TISAX: Beitrag der Informationssicherheit zu einer resilienten Lieferkette

00:00:04: Vertrauensanker, der ENX Podcast.

00:00:09: Heute mit dem Thema beitragte Informationssicherheit zu einer resilienten Lieferkette.

00:00:15: Im Interview Andreas Ebert, Konzernbeauftragter für Wirtschaftsschutz bei der Volkswagen AG und Vorsitzender des Tiesachskomitees bei ENX.

00:00:26: Hallo und herzlich willkommen zu unserem Podcast Vertrauensanker.

00:00:30: Unser Podcast ist noch ganz frisch.

00:00:33: Und wir möchten Einblicke in die Automobilindustrie und die Welt von ENX geben, also den Maschinenraum der Automobilindustrie.

00:00:40: Die ENX Association ist die Governance-Organisation hinter Standards und Programmen wie TISAX, dem ENX-Netzwerk und ENX Vehicle Cyber Security.

00:00:49: Wir beleuchten in unserem Podcast Hintergründe und betrachten die Bedeutung von Cyber-Sicherheit für resiliente Wertschöpfungsketten.

00:00:55: Ich möchte mich kurz vorstellen.

00:00:57: Mein Name ist Clemens Magić.

00:00:58: Ich darf diesen Podcast moderieren.

00:01:00: Und beruflich habe ich auch mit ENX und TISAX und so zu tun.

00:01:05: Und das gilt auch gewissermaßen für unseren heutigen Gast, Andreas.

00:01:10: Schön, dass du da bist.

00:01:13: Ja, schönen guten Morgen, Clemens.

00:01:14: Ich freue mich heute Morgen bei euch, zu Gast sein zu dürfen.

00:01:17: Du bist unser erster Gast in unserem Podcast.

00:01:21: Da freuen wir uns ganz sehr, dass du es geschafft hast, dass das geklappt hat und dass du da bist.

00:01:28: Viele von unseren Zuhörern kennen dich jetzt vielleicht noch nicht.

00:01:31: Und damit wir das Ganze so ein bisschen persönlicher machen und dich ein bisschen kennenlernen, habe ich drei Fragen vorbereitet.

00:01:38: Und da würde ich sagen, fange ich mal an.

00:01:42: Ganz unpolitisch.

00:01:44: Elektro oder Verbrenner.

00:01:46: Was ist dir lieber?

00:01:49: Ja, das ist in der Tat für jemanden, der in der Automobilindustrie tätig ist.

00:01:53: Eine gleichermaßen spannende, wie interessante Frage.

00:01:57: Aber da ich sehr aufgeschlossen bin der Zukunft und eigentlich mehr nach vorne schaue als nach hinten, eigentlich Elektrofahrzeug.

00:02:04: Klare Antwort.

00:02:05: Ja, das ist eindeutig.

00:02:06: Okay.

00:02:07: Jetzt sind wir in der Cyber Security Welt unterwegs und in der Automobilwelt und mir ist aufgefallen, dass das Thema E-Mail ganz spannend ist, weil es durchaus mal vorkommt, dass E-Mails vielleicht untergehen oder nicht gelesen werden.

00:02:22: und daher meine Frage an dich.

00:02:24: Was ist dir lieber?

00:02:25: E-Mail

00:02:26: oder Chat?

00:02:27: oder was bist dir lieber?

00:02:28: oder wie bist du besser erreichbar?

00:02:30: Ja, da negiere ich mich von gerade.

00:02:33: Fast, möchte ich mal sagen, weil da bin ich ein bisschen Old Fashion.

00:02:36: Derzeit eigentlich eher E-Mail und nicht noch Chat.

00:02:38: Da gibt es dann mir zu viele Kanäle, die dann manchmal zeigen, dass ich doch schon die eine oder andere Generation älter bin.

00:02:46: E-Mail, lieber als Chat.

00:02:47: Okay, wunderbar.

00:02:50: Ist auch eindeutig.

00:02:51: Jetzt eine etwas offene Frage.

00:02:54: Wenn du die Möglichkeit hättest dir das auszusuchen, mit wem würdest du dich mal auf einen Drink treffen, um eine Runde zu diskutieren, vielleicht auch über Cyber Security.

00:03:05: Ich habe da eine Person im Kopf, ob ich mit der über Cyber Security diskutieren kann, glaube ich vermute ich eher nicht.

00:03:12: Es ist wenigstens Schirrschill.

00:03:14: Ich habe gerade aktuell eine Biografie von ihm gelesen.

00:03:17: Ich finde das ganz spannend, wie er sich in schwierigen Zeiten, man spricht ja auch von der dunkelsten Stunde und dann hinterher von der besten Stunde damals verhalten hat im Zweiten Weltkrieg und eigentlich die letzte Bastion der Freiheit, der westlichen Freiheit war.

00:03:31: Und mal über das spannende Leben von Vincent Churchill, Nobelpreisträger, Literatur-Nobelpreisträger, Maler, also auch Kunstaffin und Politiker mit all den Schattierungen.

00:03:41: Ich glaube, das wird mehr als eindringen.

00:03:43: Zumal ich auch aus der Biografie weiß, dass er dem Alkohol nicht so ganz abgeneigt war.

00:03:50: Das Thema wirft jetzt quasi schon so ein paar kleine Schatten voraus auf das Thema.

00:03:55: Da gucken wir mal, wie es weitergeht.

00:03:59: Bleiben wir aber erst mal noch bei dir.

00:04:01: Du bist ja Konzernbeauftragter für Wirtschaftsschutz bei VW, wenn ich das so sagen darf.

00:04:07: Du hast also auch beruflich viel mit Sicherheit zu tun.

00:04:10: Du bist im Konzern da aktiv und Cyber-Sicherheit, Informations-Sicherheit, das sind alles so Themen.

00:04:17: Warum ist Sicherheit für dich so wichtig?

00:04:22: Ich glaube, da gibt es biografisch auch vielleicht noch ein paar mehr Themen, aber wie bist du dahin gekommen und wie ... Ja, warum ist das so ein dickes Thema?

