07/2026 – Fachartikel Swiss Infosec AG
Digitale Steuerungs- und Leitsysteme sind längst das Rückgrat des Bahnverkehrs.
Doch mit der zunehmenden Vernetzung wächst auch das Risiko gezielter Angriffe auf betriebliche IT- und OT-Systeme. Die jüngste Revision der Eisenbahnverordnung (EBV) bringt dieses Risiko auf die regulatorische Ebene: Mit den Ausführungsbestimmungen (AB-EBV) verpflichtet das Bundesamt für Verkehr (BAV) alle Eisenbahnunternehmen, ihre Informations- und Kommunikationstechnik «soweit verhältnismässig» vor missbräuchlichen Eingriffen zu schützen.
Damit ist Cybersicherheit nicht länger eine freiwillige Disziplin, sondern Teil der Betriebssicherheit.
Von der Verordnung zur Umsetzung
Die Richtlinie CySec-Rail des BAV präzisiert, was das konkret bedeutet: Neu sieht sich jedes Bahnunternehmen mit klaren Informationssicherheitsanforderungen konfrontiert, technische und organisatorische Schutzmassnahmen und damit verbundene Informationssicherheitsrisiken sind systematisch zu bewerten.
Die Richtlinie verweist zudem auf etablierte Rahmenwerke wie ISO/IEC 27001, IEC 62443, CLC/TS 50701 und das Handbuch Cybersecurity des VöV (Verband öffentlicher Verkehr).
Was in der Industrie bereits gängig ist, hält damit auch im öffentlichen Verkehr Einzug. Doch Papier allein schützt keine Systeme. Entscheidend ist, wie die Anforderungen umgesetzt werden.
Herausforderung: alte Technik, lange Lebenszyklen
Viele Bahnsysteme wurden in einer Zeit entwickelt, in der Verfügbarkeit wichtiger war als Sicherheit. Ihre Komponenten sind oft jahrzehntelang im Einsatz, nur schwer zu aktualisieren und häufig unzureichend segmentiert. Zudem treffen klassische IT-Netze und sicherheitskritische OT-Umgebungen aufeinander.
Diese Ausgangslage macht die Umsetzung von CySec-Rail besonders anspruchsvoll:
Sie erfordert kein punktuelles Nachrüsten, sondern ein strukturiertes Verständnis der Risiken und Schnittstellen, technisch wie organisatorisch.
Erste Erfahrungen aus der Praxis
In ersten Projekten im Schweizer Bahnsektor hat sich gezeigt, dass die erfolgreiche Umsetzung von CySec-Rail vor allem eine Frage des Verständnisses für Abläufe und Zuständigkeiten ist, nicht nur des richtigen Frameworks. Entscheidend ist, Sicherheit als gemeinsamen Prozess zwischen Betrieb, Technik und Management zu begreifen.
Praxisbewährt ist ein schrittweises Vorgehen:
Zunächst werden kritische Systeme und Schnittstellen identifiziert, anschliessend Risiken bewertet und priorisiert. Darauf basierend lassen sich gezielte Massnahmen umsetzen, etwa die Segmentierung von Netzwerken, die Kontrolle externer Zugänge oder klare Prozesse für Updates und Störungsmanagement.
Ebenso zentral ist die Zusammenarbeit mit Herstellern und Zulieferern. Sicherheitsanforderungen müssen bereits in Ausschreibungen definiert und während des gesamten Lebenszyklus überwacht werden. Genauso wichtig: das Bewusstsein der Mitarbeitenden. Schulungen und klare Verantwortlichkeiten schaffen die Grundlage, damit Cybersicherheit im Betrieb nicht nur dokumentiert, sondern gelebt wird.
CySec-Rail als Chance
Viele Unternehmen sehen in der Richtlinie zunächst eine regulatorische Belastung. Richtig umgesetzt, eröffnet sie jedoch die Möglichkeit, Safety und Security zusammenzuführen und bestehende Schwachstellen strukturiert anzugehen.
Ein ISMS nach CySec-Rail ist nicht Selbstzweck, sondern Werkzeug: Es schafft Transparenz über Risiken, Prioritäten und Verantwortlichkeiten, und ermöglicht es, Investitionen gezielt dort zu tätigen, wo sie den grössten Effekt haben.
Fazit
CySec-Rail markiert den Beginn einer neuen Sicherheitskultur im Bahnsektor. Die Anforderungen sind anspruchsvoll, aber umsetzbar. Vorausgesetzt, sie werden pragmatisch interpretiert und in die Betriebsrealität integriert.
Swiss Infosec AG begleitet Bahnunternehmen und Zulieferer bei der Einführung und Auditierung des Informationssicherheitsmanagements gemäss CySec-Rail und ISO 27001, oder auch Unterstützung bei der Anwendung von Anforderungen aus IEC 62443 und CLC/TS 50701, mit Fokus auf Machbarkeit, Nachhaltigkeit und Compliance.
Cybersicherheit wird damit nicht zum Zusatzaufwand, sondern zum festen Bestandteil sicherer, verfügbarer und zukunftsfähiger Mobilität.
Kontaktieren Sie uns und erfahren Sie in einem unverbindlichen Beratungsgespräch, was unsere Spezialistinnen und Spezialisten in Sachen ganzheitlicher Cybersecurity für Sie tun können: +41 41 984 12 12, infosec@infosec.ch
Swiss Infosec AG; 05.05.2026
Kompetenzzentrum Consulting