g) Ältere Softwareversionen müssen zusammen mit den notwendigen Informationen und Parametern archiviert werden.

24.06.2024 / Version: V1.1

Nr. Control Verweis

B-23 Identifikation und Authentifikation TS50701:2023 In Bezug auf Benutzerverwaltung und Authentifizierungsmöglichkeiten sind OT-Sys- SR 1.4 teme im Vergleich zu klassischen IT-Systemen oft stark eingeschränkt oder diese sind SR 1.11 aufgrund hoher Verfügbarkeitsanforderungen nicht gemäss Stand der Technik reali- SR 1.7 sierbar. SR 2.3 Dem ist mit entsprechenden Gegenmassnahmen zu begegnen. a) Kompensierende Massnahmen für die eingeschränkten Authentifizierungs- NIST CSF 2.0 möglichkeiten bei vielen OT-Systemen müssen risikobasiert getroffen wer- PR.AA-01 den. Z.B. Starke Authentisierung an der Netzzonengrenze durch einen Policy PR.AA-03 Enforcement Point (z.B. Proxy oder VPN-Endpunkt), verstärkte Überwa- PR.AA-05 chung der Systemzugriffe mittels Access Logs, etc. PR.AA-06 b) Endgeräte, die im Kontext von OT-Systemen verwendet werden, sind ent- PR.IR-01 sprechend ihres Schutzbedarfs zu schützen. B-24 Überwachung (security monitoring) TS50701:2023 Die sicherheitsrelevanten Systemprotokolle der vernetzten Systeme müssen an ein SR 2.1 zentrales System zur Loganalyse übertragen und dort entsprechend den unterneh- SR 2.8 mensinternen Vorgaben bzw. dem Logging-Konzept aufbewahrt werden. Siehe auch B-07 NIST CSF 2.0 PR.PS-04 DE.AE-03 DE.AE-04

B-25 Systemintegrität TS50701:2023 Zum Schutz vor Malware kann oft keine entsprechende Erkennungssoftware auf den SR 3.2 Systemen installiert werden. Als Gegenmassnahmen sollten präventive Mechanismen implementiert werden. Dazu gehören z.B. Richtlinien für den Umgang mit Wechselda- NIST CSF 2.0 tenträgern und Endgeräten in Verbindung mit vorgelagerten Erkennungsmechanis- PR.DS-01 men (z.B. IDS). PR.PS-01 DE.CM

B-26 Einschränkung des Datenflusses TS50701:2023 Ausgehend vom Schutzniveau der Systeme und der durchgeführten Risikoanalyse SR 5.1 sind die Netze sinnvoll zu segmentieren. Dabei ist zu beachten, dass Netzwerkzonen im Notfall vom restlichen Netzwerk getrennt werden können, um den Schaden zu mi- NIST CSF 2.0 nimieren. Es ist daher zu prüfen, welche zentralen Dienste in mehreren Zonen redun- PR.IR-01 dant bereitgestellt werden müssen (z.B. DHCP, DNS, etc.). Insbesondere Systeme, RS.MI-01 die für die funktionale Sicherheit (Safety) relevant sind, sollten soweit möglich und sinnvoll von anderen Netzwerken isoliert sein, um Schäden zu begrenzen. B-27 Verfügbarkeit TS50701:2023 a) Es ist ein angemessener Schutz vor Denial-of-Service-Angriffen zu imple- SR 7.1 mentieren. Angriffe dürfen sich nicht über mehrere Systeme oder Netzwerk- SR 7.2 bereiche ausbreiten können. SR 7.3 b) Für relevante Daten und Dateien muss ein geeignetes Backupverfahren defi- SR 7.4 niert und implementiert werden. Für die Wiederherstellung von Backups ist SR 7.5 eine Wiederherstellungsstrategie zu entwickeln. Darüber hinaus ist die Rückspielbarkeit von Backups regelmässig zu testen, um eine sichere und konforme Wiederherstellung der Daten gewährleisten zu können. ISO/IEC 27002:2022 c) Systeme und OT-Anwendungen müssen so ausgelagert werden, dass die Kapitel 8.14 Verfügbarkeit bei einem Ausfall durch ein redundantes System gewährleistet ist. Das Unternehmen sollte Verfahren für die Aktivierung redundanter Kom- NIST CSF 2.0 ponenten und Verarbeitungseinrichtungen planen und umsetzen. ID.IM-03 Siehe auch B-09 Business Continuity Management. ID.IM-04 PR.DS-11

