IT-Sicherheit für Produktion und Industrie
Kundenfragebogen, gewachsene Tools und eine IT-Leitung, die schon alles andere trägt. Wo wir in Schweizer Produktionsbetrieben konkret ansetzen.
Die Lage
Den Schweizer MEM-Betrieben fehlt weiterhin die Erholung. Im Wirtschaftsbarometer von Swissmechanic vom Mai 2026 beurteilen rund drei Viertel der Unternehmen ihre Geschäftslage als ungünstig, der Geschäftsklimaindex steht bei rund minus 30 Punkten, und vier von zehn Betrieben hatten im ersten Quartal 2026 rückläufige EBIT-Margen.
Das ist der eigentliche Kontext für jedes Sicherheitsgespräch in dieser Branche. In einem Jahr mit dieser Auftragslage bewilligt kein Verwaltungsrat eine neue Vollzeitstelle, und schon gar keine für eine Funktion, die keinen Umsatz bringt. Wer trotzdem mit einem Stellenprofil oder einer Toolliste ankommt, hat das Gespräch verloren, bevor es angefangen hat.
Die Anforderungen verschwinden dadurch aber nicht. Grosskunden schicken Lieferantenfragebogen mit Fristen, Versicherer knüpfen Bedingungen an die Police, und in der Fertigung wachsen Steuerungstechnik und Büro-IT immer weiter zusammen. Der Druck kommt also von aussen, während das Budget von innen schrumpft.
Genau in dieser Zange arbeiten wir. Nicht mit mehr Technik, sondern mit klarer Verantwortung und mit einer Bestandsaufnahme, die zuerst fragt, was weg kann.
Was wir in dieser Branche antreffen
- Sicherheit hängt an der IT-Leitung, die schon alles andere trägtBetrieb, ERP, Projekte und Support laufen über dieselbe Person. Sicherheit ist dort nicht schlecht aufgehoben, sie ist nur die Aufgabe, die immer zuletzt drankommt. Das ist ein Kapazitätsproblem, kein Kompetenzproblem, und es lässt sich nicht mit einer Schulung lösen.
- Kundenfragebogen entscheiden über AufträgeWer Fragen zu Lieferkette, Notfallplan und Zugriffskontrolle nicht belegen kann, fällt von der Bieterliste, bevor über den Preis gesprochen wird. Bei EU-Kunden kommen NIS2-Anforderungen über den Vertrag herein, nicht über das Gesetz.
- Anlagen laufen 15 Jahre und längerSteuerungen mit alten Softwareständen lassen sich nicht einfach aktualisieren, weil die Herstellerfreigabe fehlt oder die Linie dafür stillstehen müsste. Die übliche Antwort aus der Büro-IT, einfach zu patchen, funktioniert in der Fertigung nicht.
- OT und IT sind längst dasselbe NetzFernwartungszugänge der Maschinenbauer, Betriebsdatenerfassung und Qualitätssysteme hängen an derselben Infrastruktur wie Mail und ERP. Die Trennung existiert oft nur noch im Organigramm.
- Der Werkzeugkasten ist gewachsen, nicht geplantFirewall, Endpoint-Schutz, Backup und Monitoring stammen aus verschiedenen Jahren und überschneiden sich. Bei schrumpfenden Margen ist das echtes Geld, das nichts zusätzlich schützt.
- Ein Tag Stillstand kostet mehr als das Jahresbudget für SicherheitDas ist das eigentliche Argument in der Produktion, und es ist ein betriebswirtschaftliches, kein regulatorisches. Wer Sicherheit in Ausfallstunden rechnet statt in Bedrohungslagen, bekommt die Diskussion im Verwaltungsrat überhaupt erst geführt.
Typischer Auslöser
Ein Grosskunde schickt einen Sicherheitsfragebogen mit Frist, und intern kann ihn niemand beantworten. Oder die Cyber-Versicherung stellt bei der Erneuerung neue Bedingungen.
Der ODCUS-Unterschied
Kein Verkauf zusätzlicher Werkzeuge. Erster Schritt ist immer: Was habt ihr schon, was davon funktioniert, und was können wir streichen? Die meisten Mandate beginnen damit, Kosten zu senken und den Schutz gleichzeitig zu verbessern.
Warum diese Leistungen dort greifen
Zugewiesene Verantwortung, ohne eine Stelle zu schaffen
Ein Mandat von einem bis vier Tagen pro Woche kostet einen Bruchteil einer festen CISO-Stelle und lässt sich zurückfahren, sobald das Programm steht. Das ist die Kostenstruktur, die auch bei eingefrorenem Personalbudget bewilligungsfähig ist.