00:04:32: Ja, es ist eigentlich für mich ein dickes Thema geworden im Laufe meiner beruflichen Karriere, weil ich festgestellt habe, dass das Sicherheit allgemein doch so ein Stück eine Art Grundbedürfnis auch des Menschen ist.

00:04:44: Ich glaube, Menschen leben gerne in einer für sie überschaubaren, beherrschbaren Situation.

00:04:51: Das hat ganz viel für mich mit Sicherheit zu tun, weil wenn Sicherheit da ist, Sicherheit wird ja auch oft als Abwesenheit von Angst und Mangel bezeichnet, so gibt es ein Modell der Human Security, das es so sagt, ist es am Ende ein Grundbedürfnis und zur Befriedigung dieses Grundbedürfnisses beizutragen, war eigentlich zu dem Zeitpunkt, wo ich in die Sicherheit, in die Wirtschaftssicherheit gekommen bin, eine ganz spannende Herausforderung für mich.

00:05:17: Du hast es gerade gesagt, richtig, ich bin im Volkswagen Konzern, also als Konzernstelle verantwortlich für den Wirtschaftsschutz, das ist so ein bisschen die Die "Außenminister"-Rolle, sicherlich nicht Minister, aber die Außendarstellungsrolle der Konzernsicherheit des Volkswagen Konzerns, also sehr viel Kontakt zu Sicherheitsbehörden, zu Ministerien mit Sicherheitsfunktionen, um einfach auch zu vermitteln, dass ein Unternehmen wie der Volkswagen Konzern doch in das Thema Sicherheit, in all seinen Facetten eine ganze Menge investiert und tut.

00:05:50: Ich bin Seiteneinsteiger in das Thema Sicherheit, also nicht irgendwie, wie das oft mal so ist vermutet, irgendwie von einer Sicherheitsbehörde dann in die Konzernsicherheit gekommen, sondern ursprünglich mal gelernter Studierter, Diplomingenieur der Nachrichtentechnik, der Elektrotechnik.

00:06:06: Viele, viele Jahre lang ganz viele IT-Projekte gemacht eigentlich so in den, in den neunziger, zweitausender Jahren alles an IT-Projekten zumindest mal gesehen, teilweise geleitet, was seinerzeit so in dem Portfolio drin war.

00:06:19: Und dann die Chance bekommen, die Leitung zu übernehmen in einem großen DAX-Konzern, die Leitung zu übernehmen für das Thema IT-Sicherheit, Informationssicherheit, da eine ganze Menge gelernt, eine ganze Menge auch eine Erfahrung gemacht und dann so sukzessive das Vollspektrum einer Konzernsicherheit kennengelernt in all den Facetten.

00:06:38: Und das finde ich nach wie vor heute noch herausfordernd spannend, gerade in diesen geopolitischen wilden Zeiten, in denen wir leben.

00:06:47: Das ist krass, also gerade auch, dass du es von der Elektrotechnik bis hin zur Cyber-Sicherheit, also es ist ja der komplette Weg, wenn man so möchte.

00:06:57: Du hast also genau nicht immer Automobil gemacht, das hast du uns jetzt erzählt.

00:07:03: Aber wenn ich aufs Automobil mal schaue, dann ist da Sicherheit ja ein Thema.

00:07:07: Das ist beim Autonthema, da geht es dann mehr um diesen Safety.

00:07:12: Aspekt, aber auch bei den Firmen, da geht es um den Sicherheitsaspekt, eine Informationssicherheitshalber-Sicherheit, das hast du auch so gesagt.

00:07:20: Wenn ich jetzt die Automobilbranche mir angucke, dann sehe ich ja nicht nur Produktion, ja, Produktion ist ein wichtiger Faktor, aber wir haben ja auch ganz viel Entwicklung, wir haben Dienstleister, wir haben ja, ich würde sagen ja, Lieferkette ist ja fast zu eindimensional, es ist ja schon so ein Liefernetzwerk, wenn ich sogar noch komplexer, also das ist ein... Großes Feld.

00:07:43: Und da ist jetzt meine Frage, wie nimmst du denn die Automobilindustrie im Vergleich zu anderen Branchen wahr?

00:07:49: Sind wir da gut aufgestellt?

00:07:51: Sind wir da sehr komplex?

00:07:52: Sind wir zu kompliziert?

00:07:53: Machen wir was gut?

00:07:54: Machen wir was schlecht?

00:07:57: Ja, du hast es ja schon gesagt.

00:07:59: Automobilbau ist Teamarbeit.

00:08:02: Es hat ein Vorstandsvorsitzender, ein früherer Vorstandsvorsitzender unseres Konzernes vor einigen... Vor einiger Zeit vor einigen Jahren explizit so gesagt.

00:08:09: Automobilbau ist Teamarbeit.

00:08:11: Teamarbeit nicht nur im eigenen Unternehmen, sondern wie gerade von dir skizziert in das Partner-Netzwerk.

00:08:17: Also Automobilbau lebt eben nicht nur von der Supply Chain.

00:08:21: Ein Auto baut sich nicht nur allein im eigenen Unternehmen, sondern braucht eine ganze Anzahl von Zulieferern.

00:08:28: Ich mag den Begriff von Zulieferern nicht unbedingt so ganz gerne, sondern sprich eher von Partner-Netzwerk.

00:08:35: weil es eben auch den Bereich du sprachst, es an der Entwicklung des Innovationen reinzutragen, aus unserem, auch in Deutschland, sehr, sehr wichtigen und sehr innovativen Mittelstand.

00:08:45: Also ich glaube, das prägt die Branche ganz besonders, dass ein Auto eben nicht nur für in unserem konkreten Fall von Volkswagen oder anderen Konzerngesellschaften auch die SEATSCO da gebaut wird, sondern mit seinen umfangreichen Partnern.

00:08:58: Das fängt an von Ingenieurbüros, mit Entwicklern, Designern bis dann wirklich hinterher.

00:09:05: zum Prototypenbau, spezielle Partner, die sich im Prototypenbau engagieren, aber auch hinterher in die Serienproduktion rein, nicht zu verachten die Logistik.

00:09:16: Und das ist vielleicht der Punkt, der deine Frage so ein Stückweg beantwortet, dass eben der Automobilbranche schon sehr intensiv von diesem Partnernetzwerk, von der Supply Chain geprägt ist, national wie international, den deutschen Mittelstand habe ich gerade schon genannt.