24.06.2024 / Version: V1.1

8.3 Spezifische Controls bei ICT-Systemen auf Eisenbahnfahrzeugen

Nr. Control Verweis B-28 Identifikation und Authentifikation TS50701:2023 In Fahrzeugen dürfen Authentifizierungsverfahren den schnellen Zugriff auf Systeme SR 1.4 nicht verhindern. Systeme, die der Lokführer für den Betrieb des Fahrzeugs benötigt, dürfen nach der initialen Identifikation, z.B. durch Schlüssel oder Badge, nicht auto- NIST CSF 2.0 matisch gesperrt werden. Der Zugriffsschutz muss zusätzlich durch physische Mass- PR.AA-01 nahme (z.B. verschlossene Türen zum Führerstand) sichergestellt werden. Für sons- PR.AA-05 tige Arbeiten, die nicht während des Regelbetriebs durchgeführt werden, z.B. Änderungen von Softwarekonfigurationen oder Parametern, ist ein striktes Identifikations- und Authentifizierungsmanagement anzustreben. B-29 Physischer Schutz ISO/IEC a) Es ist durch geeignete Massnahmen (z.B. abschliessbarer Schrank) sicher- 27002:2022 zustellen, dass schützenswerte Komponenten vor physischer Manipulation Kapitel 7.4 geschützt sind. b) Falls kein wirksamer physischer Schutz realisiert werden kann, sind andere NIST CSF 2.0 Massnahmen wie z.B. ein Fahrzeugüberwachungssystem zu etablieren.. PR.AA-06

c) Für die Überwachung sind Alarmsysteme (z.B. durch Videoüberwachung, Videoüberwachung: Überwachung von Abdeckungen bei schützenswerten Komponenten) zu VüV-ÖV [16] konfigurieren und entsprechend zu schützen (siehe folgender Punkt). d) Überwachungssysteme sollten sich in einem Bereich befinden, der für die Person, die den Alarm auslöst, nicht zugänglich ist. e) Die Überwachungssysteme müssen über manipulationssichere Mechanismen verfügen und regelmässig getestet werden.

24.06.2024 / Version: V1.1

9 Begriffe

Begriff Definition Asset Ein Asset ist alles, was Wert für die Organisation hat (auch Informationsgut und Informationswert genannt). Es gibt viele Asset-Typen, etwa: Informationen, Software, Hardware, Services, Menschen mit ihren Qualifikationen, Kompetenzen und Erfahrungen sowie immaterielle Werte, wie Reputation und Image. ISO/IEC 27005:2022 unterscheidet zwischen primären und sekundären Assets. Die primären Assets sind Assets, die unbedingt zu schützen sind. Sie stellen den eigentlichen Wert einer Organisation oder eines Unternehmens dar. Das sind z.B. Geschäftsprozesse und -Geheimnisse, Stammdaten, Reputation eines Unternehmens, etc.. Sekundären Assets sind Assets die benötigt werden, damit die primären Assets ihre Wertschöpfung entfalten können. Das sind z.B. IKT-Betriebsmittel (Hardware, Software), Immobilien, Personal, Websites.

Asset Owner Asset Owner ist die Person, die für die tägliche Verwaltung der Assets verantwortlich ist. Dazu gehören nicht nur elektronische und gedruckte Informationen, sondern auch Hardware, Software, Dienstleistungen und Einrichtungen.

Authentifizierung / Authen- Die Begriffe Authentisierung und Authentifizierung werden im allgemeinen Sprachgebrauch oft synonym verwendet, beschreiben aber verschiedene tisierung (englisch «au- Teilprozesse z.B. eines Anmeldevorgangs. Ein Benutzer AUTHENTISIERT thentication») sich an einem System mittels eindeutiger Anmeldeinformationen (z.B. Passwort oder Chipkarte). Das System überprüft daraufhin die Gültigkeit der verwendeten Daten, es AUTHENTIFIZIERT den Nutzer oder die Nutzerin.

Autorisierung Unter Autorisierung versteht man in der Informationstechnologie die erstmalige Vergabe und die wiederholte Überprüfung von Zugriffsrechten auf Daten und Dienste mittels spezieller Methoden. Die zwei häufigsten Formen sind:

• der autorisierte Zugriff auf Ressourcen (z. B. auf Verzeichnisse oder Dateien) in einem Computernetzwerk.

• die Autorisierung zur Installation oder Nutzung von Computerprogrammen.