Deine IT-Leitung behält den Betrieb. Wir übernehmen Sicherheitsführung, Priorisierung und das Reporting an Geschäftsleitung und Verwaltungsrat, in Geschäftssprache statt in Fachbegriffen.
Erst zählen, was da ist, dann investieren
Zum Festpreis von CHF 9'800 erheben wir den Reifegrad, decken doppelte Lizenzen auf und priorisieren nach Geschäftsrisiko statt nach Produktkatalog. Der Preis ist publiziert, damit die Freigabe nicht an einer offenen Rechnung scheitert.
In den meisten Betrieben finanziert das, was gestrichen wird, einen guten Teil dessen, was fehlt. Deshalb steht diese Leistung am Anfang und nicht am Ende.
Aus dem Fragebogen wird eine Antwort, die schon bereitliegt
Ein ISMS beantwortet Kunden- und Auditfragen einmal strukturiert, statt sie jedes Mal neu zusammenzusuchen. Lieferketten- und NIS2-Anforderungen von EU-Kunden sind damit abgedeckt.
Das Zertifikat ist der sichtbare Teil. Der praktische Nutzen ist, dass der Vertrieb nicht mehr auf die IT warten muss, wenn eine Ausschreibung hereinkommt.
Fernzugänge und Lieferanten im Griff, ohne die Linie zu stoppen
Wir ordnen Zugänge, Berechtigungen und Herstellerwartung und bringen Struktur in die Bewertung der Lieferanten. Massnahmen werden am Produktionsplan ausgerichtet, nicht umgekehrt.
Deine Leute bleiben im Betrieb. Wir arbeiten den Rückstand ab und übergeben so, dass er nicht wieder entsteht.
Für wen das passt
- Produktionsbetriebe mit 50 bis 500 Mitarbeitenden ohne eigene Sicherheitsrolle
- Zulieferer, die Sicherheitsfragebogen von Grosskunden beantworten müssen
- Betriebe mit gewachsener Werkzeuglandschaft und dem Verdacht, zu viel zu bezahlen
- Unternehmen, bei denen OT und IT zusammenwachsen und niemand die Gesamtsicht hat
Verwandte Mandate
- CISO-Mandat für ein internationales Industrieunternehmen (1'600 Mitarbeitende)
- Gap-Assessment gegen CIS Controls bei einem Industrieunternehmen mit 3'600 Mitarbeitenden
- Zero-Trust-Programm über die gesamte IT
- Ransomware-Recovery nach vollständiger Verschlüsselung
Anonymisierte Einblicke in echte Mandate. Nicht alle stammen aus dieser Branche, die Aufgabenstellung ist aber dieselbe.
Häufige Fragen
Wir haben schon einen IT-Leiter. Wozu dann noch eine externe Sicherheitsrolle?
Weil es zwei verschiedene Aufgaben sind. Die IT-Leitung sorgt dafür, dass der Betrieb läuft. Sicherheitsführung heisst, Risiken zu bewerten, zu priorisieren und gegenüber Geschäftsleitung und Kunden zu vertreten. In den meisten Industrie-KMU ist die zweite Aufgabe niemandem zugewiesen, sondern hängt nebenbei mit dran.
Können wir unsere Maschinen überhaupt absichern, wenn wir sie nicht patchen dürfen?
Ja. Wenn ein System nicht aktualisiert werden darf, geht es darum, es abzugrenzen, den Zugang zu kontrollieren und den Ausfall zu planen. Das ist Standardvorgehen in der Fertigung und braucht keine Herstellerfreigabe.
Ein Kunde verlangt ISO 27001. Wie lange dauert das?
Je nach Ausgangslage und Umfang meist neun bis achtzehn Monate bis zum Zertifikat. Wichtiger für den laufenden Verkauf: Die Antworten auf den Fragebogen liegen deutlich früher vor, weil sie beim Aufbau ohnehin entstehen.
Wir haben gerade Kurzarbeit. Ist das der falsche Zeitpunkt?
Für eine neue Stelle ja, für eine Bestandsaufnahme nein. Gerade dann lohnt sich der Blick darauf, welche Lizenzen und Verträge sich überschneiden. In unserer Erfahrung finanziert das Aufräumen einen Teil dessen, was fehlt.
Sprechen wir über deine Situation
Dreissig Minuten, kostenlos und unverbindlich. Wir sagen dir ehrlich, ob und wo wir helfen können.