00:09:32: Und das bringt ganz besondere Herausforderungen auch für die Sicherheit mit sich.

00:09:38: Ich glaube, dass ganz viele Industrieunternehmen auch in anderen Branchen von ihrer Supply Chain abhängig sind.

00:09:45: Aber im Automobilbau, gerade international, ist es, glaube ich, noch mal um möglicherweise eine ganze Dimension ausgeprächter.

00:10:01: Richtung Supply Chain gucken und wir uns über die Cyber Sicherheit Gedanken machen und wir sind ja jetzt hier auch bei TISAX.

00:10:09: und ja wie spielt denn da vielleicht auch TISAX.

00:10:14: Eine Rolle in dem ganzen Konstrukt?

00:10:16: und dann auch die Frage was verbindet dich persönlich.

00:10:20: Mit mit TISAX?

00:10:22: wie bist du denn da mit hingekommen?

00:10:24: weil du bist ja nicht nur bei Volkswagen du bist ja auch bei uns im TISAX-Committee.

00:10:27: und dann so die Frage den Bogen da so ein bisschen zu spannen wie.

00:10:31: Wie bist du denn damit in Verbindung?

00:10:34: Ja, das liegt auf der Hand.

00:10:36: TISAX ist natürlich das Mittel der Wahl, um eine einheitliche Sicherheitskette, so möchte ich mal sagen, über das Partnernetzwerk zu spannen.

00:10:46: Weil Sicherheit ist nur so gut, wie die Sicherheitsmaßnahmen an der... höchst exponierten, höchst verwundbaren Stellen bzw.

00:10:56: die Sicherheitskette, das ist immer gerne so ein Bild, was ich verwende, muss durchgängig sein, weil bekanntermaßen eine Kette am dünnsten Glied reißt.

00:11:03: Und wenn wir über Cyber-Sicherheit oder Sicherheit im Allgemeinen denken, muss natürlich das Sicherheitsniveau über diese gerade skizzierte Supply Chain und das Partner-Netzwerk möglichst gleich stark sein.

00:11:14: Und da hat man sich schon vor einiger Zeit sehr intensiv auch hier im Konzern Gedanken gemacht, zu sagen, wie prägen wir das denn eigentlich aus?

00:11:23: Ursprünglich mal gestartet über das Schutzziel Vertraulichkeit, also sehr stark aus dem Prototypen-Schutz heraus, so möchte ich mal sagen.

00:11:31: Das ist vielleicht die Keimzelle gewesen, der Prototypen-Schutz, schräger noch Hausschutz.

00:11:36: im Automobilbau die Keimzelle für das TISAX-Modell, weil ich war, bevor ich mich dem Thema Wirtschaftsschutz im Konzern widmen durfte, fast acht Jahre lang verantwortlich für den Know-How und Prototypen-Schutz im Volkswagen Konzern.

00:11:50: Und das waren so die ersten Berührungspunkte.

00:11:53: Und wenn man darüber nachdenkt, das Sicherheitsniveau, was man als Hersteller ja originär für sich, für seine neuen Produkte definiert, auch in die das Partner-Netzwerk rausbringt, Dann erklärt sich sehr schnell, dass der Ausgangspunkt, so wie ich vorhin gesagt hatte, die Keimzelle natürlich gerade im Prototypen-Schutz, im Know-How-Schutz liegt, um den vielen, vielen Partnerunternehmen, die gar nicht immer so groß sind.

00:12:16: Wir haben ja im TISAX-Bestand Unternehmen, die in der Größenordnung haben von mehreren Zehntausend Mitarbeitern, über hunderttausend von Mitarbeitern bis darauf zu zwei, drei Mann-Unternehmen, manchmal vielleicht auch sogar Selbstständige.

00:12:30: und ohne diesen Unternehmen zu nahe zu treten zu wollen.

00:12:33: Das sind natürlich auch alle sehr, sehr, sehr divers in ihren Kenntnis, was Cyber-Sicherheit, was Informationssicherheit angeht.

00:12:40: Aber dann ist das TISAX zumindest mal ein verlässliches Niveau an Cyber-Sicherheit, was über die gesamte, gesamte Wertschöpfungskette, über die gesamte Supply Chain aufgespannt wird.

00:12:51: an der Stelle.

00:12:52: Und um das nochmal zuzuspitzen, Ausgangspunkt für mich.

00:12:56: war tatsächlich das Thema Prototypen, Know-How-Schutz, wo wir auch oftmals sehr viel mit kleineren Unternehmen zu tun haben, die in der Wertschöpfung dort eine Rolle spielen, eben auch ein Stück Weg zu vermitteln, was bedeutet Informationssicherheit, Cyber-Sicherheit heute und auf welchen Niveau muss es realisiert werden?

00:13:18: Ja, genau, wir sagen ja immer Informations- und Cyber-Sicherheit.

00:13:21: Vielleicht zur Definition, Informationssicherheit ist so der Überbegriff.

00:13:24: Und deshalb ist ein Teil davon, weil es ja auch analoge Informationen gibt, die geschützt werden müssen.

00:13:29: Nur so, dass wir das einmal mindestens erwähnt haben.

00:13:34: Ich glaube, das ist ganz gut.

00:13:35: Bleiben wir bei TISAX.

00:13:38: Du bist ja auch Vorsitzender des TISAX-Committees.

00:13:42: Das heißt, es hat auch viel mit Governance zu tun.

00:13:45: Also, dass da vertragliche Rahmen auch gewährleistet wird.

00:13:51: Was macht denn das TISAX-Committee?

00:13:54: Also erstmal das TISAX-Committee ist ja quasi eine Art Gremium in der ENX Association und ist dafür zuständig, sich um TISAX zu kümmern, sag ich mal.

00:14:06: Was macht das TISAX-Committee aber genau heute?

00:14:12: Das Aufgabenspektrum ist eigentlich sehr, sehr breit gesteuert.

00:14:17: Aus Management Sicht, dass TISAX-Committee drauf sitzt.