BACS Bundesamt für Cybersicherheit

BAV Bundesamt für Verkehr

BSI Bundesamt für Sicherheit in der Informationstechnik

CLC CENELEC: Comité Européen de Normalisation Électrotechnique

Controls Controls sind Massnahmen, die der Erreichung von Massnahmenzielen dienen und Risiken der Informationssicherheit signifikant reduzieren.

CSA Cloud Security Alliance

CSM Common safety method CSM der ERA (European Union Agency for Railways)

Cyberangriff Jede Form böswilliger Aktivitäten, die von Unbefugten absichtlich ausgelöst werden und sich gegen Informationstechnologie oder Personen richten, die diese nutzen.

24.06.2024 / Version: V1.1

Cyberbedrohung Jeder Umstand oder jedes Ereignis, das zu einem Cybervorfall führen kann.

Cybersicherheit Technologien, Dienste, Strategien, Praktiken und Richtlinien zum Schutz von Systemen bzw. Netzwerken der Informationstechnologie vor Angriffen böswilliger Akteure. Cybervorfall Ereignis beim Betrieb von Informatikmitteln, das die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen oder die Nachvollziehbarkeit ihrer Verarbeitung beeinträchtigen kann. Siehe auch CLC TS 50701:2023, Kapitel 3.1.32 resp. CLC TS 50501:2021, Kapitel 3.1.29. ECM Entity in Charge of Maintenance Für die Instandhaltung zuständige Stelle im Eisenbahnverkehr

ENISA Agentur der Europäischen Union für Cybersicherheit

ERA Eisenbahnagentur der Europäischen Union

EVU Eisenbahnverkehrsunternehmen (mit einer Konzession)

Fernzugriff Der Fernzugriff soll Mitarbeitenden und ausgewählten externen Dienstleistern (z.B. für Wartungszwecke) einen sicheren Zugang zum Netz eines Unternehmens resp. zu einem OT-Netz ermöglichen, so dass bestimmte Anwendungen auch von ausserhalb genutzt werden können. Für den Fernzugriff steht ein entsprechend ausgestattetes Endgerät zur Verfügung. Es muss in der Lage sein, eine sichere Kommunikationsbeziehung über einen Netzzugang (z. B. DSL, WLAN, Mobilfunk) und ein Transfernetz (z. B. Internet) zum Unternehmensnetz aufzubauen.

ICS Industrial Control System – Steuerungssysteme in industriellen Anlagen (anderer Begriff für OT)

IDS Intrusion Detection System. Systeme zur Erkennung unautorisierte Zugriffe auf Daten oder Rechner.

Informationssicherheit Informationssicherheit dient der Unversehrtheit der Authentizität, Vertraulichkeit, Integrität und Verfügbarkeit von informations- und Kommunikationstechnischen Systemen und der darin verarbeiteten bzw. gespeicherten Daten.

Informationsverarbeitende Systeme und Anwendungen, in denen Informationen verarbeitet oder gespeichert werden. Systeme / Anwendungen

Integrität Gewährleistung der Korrektheit bzw. Unversehrtheit von Daten sowie des korrekten Funktionierens von Systemen. IMS Das Integrierte Managementsystem fasst Methoden und Instrumente zur Erfüllung von Anforderungen aus verschiedenen Bereichen, die der Corporate Governance dienen (z.B. Qualität, Sicherheit, Informationssicherheit, Instandhaltung), in einer einheitlichen Struktur zusammen. Durch die Nutzung von Synergien und die Bündelung von Ressourcen ist im Vergleich zu einzelnen, isolierten Managementsystemen ein schlankeres und effizienteres Management möglich.

ISB Infrastrukturbetreiberinnen (der Eisenbahn, d.h. landseitige Systeme)

ISMS Information Security Management System – Teil des übergreifenden Managementsystems, basierend auf einem Geschäftsrisiko-Ansatz, zur Etablierung, Implementierung, Betrieb, Überwachung, Überprüfung, Aufrechterhaltung und Verbesserung der Informationssicherheit. Das Managementsystem beinhaltet die Organisationsstruktur, Policies, Planungsaktivitäten, Verantwortlichkeiten, Praktiken, Prozesse und Ressourcen.

24.06.2024 / Version: V1.1

IT Informationstechnologie Alle Techniken und die dazu verwendete Hard- und Software im Zusammenhang mit der elektronischen Datenverarbeitung. Gegenüberstellungen zwischen IT resp. IKT und OT siehe Handbuch VöV, Tabelle 5 [13].

ICS Industrial Control System (industrielles Kontrollsystem; wird im vorliegenden Dokument als Synonym zu den Abkürzungen «OT» und «SCADA» verwendet). ICT / IKT Informations- und Kommunikationstechnologien sind Technologien, die zur Abwicklung von Kommunikationsprozessen wie Telekommunikation, Rundfunk, intelligente Gebäudemanagementsysteme, audiovisuelle Verarbeitungs- und Übertragungssysteme sowie netzbasierte Steuerungs- und Überwachungsfunktionen eingesetzt werden.

ISACA Information Systems Audit and Control Association

Least-privilege-Prinzip, Ein System oder eine Person erhält nur Zugriff zu den Informationen, die sie zur Erfüllung ihrer Aufgaben benötigt. Unterschiedliche Aufgaben oder Rol- Need-to-know-Prinzip len führen zu unterschiedlichen Need-to-know-Informationen und damit zu unterschiedliche Zugangsprofilen.

NCSC Nationales Zentrum für Cybersicherheit, seit 01.01.2024: Bundesamt für Cybersicherheit (BACS) OT Operational Technology bezeichnet die Hardware und Software, die die Leistung physischer Geräte überwacht und steuert. In der Vergangenheit bezog sich OT hauptsächlich auf Steuerungs- und Überwachungssysteme in Fertigungs-, Transport- und Versorgungsunternehmen. Gegenüberstellungen zwischen IT und OT siehe Handbuch VöV, Tabelle 5 [13].

RTE Regelwerk Technik Eisenbahn. Ein Regelwerk des VöV (Verband öffentlicher Verkehr).

Rückwirkungsfreiheit Nachweis, dass sich die vorgenommenen Anpassungen ausschliesslich auf die betroffenen Systeme, Komponenten oder Funktionen inkl. der Schnittstellen gemäss der Änderungsbeschreibung auswirken. Resp. dass die Funktion andere sicherheitsbezogene Funktionen nicht beeinträchtigt.

Schutzbedarf Der Schutzbedarf eines Objekts orientiert sich am Ausmass des Schadens, der bei einer Verletzung der Informationssicherheit droht. Dies können Ver- (Klassifikation eines letzungen der Vertraulichkeit, der Integrität und der Verfügbarkeit sein. Schutzobjekts) Üblich sind mindestens folgende Schutzbedarfskategorien:

• normal: Schadensauswirkungen sind begrenzt und beherrschbar.

• hoch: Schadensauswirkungen können beträchtlich sein.

• sehr hoch: Schadensauswirkungen können existenzbedrohende und katastrophale Ausmasse erreichen.

Segregation of Duties Auch bekannt als „Prinzip der Funktionstrennung“. (SoD)

SiBe Die Sicherheitsbescheinigung im Eisenbahnverkehr bestätigt, dass das Unternehmen aufgrund seiner Organisation in der Lage ist, mit geeignetem Personal und Fahrzeugen sicher auf fremder Infrastruktur zu fahren.

SiGe Die Sicherheitsgenehmigung umfasst die Bestätigung der Zweckmässigkeit des Sicherheitsmanagementsystems der Infrastrukturbetreiberin und die Akzeptanz der Vorkehrungen, die die Infrastrukturbetreiberin getroffen hat, um einen sicheren Betrieb auf ihren Strecken zu gewährleisten.

24.06.2024 / Version: V1.1

SMS Safety Management System gemäss [3]

SR System Requirement gemäss CLC/TS50701:2023, Tabelle 6 [11], resp. IEC 62443-3-3 [12] SR Systematische Rechtssammlung (Schweizer Recht) www.fedlex.admin.ch STRIDE Spoofing (Identitätsverschleierung) Tampering (Manipulation) Repudiation (Verleugnung) Information disclosure (Verletzung der Privatsphäre oder Datenpanne) Denial of service (Verweigerung des Dienstes) Elevation of privilege (Rechteausweitung) Verfügbarkeit Ist die Fähigkeit eines Systems, zu einem bestimmten Zeitpunkt oder während eines bestimmten Zeitintervalls eine geforderte Funktion unter gegebenen Bedingungen zu erfüllen, sofern die erforderlichen Mittel bereitgestellt werden.

Vertraulichkeit Vertraulichkeit bedeutet, dass Daten nur von autorisiertem Personal eingesehen oder weitergegeben werden können. Dazu ist klar zu definieren, wer wie darauf zugreifen kann. Siehe auch [5].