00:14:20: Das Erste, was mir immer ganz wichtig ist, das TISAX-Committee ist nicht nur besetzt mit den Fahrzeugherstellern, mit den großen, die Branche spricht von den OEM, sondern paritätisch eben auch mit Partnerunternehmen mit Zulieferern an der Stelle.

00:14:34: Und zwar auch unterschiedlich in den jeweiligen Wertschöpfungsketten.

00:14:38: Wir haben mit TISAX-Committee genauso gut, jemanden drinsitzen von einem von einem klassischen Teilezulieferer, aber eben auch über ein Ingenieurbüro etc.

00:14:49: an der Stelle.

00:14:50: Also das ist ganz wichtig, so dass dort auch die Bedürfnisse, ich sagte ja vorhin, wir geben als OEM quasi die Cyber-Sicherheitsstandards, die Informationssicherheitsstandards in die Lieferkette weiter.

00:14:59: Aber das muss natürlich auch auf Akzeptanz auf der Seite dessen, die quasi diese Standards empfangen, nämlich das Partner-Netzwerk empfangen.

00:15:05: Deswegen ist es ganz wichtig, dass das TISAX-Committee als quasi Oberste Instanz überwachen dieses TISAX-Modells, da auch drüberwacht, paritätisch besetzt ist.

00:15:17: Ich sagte das Stichwort über das TISAX-Modell wachen.

00:15:20: Wir sprechen ja über Informationssicherheit und Cyber-Sicherheit.

00:15:23: Und gerade in diesen Zeiten in einem sehr innovativen Bereich, weil die Produkte Cyber ... Herausforderungen, Informationssicherheitserrausforderungen von gestern sind eigentlich auch kalter Kaffee von gestern.

00:15:37: Also wir müssen sehr schnell, sehr agil auch möglicherweise Standards, Controls, wie der Experte sagt an der Stelle oder Vorgaben auch anpassen können.

00:15:46: Darüber wacht das TSAC-Committee ein Stück Weg und schaut, dass wir auch tatsächlich die großen derzeit aktuellen Hype-Themen abdecken können.

00:15:55: Das gibt uns eine komfortable Situation.

00:15:57: Da wir nämlich das Modell und den Standardkatalog auch sehr agil, aber gesteuert, und das macht das Teesax-Komitee jeweils im Jahresrhythmus anpassen können, kommen also neue innovative Themen in den Bereich IT rein, die auch neue Sicherheitsanforderungen mit sich bringen, haben wir die Chance im Teesax-Modell, das jeweils Jahres aktuell auch nachflegen zu können.

00:16:19: Das unterscheidet uns ganz maßgeblich von anderen Standards.

00:16:23: Nehmen wir beispielsweise oftmals skizzierte ISO-Siebenzwanzigtausendeins, wo doch der Weiterentwicklungsstandards eines solchen Modells eher im fünf Jahresrhythmus liegt.

00:16:32: Und fünf Jahre in der Informationssicherheit, in der IT sind natürlich Quantensprünge.

00:16:38: Und damit beschäftigen wir uns im Tisas-Komitee.

00:16:42: und diskutieren auch die Bedarfe und die damit einhergehenden Herausforderung sehr intensiv.

00:16:48: Kommt aber was Zweites dazu.

00:16:50: TISAX ist ja mehr als nur ein Modell eines Prüfstandards umzusetzen, sondern ist ein Modell, was auf gegenseitigen Vertrauen derjenigen, die teilnehmen an diesen Modell, beruht.

00:17:01: Weil Prüfungen werden ja von allen am Modell Teilnehmenden quasi akzeptiert, einmal geprüft.

00:17:08: auf die Initiative von wem auch immer von einem OEM oder einem First Tier Supplier heißt, dass andere teilnehmende Unternehmen, die vielleicht auch in einer partnerschaftlichen Verbindung mit dem Unternehmen stehen, dieses Prüfergebnis auch akzeptieren.

00:17:23: Darüber muss auch gewacht werden.

00:17:24: Wir nennen das Vertrauensanker.

00:17:25: ENX ist ja am Ende derjenige, der diesen Vertrauensanker hostet.

00:17:29: Aber wie sehen die Spielregeln aus?

00:17:31: Wie geht man mit möglicherweise auch mal auftauchenden Problemen, Verstößen um?

00:17:35: All das findet im TISAX-Committee letztendlich letztendlich wieder.

00:17:40: Neben diesem Vertrauensanker kann man auch sagen, dass TISAX Committee nimmt ein Stück weg eine Qualitätssicherung des Modells vor.

00:17:47: Wir unterhalten uns sehr intensiv darüber, wie gut sind denn die beteiligten Audit Assessment Firmen, die im TISAX akkreditiert sind so möchte ich das mal sagen um die prüfungen durchzuführen.

00:17:59: funktioniert das kommt tatsächlich bei den prüfungen auch das geforderte er geforderte Qualitätsniveau raus weil am ende feststellen eines informationssicherheitsstatus ist nur so gut wie die prüfung die auch an der stelle durchführt.

00:18:15: Und da schauen wir uns im Tisas Committee regelmäßig an.

00:18:18: Funktioniert das?

00:18:19: Gibt es Nachsteuerbedarf?

00:18:21: Müssen wir vielleicht irgendwo nachsteuern?

00:18:23: Das geht soweit, dass wir uns auch die unterschiedlichen Märkte angucken und sagen, haben wir eigentlich genügend Kapazität für Prüfungen in den unterschiedlichen Märkten.

00:18:31: Ich sage das Eingangs.

00:18:33: Automobilbau ist Teamarbeit, nicht nur in Deutschland, sondern weltweit.

00:18:38: Und da müssen wir natürlich auch schauen, haben wir auch die Auditkapazitäten an allen Stellen, wo sie denn auch gebraucht werden.

00:18:44: In den unterschiedlichen Märkten von Asien, Europa, Südamerika, Nordamerika, um auch zu schauen, dass dort die Bedürfnisse an Prüfungen, die dort anstehen, auch tatsächlich bedient werden können.

00:18:58: Ja, grad.

00:18:59: in unterschiedlichen Länder natürlich auch zu gucken, dass es dann immer noch einheitlich bleibt, weil nur unterschiedliche Länder ticken unterschiedlich.

00:19:06: Das ist natürlich dann auch ganz wichtig.