VKOVA Verordnung über die Koordination des Verkehrs zur Bewältigung von Ausnahmesituationen. VO Verordnung (EU)

VöV Verband öffentlicher Verkehr (www.voev.ch)

Zero-Trust-Prinzip Ansatz, bei dem jeder Zugriff auf Ressourcen eine Authentifizierung erfordert. Jeder einzelne Datenfluss wird dabei auf Vertrauenswürdigkeit überprüft (siehe auch Technologiebetrachtung «Zero Trust»-Prinzip auf https://www.ncsc.admin.ch/ncsc/de/home/dokumentation/technologiebetrachtung.html). Weitere Cyber-Begriffserklärungen sind auf https://www.ncsc.admin.ch/ncsc/de/home/glossar.html, sowie in diversen Normen zu finden.

24.06.2024 / Version: V1.1

10 Anhang 1 – Integriertes Managementsystem und ISMS

Mit einem Integrierten Managementsystem (IMS) können bestehende Instrumente zur Erfüllung von Anforderungen aus verschiedenen Bereichen in einer einheitlichen und schlankeren Struktur zusammengefasst werden. Durch eine ganzheitlichere Darstellung können Synergien genutzt und Ressourcen gebündelt werden.

Nachfolgende Managementsysteme verfügen über Schnittstellen und damit über mögliches Synergiepotential:

• Sicherheitsmanagementsystem (CSM SMS)

• Qualitätsmanagementsystem (QMS)

• ECM Instandhaltungsmanagementsystem (CSM ECM)

• Compliancemanagementsystem (CMS)

• Risikomanagementsystem (RMS)

• Internes Kontrollsystem (IKS)

Abbildung 1 - Typisches IMS einer mittleren bis grösseren Transportunternehmung mit Bezug der Unternehmensprozesse zu Normen/Standards mit Sicherheitsanforderungen

Unter dem Gesichtspunkt der Sicherheit haben ISMS und Sicherheitsmanagementsysteme (SMS) eine gemeinsame Schnittstelle. Bei beiden Systemen steht die Risikominimierung im Vordergrund, um das Sicherheitsniveau kontinuierlich zu verbessern. Dazu müssen kritische Assets und Risiken im Vorfeld identifiziert und kommuniziert werden.

Die wichtigste Schnittstelle zwischen einem ISMS und einem SMS ist demzufolge das Risikomanagement. Erkenntnisse aus der Bedrohungsanalyse eines ISMS müssen gemäss Abbildung 2 in das Risikomanagement des SMS einfliessen. Die für die Safety als relevant bewerteten Risiken sind im Gefährdungslogbuch (vgl. bspw. Hazard-Log gemäss SN EN 50126:2017) zu führen.

24.06.2024 / Version: V1.1

* https://www.era.europa.eu/domains/common-safety-methods/safety-management-system-requirements-csm_en

Abbildung 2 - ISMS Bezug zu SMS (Vereinfachte Darstellung mit der wichtigsten Schnittstelle ISMS-SMS)

24.06.2024 / Version: V1.1

11 Anhang 2 – Überblick der ISO/IEC 27001 und ISO/IEC 27002

Die Normenreihe ISO/IEC 27000 umfasst mehrere Teilnormen zum Thema Informationssicherheitsmanagement. Die zentrale Norm ist die ISO/IEC 27001. Sie besteht aus einem Hauptteil mit allgemeinen Anforderungen an ein ISMS und einem umfangreichen Anhang A mit spezifischen Massnahmenzielen. Der Anwendungsbereich eines ISMS ist meist das gesamte Unternehmen. Wichtige Aufgaben eines ISMS sind:

• Formulierung von Sicherheitszielen

• Bestimmung der Assets

• Risikobeurteilung

• Risikobehandlung

• Kontinuierliche Verbesserung (z.B. nach dem PDCA-Zyklus – Plan-Do-Check-Act)

Gemäss ISO/IEC 27001 sollen alle relevanten Informationen, Daten und datenverarbeitende Systeme eines Unternehmens erfasst bzw. inventarisiert werden. Informationen, Daten oder datenverarbeitende Systeme mit vergleichbarem Wert und mit vergleichbaren Risiken können zusammengefasst und als ein Wert betrachtet werden.

Der Anhang A der ISO/IEC 27001:2022 ist ein Katalog, der aus vier Sicherheitsthemen (Control Clauses) und 93 Controls besteht. Die vier Sicherheitsthemen sind:

• Organizational Controls - organisatorische Massnahmen (5.1 - 5.37)

• People Controls - personelle Massnahmen (6.1 - 6.8)

• Physical Controls - physische Massnahmen (7.1 - 7.14)

• Technological Controls - technologische Massnahmen (8.1 - 8.34)

Erläuterungen zur Umsetzung der 93 Controls und Massnahme-Beispiele finden sich in der ISO 27002.