00:19:11: Lass mich da nochmal ganz kurz einer ganz wichtiger Punkt.

00:19:14: Sicherheit und Umsetzung von Sicherheit hat sehr viel mit Kultur zu tun.

00:19:19: Kultur im Sinne, dass halt eine Realisierung von Sicherheit in Deutschland durchaus etwas anders funktioniert als in Spanien, Portugal oder in der tschechischen Republik oder schon gar, wenn wir auf einer anderen Kontinent gehen nach Südamerika oder Asien.

00:19:32: Und deswegen muss sich das auch in den jeweiligen Prüfungen mit den Ressourcen, die dafür notwendig sind, auch widerspiegeln.

00:19:38: Und das sind so Punkte, die wir regelmäßig auch im TISAX-Committee uns angucken und versuchen zusammen dann mit ENX zu Lösungen zu führen.

00:19:46: Das ist cool, weil das wirklich Ja, zeigt, dass ihr da sehr agil dran seid am Zahn der Zeit und genau auf die Bedürfnisse schaut.

00:19:58: Habt ihr so eine Perspektive, wie sich das ganze zukünftig entwickeln könnte?

00:20:04: Ja, die Perspektive beziehungsweise die Herausforderungen sind da sehr, sehr groß.

00:20:11: Ich sagte es vorhin schon, wir müssen regelmäßig neue Technologien berücksichtigen.

00:20:16: Neue Technologien bringen neue Verwundbarkeiten, neue Bedrohungen mit sich.

00:20:21: Das ist ein großes Thema, was wir uns angucken.

00:20:24: Zweites großes Thema ist kontinuierlich Ausbau der zur Verfügung stehenden Assessment Kapazitäten in den unterschiedlichen Märkten.

00:20:33: Und wir müssen natürlich immer auch so ein bisschen die geopolitischen Rahmenbedingungen, die die Welt heutzutage mit sich bringt, auch ein Stückweg uns anschauen.

00:20:43: Ich sage mal, wir haben ein Stückweg eine Rollout.

00:20:46: Holout-Strategie für das Thema TISAX in den unterschiedlichen Märkten, die sich aber aufgrund der veränderten geopolitischen Rahmenbedingungen natürlich, möchte ich sagen, gerade in letzter Zeit ein Stück weit geändert haben.

00:20:57: Ich möchte da jetzt nicht zu sehr in das Fingerpointings vielleicht nicht der richtige Begriff, aber in das Aufzeigen der Herausforderung reingehen, aber sicherlich USA mit Zoll-Diskussion, mit Präsident Trump ist ein Thema.

00:21:10: China mit all den Problematiken dahinter ein großes Thema, was natürlich sofort Auswirkungen auch für uns an der Stelle hat.

00:21:17: Ein drittes großes Handlungsfeld, was mir persönlich sehr stark am Herzen liegt, ist, wir sind ja nicht losgelöst mit TISAX und mit dem Fragenkatalog, mit dem ESA-Fragenkatalog, dem VDA ISA-Fragenkatalog, der dahinter liegt, nicht losgelöst von sonstigen Standards und Regulierungen.

00:21:36: Das ist das große Stichwort.

00:21:37: Der Stichwort NIS-II-Regulierung, die ja gerade im Bundesdeutsches Gesetz aller Voraussicht nach bis Ende diesen Jahres dann vom Bundestag auch umgesetzt wird.

00:21:47: Auch das müssen wir uns angucken, dass wir da kompatibel bleiben und dem erfüllen einer solchen gesetzlichen Regulierung möglicherweise mit Tiesachsen weiteren zusätzlichen Mehrwert bringen.

00:21:57: Da haben wir unlängst auch im Committee oder vom Committee mit initiiert ein Matching durchgeführt, welches das BSI auch unterstützt hat und mitgewirkt hat, wo wir sagen, genau die und die Punkte im TISAX-Modell im ISA erfüllen, jene und welche NIS-2 beziehungsweise Umsetzungsanforderung eigentlich an der Stelle.

00:22:20: Und an Regulierung

00:22:21: kurz einhaken, bitte.

00:22:23: Ja, gerne.

00:22:23: Lass mich da ganz kurz einhaken.

00:22:25: kurze Werbung in eigener Sache.

00:22:27: Da haben wir dieses Dokument, wo wir das Mapping ja gemacht haben, auch verfügbar auf unserer Webseite.

00:22:33: Das kann man tatsächlich runterladen, eNX.com im Bereich TISAX und dann im Download-Bereich.

00:22:39: Da gibt es das Mapping von TISAX zu NIS-2.

00:22:42: Gerne mal angucken, durcharbeiten.

00:22:45: Das lohnt sich.

00:22:47: Clement, sehr guter Punkt.

00:22:48: Ich möchte auch andere Branchen außerhalb der Automobilbranche oder die heute vielleicht noch außerhalb der Automobilbranche stehen, sich durchaus mal dazu zu motivieren, sich mal das TISAX-Modell anzugucken und insbesondere auch dieses Mapping anzugucken, weil es doch für jedes Unternehmen ein sehr pragmatischen Leitfaden gibt zur Umsetzung von inhaltlichen NIS-2 Regulierungspunkten an der Stelle und eine Branche, die vielleicht heute noch nicht ihren Footprint in Automotive hat.

00:23:16: Ja, es wird derzeit viel über die etwas in Anführungszeichen kränkelnde Automobilbranche in Deutschland gesprochen, aber es ist eine riesig große.

00:23:24: Und durch die Umwelt zum Automobilbau, wir haben schon über Elektromobilität gesprochen, Vernetzung, Mehrwertdienste, glaube ich, ist für viele Unternehmen, viele Branchen, die heute noch nicht unmittelbar vielleicht im Automobil, im Partner-Netzwerk, im Zuliefer-Netzwerk drin sind, lohnt sich auch mal mit TISAX zu beschäftigen.

00:23:42: Und genau wie du gesagt hast, ist ein ganz hervorragender Punkt, gerade dieses NIS-2-Mapping.

00:23:47: Kann ich nur unterstützen.

00:23:49: Ja, effektiv geht es ja um resiliente Lieferketten.