Der Anhang A der ISO/IEC 27002:2022 führt die Controls in einer Matrixdarstellung mit ihren jeweiligen Attributwerten auf. Die Matrixdarstellung ermöglicht eine Gruppierung und Filterung der Sicherheitsanforderungen, die ein Unternehmen erfüllen sollte.

Weiterführende Informationen zu Normen und Standards sind im Handbuch Cybersecurity für Betriebe des öffentlichen Verkehrs (Kapitel 6.2 in [13]) und auf verschiedenen Webseiten zu finden.20

20 Beispielsweise https://en.wikipedia.org/wiki/IT_security_standards

24.06.2024 / Version: V1.1

12 Anhang 3 – Hilfsmittel für die Umsetzung eines ISMS

Hilfsmittel Bemerkung Handbuch Cybersecurity für Betriebe des öffentli- Das Handbuch VöV dient als Einführung in chen Verkehrs (Handbuch VöV vom 2020) [13] die Informationssicherheit im ÖV-Sektor und ermöglicht den Unternehmen eine Selbsteinschätzung durchzuführen. Das Handbuch basiert auf dem branchenübergreifenden IKT-Minimalstandard des Bundesamts für wirtschaftliche Landesversorgung (BWL21). Implementierungsleitfaden ISO/IEC 27001:2022 von Dient als Hilfsmittel zur Implementierung ei- ISACA (siehe [17]) nes ISMS. ICS Security Kompendium: Mit dem ICS Security Kompendium veröfhttps://www.bsi.bund.de/DE/Themen/Unternehmen-und- fentlicht das Bundesamt für Sicherheit in der Organisationen/Informationen-und-Empfehlungen/Em- Informationstechnik (BSI) ein Grundlagen-

Schwachstellen- und Lieferantenmanagement: ENISA: - Good Practices for Supply Chain Cybersecurity - Threat Landscape for Supply Chain Attacks

CISA: - Known Exploited Vulnerabilities Catalog Aktuelle Bedrohungen: Unternehmen können sich beim Cyber Se- BACS: https://www.ncsc.admin.ch curity Hub nach erfolgter Registrierung an- Internet Storm Center: https://isc.sans.edu/ melden. Das BACS (NCSC) informiert darin über aktuelle Bedrohungen und Schwachstellen. Registrierte Nutzer und Nutzerinnen Bedrohungstrends: haben die Möglichkeit, aktiv Informationen auf dieser Plattform auszutauschen. Anträge ENISA: Foresight Cybersecurity Threats For 2030 für die Registrierung nimmt das BACS unter folgender Adresse entgegen: useraccounts@ncsc.admin.ch

Adversarial Tactics, Techniques, and Common Bei den Taktiken wird zwischen Enterprise, Knowledge (ATT&CK) Mobile und ICS (Industrielle Control Sys- MITRE ATT&CK ist ein Leitfaden zur Klassifizierung und teme) unterschieden. Beschreibung von Cyberangriffen und Eindringlingen. Er Es gibt den webbasierten ATT&CK Navigawurde von der Mitre Corporation erstellt, im Jahr 2013 tor zur Kommentierung und Erkundung von veröffentlicht und weiterentwickelt. ATT&CK-Matrizen. Er kann zur Visualisie- Siehe https://attack.mitre.org/ rung der Defensivabdeckung, der Planung von roten/blauen Teams, der Häufigkeit der entdeckten Techniken und mehr verwendet werden.

Indicators of Compromise (IoC) Database: https://threatfox.abuse.ch/browse/ Hilfsmittel für Risikoanalysen (Risk Assessments): Siehe auch:

• ISO/IEC 27005 https://www.enisa.europa.eu ⎝ Risk Man-

• IEC 62443-3-2 agement

• CLC/TS 50701:2023, Kapitel 6 und 7

• STRIDE und eisenbahnspezifisch: https://www.enisa.europa.eu/publications/railway-cybersecurity-good-practices-incyber-risk-management

21 www.bwl.admin.ch

24.06.2024 / Version: V1.1

Hilfsmittel für die Netzwerksegmentierung:

• IEC 62443-3-2 und IEC 62443-3-3

• CLC/TS 50701

• Zoning and Conduits for Railways (ENISA, ER-ISAC) NIST Cryptography: https://www.nist.gov/cryptography

BSI Empfehlungen zu kryptographischen Verfahren und Schlüssellängen: Informationen bezüglich Kryptografie-Stanhttps://www.bsi.bund.de/DE/Themen/Unternehmen-und- dards.