00:23:51: Ich meine, jede Branche hat Lieferketten.

00:23:54: Und die Resilienz, um auf die Resilienz noch mal ein bisschen mehr einzugehen, darüber wird ja sehr viel gesprochen, habe ich mir gedacht, jetzt suche ich doch mal raus, was denn so eigentlich die Definition von Resilienz ist.

00:24:10: Und der Duden hat da eine ganz spannende Definition, ich zitiere mal, Resilienz ist die Psychische Widerstandskraft, also die Fähigkeit, schwierige Lebenssituationen ohne dauerhafte Beeinträchtigung zu überstehen.

00:24:26: Das Wort leitet sich vom lateinischen Resilierer ab, was Zurückspringen oder Abprallen bedeutet.

00:24:31: Resilienz beschreibt demnach die Fähigkeit, Krisen zu meistern und die psychische Gesundheit aufrechtzuerhalten.

00:24:39: Psychisch?

00:24:42: Und der Resilienz habe ich so gedacht, das ist doch eher konkret, also eher so eine physische... Resilienz.

00:24:48: und dann habe ich mir gedacht, vielleicht ist ja die Psyche einer Firma, sind ja vielleicht die Daten, die IT-Informationen.

00:24:57: Wie würdest du das sehen?

00:24:59: Ja, ich sag mal, der Dun hat eine ganz, ich sag mal putzige Definition für Resilienz.

00:25:07: Kann man so definieren.

00:25:09: Derzeit wird ihr über Resilienz, Resiliente Gesellschaft, wir müssen in Deutschland Resilienter werden, eine Menge diskutiert.

00:25:17: Für den Menschen, auf den Menschen bezogen, passt diese Definition des Studens, glaube ich, ganz gut.

00:25:24: Ich möchte mal von der anderen Seite kommen und zwei Sachen so ein bisschen aufreißen und in die Diskussion einführen.

00:25:30: Das ist das eine.

00:25:31: Was ist eigentlich der Unterschied zwischen Resilienz oder Resilienzmanagement und BCM, Business Continuity Management?

00:25:39: Business Continuity Management spätestens seit two-thausend-eins, nine-eleven, ein Thema für ganz, ganz viele Unternehmen, wenn nicht für alle Unternehmen.

00:25:47: Die die sich dort einbringen müssen.

00:25:51: und jetzt gibt es was Neues.

00:25:52: jetzt müssen wir nicht nur mehr in der Wirtschaft bcm machen Business Continuity Management sondern auch resilienter werden.

00:25:57: also was ist der Unterschied dazwischen.

00:25:59: Und ich sage immer, ohne dem einzelnen BCM verantwortlichen oder BCM konzeptional zu kommen, aber im Wesentlichen geht BCM um Ausfallsicherheit.

00:26:08: Also ich muss, wenn etwas passiert, was definiert ist, ein definiertes Szenario mit BCM, ein Szenario entgegensetzen, dass ich weiter meinen Geschäftszweck, meinen Geschäftsprozess aufrechterhalte.

00:26:18: Das ist im Wesentlichen BCM.

00:26:20: Und die Antwort der Wahl ist... In den meisten Fällen, nicht in allen.

00:26:25: In den meisten Fällen man bildet Redundanz, redundante Arbeitsplätze, redundante Produktionen, Ausfallsicherheit, solche Themen.

00:26:34: Das ist das eine.

00:26:37: Da, glaube ich, ist Resilienz etwas anderes, weil Resilienz heißt auch auf das Unvorhersehbare oder auch ein Worstcase-Szenario als Hilfskonstrukt für das Unvorhersehbare weiterhin bestehen zu können.

00:26:52: und sich vielleicht mit Einschränkungen aber doch weiterhin in die Existenz zu sichern.

00:26:59: So möchte ich es mal formulieren.

00:27:00: Und das zweite ist, und das gefällt mir an der Dutendefinition nicht, wenn ich sie richtig in Erinnerung habe, ist, naja, ich begegne der Fragestellung, was tue ich für meine Resilienz mit Krisenmanagement?

00:27:12: Weil... Krisenmanagement oder Krisenmanagement geht wieder damit um.

00:27:16: Es ist etwas passiert und daraus mache ich jetzt das Beste in Anführungszeichen mit Hilfe von Krisenmanagement Verfahren, die ja hinreichend definiert sind.

00:27:25: Es gibt ja schränkeweise Literatur und Standards auch für.

00:27:29: Und beim Thema Resilienz geht es mir eigentlich mehr davon nochmal, dass Unvorhersehbare und alle seine Verfahren, Prozesse, Arbeitsweisen, Name it, so aufzustellen, dass sie eben auch mit dem unwegbaren oder den worst case Szenarien umgehen können.

00:27:43: Und das zeigt sich ja gerade in einer zunehmend von Unsicherheit, von Veränderungen, von Unvorhersehbarkeit, stichwort weiterhin geopolitische Unwegbarkeiten geprägte Welt, wird das wichtiger.

00:27:56: Ich habe noch nicht für alle Fragen, die dahinter stehen, die Antwort.

00:27:59: Was ist zu tun an der Stelle?

00:28:01: Darum müssen wir in der nächsten Zeit ringen.

00:28:02: Wir haben vorhin kurz über das Tiesax Komite gesprochen.

00:28:06: Da diskutieren wir auch sehr viel über dieses Thema oder haben angefangen darüber zu diskutieren, was sind denn die geeigneten Resilienzmaßnahmen bzw.

00:28:14: Resilienzstrategien?

00:28:16: Möchte ich eigentlich mehr sagen, weil es immer ob es ganz konkrete Maßnahmen sein werden, weiß ich gar nicht, aber was ist die Strategie?

00:28:22: Wie bauen wir Resilienz im Unternehmen auf?

00:28:25: Das wird, glaube ich, in den nächsten Monaten, möglicherweise in den nächsten ein, zwei Jahren eine ganz spannende Frage sein.

00:28:32: Und wir werden aus meiner Sicht feststellen, dass es auch für jeden Einzelnen von uns als Menschen in den jeweiligen Lebensbereich eingreifen wird, weil Resilienz einfach vielleicht auch was damit zu tun hat.