IEEE Cryptography: https://standards.ieee.org/ Passwortschutz und weiterführende Informationen zur U.a. hilfreiche Hinweise für die Passwort- Mitarbeitersensibilisierung: wahl. https://www.passwortcheck.ch/ https://www.s-u-p-e-r.ch/de/tipps/e-wie-einloggen/ Hilfsmittel für die Maturität der Cybersicherheit in ei- RAILplus verfügt über ein eigenes Hilfsmittel ner Organisation zu bestimmen: zur Bestimmung der Maturität der Informati- IKT-Minimalstandard – Assessment Tool onssicherheit. Hilfsmittel zum Thema Cloud:

• Cloud Security Alliance (CSA)

• ENISA: Cloud Cybersecurity Market Analysis

• BSI: Mindeststandard des BSI zur Nutzung externer Cloud-Dienste

• BSI: Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue) Mapping-Tabellen für verschiedene Normen: Die Aktualität der Mapping-Tabellen ist nicht

• IKT-Minimalstandard – Assessment Tool immer gegeben.

• Mapping-Tabelle zwischen ISO/IEC 27019:2020 und ISO/IEC 27002:2022 der Bundesnetzagentur

• Mapping Tabelle von ENISA für spezifische Sektoren Weitere Hilfsmittel siehe https://www.ncsc.admin.ch/ncsc/de/home/infos-fuer/infos-unternehmen.html

Viele Hilfsmittel zur Cybersicherheit sind aus öffentlichen Quellen abrufbar und werden mehr oder weniger aktuell gehalten. Auch in der Branche sind zunehmend Hilfsmittel vorhanden. Dieser Anhang wird auf der BAV-Webseite aktuell gehalten.

24.06.2024 / Version: V1.1

13 Anhang 4 – Checkliste und Gesuch zur Befreiung der ISMS-Pflicht für EVU

und ISB Name der Unternehmung UID22 ☐ EVU☐ ISB

Kontaktperson (Vor-, Nachnahme, E-Mail, Telefon Nr., Funktion) wurden zusammen beantragt

Nr. Prüfpunkt Antwort Erläuterungen / Referenzen

1 Wir haben folgende

Systeme/Eisenbahnfahrzeuge im Geltungsbereich der AB-EBV im Einsatz:

2 Es existieren digitale Schnittstellen zu folgenden betrieblichen

und technischen Systemen (insbesondere zu Zugsicherungs- und Zugbeeinflussungssystemen)23: Bemerkung: bitte auch die Art der Schnittstelle beschreiben (z.B. TCP/IP Schnittstelle)

3 Wir sind für den Betrieb gemäss

im Prüfpunkt Nr. 2 aufgeführten Systeme auf folgende Dienstleister angewiesen24:

4 Sind die Dienstleister (gem. Prüf- ☐ ja ☐ nein

punkt Nr. 3) vertraglich verpflich- Wenn ja, welche tet, Mindestanforderungen der Mindestanforderungen? Cybersicherheit für ihre Lieferanteile zu erfüllen? Bemerkungen:

5 Ohne unsere IT-Systeme25 kön- Anzahl Stunden:

nen wir unseren Betrieb … Stunden aufrechterhalten. Begründung:

Betriebsrelevante IT-Systeme (z.B. Dispo-System)

22 Unternehmens-Identifikationsnummer

23 Als Übersicht kann die Abbildung 5 im Handbuch VöV (https://www.bwl.admin.ch/bwl/de/home/bereiche/ikt/ikt_minimalstandard/ikt_branchenstandards/oeffentlicher_verkehr.html) dienen. 24 Als Dienstleister sind primär solche im IT- und OT-Bereich wie auch Eigentümer von gemieteten Anlagen und Rollmaterial denkbar.

25 Unter IT-Systeme fallen unter anderem die Business-IT und Datenablagen.

24.06.2024 / Version: V1.1

Nr. Prüfpunkt Antwort Erläuterungen / Referenzen

6 Wir haben folgende Vorkehrungen getroffen, damit digital gespeicherte Informationen, welche

relevant für unseren Betrieb und die Instandhaltung sind, jederzeit verfügbar sind26: 7 Wir haben folgende Änderungen/Erneuerungen geplant, welche hinsichtlich der Cybersicherheit relevant sind / sein könnten.

8 Vorhandene Grundlagen (z.B. Risikoanalysen, Systembeschreibungen) welche für die Beurteilung dieses Gesuchs hilfreich sind (bitte beilegen):

9 Begründung des Gesuchstellers, wieso die Erstellung und Pflege eines ISMS für sein Unternehmen als nicht notwendig erachtet wird:

Kriterien für eine Befreiung der ISMS-Pflicht:

1 Der Informationsschutzbedarf der vorhandenen IT- und OT-Systeme des Antragstellers für einen

sicheren und zuverlässigen Betrieb (Kritikalität).

2 Bedeutsamkeit des Antragstellers (EVU resp. ISB) für die Landesversorgung und im Verbund mit

anderen Transportunternehmen.

3. Wie die Sicherheitsziele ohne ein ISMS mit den vorhandenen Managementsystemen wie z.B. dem SMS erreicht werden können.

Bemerkungen: Der Antrag für eine Befreiung der ISMS-Pflicht ist alle 5 Jahre zu erneuern. Dies idealerweise in Koordination mit den Prozessen SiBe/SiGe. Falls bei der Antragstellerin Änderungen erfolgen, welche hinsichtlich der Cybersicherheit relevant sein können, ist ein aktualisiertes Gesuch spätestens zum Zeitpunkt der Inbetriebnahme der Neuerung dem BAV einzureichen.

Ort, Datum:

Name, Vorname und Unterschrift27:

26 z.B. offline Backup, welches regelmässig überprüft wird

27 Funktionsträger nach Art. 14 Abs. 4 EBV, SR 742.141.1

24.06.2024 / Version: V1.1

14 Änderungsverzeichnis

Änderung Kapitel Grund der Änderung / Erläuterungen Nr. Datum Version 1 27.03.2024 1.1 Titelseite Anpassung auf Grund der geänderten EBV, AB-EBV (an- 2 27.03.2024 1.1 Seite 2 Datum und Tabelle angepasst. 3 27.03.2024 1.1 Kapitel 2 Anpassung auf Grund der geänderten EBV, AB-EBV (an- 4 27.03.2024 1.1 Kapitel 3 Anpassung auf Grund der geänderten EBV, AB-EBV (an- NIST CSF von Version 1.1 auf 2.0 geändert, sowie Zeiger (Links), welche geändert haben angepasst. Verweis auf neue D RTE 28100. 5 27.03.2024 1.1 Kapitel 4 Anpassung auf Grund der geänderten EBV, AB-EBV (an- 6 13.02.2024 1.1 Kapitel 5 Anpassung auf Grund der geänderten EBV, AB-EBV (an- Ergänzungen zum Antrag für die Befreiung der ISMS Pflicht. 7 27.03.2024 1.1 Kapitel 7 Anpassung auf Grund der geänderten EBV, AB-EBV (an- NIST CSF von Version 1.1 auf 2.0 angepasst Diverse Verweise in Spalte Controls Kapitel 8 angepasst. 8 19.06.2024 1.1 Kapitel 7 A-07: NIST CSF GV.SC-01 (neu) 9 27.03.2024 1.1 Kapitel 8 NIST CSF von Version 1.1 auf 2.0 angepasst, inkl. der Controls, welche mit Version 2.0 geändert haben. 10 19.06.2024 1.1 Kapitel 8.1 B-05: NIST CSF: GV.PO-02 (neu) B-07: NIST CSF: DE.CM (neu) + ID.AM-03 (neu) B-08: NIST CSF: ID.IM-03 (neu) B-09: NIST CSF: ID.IM-02 (neu) B-11: Verweis auf neue D RTE 28100 B-17: NIST CSF: PR.DS-02 (neu) + PR.DS-10 (neu) 11 15.05.2024 1.1 Kapitel 8.1 B-09: Verweis auf neue Verordnung VKOVA anstelle VVTA, welche per 1.08.2024 abgelöst wird. 12 15.05.2024 1.1 Kapitel 9 Diverse Einträge ergänzt oder angepasst.

13 27.03.2024 1.1 Anhang 1 Absatz unterhalb Abbildung 1: Letzter Satz mit «kritischer Assets» ergänzt. Abbildung 2: Referenzierung und Titel angepasst (Neu Begriff Schnittstelle, anstelle Nahtstelle und somit konform mit den AB-EBV). 14 27.03.2024 1.1 Anhang 3 Diverse Ergänzungen und Aktualisierungen 15 13.02.2024 1.1 Anhang 4 Kleine Ergänzungen, Präzisierungen und Formatierung angepasst.

24.06.2024 / Version: V1.1