00:28:43: Naja, mit dem einen oder anderen, was passieren kann, gehe ich etwas... Ja, ich möchte nicht sagen gelassener um, aber vielleicht doch ein Stück Weg.

00:28:54: Ja, vielleicht doch gelassener um, weil ich weiß, ich werde diese Situation, die jetzt gerade da ist, sei es ein Stromausfall, sei es das mal wieder.

00:29:02: Ich wollte

00:29:02: gerade sagen, Berlin hat es vorgemacht.

00:29:05: Genau, oder ist viel Toilettpapier im Supermarkt, weil eine Pandemie ist, dann reg ich mich halt nicht gleich auf, sondern versuche damit geeignet umzugehen.

00:29:15: Man hilft sich gegenseitig, hat sehr viel mit Hilfestellung zu tun, Resilienz für mich.

00:29:19: Da sind wir wieder beim Thema Partnernetzwerk, ja wie hilft der eine dem anderen.

00:29:22: Also das wird glaube ich noch eine ganz spannende Diskussion allgemein zu sein, in der Gesellschaft wie auch in der Wirtschaft.

00:29:32: Ja, gerade wenn ich jetzt auf die Wirtschaft gucke, die geopolitische Lage, wir haben es ja vorhin schon davon gehabt.

00:29:39: Was bedeutet das denn für die Entwicklung, für den Informationsschutz in der Lieferkette?

00:29:44: Also Wirtschaftsschutz, vielleicht da haben wir auch schon drüber gesprochen und haben das so grob definiert, aber vielleicht können wir da nochmal drauf.

00:29:53: eingehen.

00:29:53: Es hast du ja schon gesagt, wir können hier, jeder muss privat irgendwie gucken, dass man sich davor sorgt und Hilfestellungen leisten.

00:30:02: Wie sieht das denn dann so auf der wirtschaftlichen Ebene, auf der Unternehmensebene aus?

00:30:10: Wir haben gerade dieses pink Elephant, wie man oftmals sagt im Raum, geopolitische Unsicherheit, geopolitische Lage, insbesondere der russische völkerrechtswidere Angriff gegen die Ukraine.

00:30:21: Es stellt uns natürlich auch in der Wirtschaft vor immense Herausforderungen.

00:30:25: Der ein oder andere Politiker, Verteidigungsminister, Kanzler, aber auch hochrangige Militär der Bundeswehr, der Generalinspektör sprechen davon, wir befinden uns nicht im Krieg.

00:30:34: Das ist so, wir befinden uns nicht im Krieg, aber auch schon länger nicht mehr im Frieden.

00:30:39: Das ist dieses Stichwort hybride Bedrohungen.

00:30:42: Diese hybriden Bedrohungen sind jetzt nicht irgendwie grundgesetzlich oder allgemein gesetzlich geregelt.

00:30:47: Der Begriff kommt im deutschen Rechtswerk derzeit nicht vor.

00:30:50: Sondern kennzeichnet eben genau diese Zwischensituation, dass wir auch von außen angegriffen werden.

00:30:56: Und ich kann sagen, hybride Bedrohungen, es vergeht ja kein Tag, wo möglicherweise in den Medien, in den Nachrichten nicht darüber diskutiert wird, seien es Drohnen über Flüge, über Bundesverliegenschaften, Industrieunternehmen oder aber auch einfach Einflüge bei... freundeten Staaten, vergeht ja kein Tag, wo wir so etwas nicht verzeichnen.

00:31:16: In dem Bereich der Informationssicherheit und Cybersicherheit muss man einfach davon ausgehen, dass viele, viele Angriffe, die auch auf Unternehmen abzielen, zwar im Hintergrund immer noch irgendwo kommerzielle Absichten haben, Stichwort Renzemwehr, also beispielsweise das Verschlüssel der Infrastruktur und das Anschließen der Erpressen, aber eben auch einen geopolitischen Hintergrund haben.

00:31:39: Ja, ich möchte jetzt hier an dieser Stelle in dem Podcast nicht den einen oder anderen Staat unbedingt da beschuldigen.

00:31:44: Das ist immer die Frage der Attributierung.

00:31:47: Kann man so einem Cyberangriff auch zuweisen.

00:31:50: Aber die organisierte Kriminalität und bei Sorenz im Angriffen sprechen wir oftmals über organisierte Kriminalität und in einem oder anderen Land die Politik hängen doch sehr eng zusammen.

00:32:01: Und das muss man einfach ein Stück Weg berücksichtigen.

00:32:04: Und da sind wir wieder bei dem Thema Resilienz, eine Gesellschaft ist umso resilienter in meiner Begriffswelt, in dem Staat, Gesellschaft, also wir alle, wir Bürger und die Wirtschaft an einem Strang ziehen und zusammenhalten und sich auch kooperativ verhalten und zusammenwirken in der Verteidigung unseres Wertesystems unserer freier Dicht demokratischen liberalen Demokratie.

00:32:32: Das ist jetzt ein sehr mächtiges Wortkonstrukt, was ich verwendet habe.

00:32:36: Ich wiederhole es auch noch mal gerne freiheitlich demokratische Grundordnung und unsere liberale Demokratie.

00:32:41: Das ist halt das Gesellschaftsmodell, auf das wir uns als Gesellschaft in den letzten Jetzt muss ich schnell im Kopf rechnen, siebzig Jahren Roundabout nach Ende des Zweiten Weltkriegs geeinigt haben und mit dem wir ja ganz gut gefahren sind, was soziale Sicherheit gebracht hat oder weitestgehend soziale Sicherheit gebracht hat, Freiheitsrechte gebracht hat für uns und unseren Lebensstil und unsere Lebensgrundlage ein Stückweg auch sichern.

00:33:07: Und das gilt es zu verteidigen.

00:33:09: Und dafür braucht es halt das gerade skizzierte Zusammenwirken, Staat, Gesellschaft und Wirtschaft.

00:33:19: haben da Verantwortung.

00:33:20: Also jeder muss wirklich seinen Beitrag dazu leisten und sich selber Gedanken machen, wenn es um die eigene Resilienz geht.

00:33:29: Absolut.

00:33:29: Über das Thema Wirtschaft haben wir vorhin schon gesprochen.

00:33:32: und damit es nicht ganz so schwammig bleibt für auch jeden einzelnen, für jeden einzelnen Bürger.

00:33:38: Resilienz fängt dann auch damit an sich mal drüber Gedanken zu machen.

00:33:41: Wenn mal die Geschäfte geschlossen sein sollten und ich will jetzt kein Szenario an die Wand malen, ja wie lange habe ich denn eigentlich Wasser, Nahrungsmittel, vielleicht auch bei mir im Keller stehen.

00:33:52: Jetzt hat nicht jeder unbedingt den riesigen Keller, dass er so da keine Ahnung für zehn, zwanzig, dreißig Tage irgendwelche Konserven einlagern kann.

00:34:00: Aber ich würde schon empfehlen, sich mal mit so Handreichungen, die es auch vom BBK-Bundesamt für Krisenunterstützung und Hilfe aus Bonn an der Stelle gibt.

00:34:12: Kann man im Internet nachgucken, Stichwort BBK, Notfallliste, glaube ich, an der Stelle.

00:34:18: Vielleicht können wir das auch in einer, weiß nicht, ob es für den Podcast hier auch so eine Art Show Notes gibt, den Link auch noch mal reinpacken.

00:34:23: Das könnte man ja überlegen, wo es gute Handreichungen gibt.

00:34:26: Was braucht man denn eigentlich so an der Stelle?

00:34:30: fängt halt an von ein paar Lebensmitteln, vielleicht ein, zwei Kerzen zu haben, sich mal drüber Gedanken zu machen.

00:34:35: Wie lad ich denn eigentlich mein Handy noch, wenn das Stromnetz nicht mehr funktioniert, nur weil bei mir das Stromnetz nicht funktioniert, heißt das nicht zwangsläufig, dass das Handynetz nicht mehr funktioniert.

00:34:43: Also ganz, ganz, ja, ich möchte fast sagen banale.

00:34:47: Maßnahme an der Stelle.

00:34:48: Und das gleiche gilt für die Unternehmen an der Stelle.

00:34:52: Sich mal drüber Gedanken zu machen, wie abhängig bin ich von meiner IT-Infrastruktur.

00:34:55: Das wird spätestens in einer TISAX-Prüfung.

00:34:57: Da sind wir wieder beim eigentlichen Thema auch mit abgeprüft.

00:35:01: Wie ausfallsicher, wie resilient bin ich denn an der Stelle auch aufgestellt?

00:35:07: Ja, wenn was schiefläuft, dann merkt man, dass es nicht geklappt hat und dann kostet es richtig viel Geld.

00:35:16: Aber Sicherheit kostet ja eigentlich immer.

00:35:19: Also wenn man sich darum kümmern möchte, man braucht Zeit und man muss auch ein bisschen Geld investieren.

00:35:24: Und jetzt ist für mich die Frage, wie wird das ganz konkret?

00:35:29: Wie bekommt man das in die Lieferkette?

00:35:33: Machen wir, jetzt war also als Gedankenbeispiel, machen wir Informationsschutz zur Pflicht oder verpflichtend oder zu einer Selbstverpflichtung?

00:35:42: Und verpflichten wir dann auf eine gute Informationssicherheit oder verpflichten wir auf eine resiliente Lieferkette.

00:35:49: Es klingt schon sehr abstrakt und das ist schon gar nicht so richtig greifbar.

00:35:53: Wie will man das machen?

00:35:54: Kann der Gesetzgeber da vielleicht helfen?

00:35:57: Stichwort Regulierung gibt jetzt ja, wenn wir zwei haben wir schon gesprochen.

00:36:02: und dann ist die Frage, wenn es jetzt eine EU Regulierung ist, wie geht das in die ganze Welt?

00:36:06: Wie groß ist der Wirtschaftsbereich in der globalen Wirtschaft?

00:36:09: Ist das dann der richtige Weg.

00:36:12: Genau, das zwei haben wir ja schon angesprochen.

00:36:14: Das kommt ja eh schon.

00:36:16: Das sind so die Fragen.

00:36:17: Wie wird das konkret?

00:36:21: Naja, ich sag mal, du hast eingeleitet, Sicherheit kostet.

00:36:25: Da würde ich sagen mal ein ganz klares Nein, tut es nicht.

00:36:29: Sicherheit, sichert, deswegen heißt Sicherheit, mein Kapital.

00:36:34: Im Unternehmen.

00:36:35: Wir gucken ja von der Finanzzeit jetzt rein.

00:36:37: Keine Sicherheit kostet Geld.

00:36:39: Keine Sicherheit bedeutet am Ende vielleicht keine Existenzsicherung.

00:36:45: Da merkt man schon an diesen zwei Sätzen.

00:36:48: Sicherheit ist notwendig für die Existenz eines Unternehmens.

00:36:51: Die Frage ist, wie intelligent tue ich es mit welchem Aufwand.

00:36:57: Es ist natürlich ganz klar, dass es immer auch ein Stück Weg eine Balance sein muss und auch eine Angemessenheit.

00:37:05: Das zweite ist, wenn das gilt, was ich gerade sagte, und das ist meine tiefe Überzeugung, dann ist eine gesetzliche Regulierung immer nur das Schaffen von einem einheitlichen Standard.

00:37:18: In der Wirtschaft gilt man gilt, man ist ein ordentlicher Kaufmann, so sage ich es mal.

00:37:23: Ja, das dieses Wort hat jeder schon mal irgendwo gehört, ob Liegenheitspflichten des ordentlichen Kaufmann ist.

00:37:30: Und dazu gehört eben auch eine gewisse sowohl Risikoforsorge, als auch mein Unternehmen resilient aufzustellen.

00:37:39: Und damit gehören heute bei der Nutzung von Informationstechnik eben auch Standards von IT-Sicherheit dazu.

00:37:44: Und das sagt eigentlich alles.

00:37:46: Und die Regulierung, meine Sichtweise, die heute so von staatlicher Seite kommt, sei es in Deutschland auf EU-Ebene oder möglicherweise auch weltweit, ist dann eigentlich nur noch mal die gesetzliche Absicherung.

00:37:59: Und am Ende kommt noch was Zweitens Wichtiges dazu.

00:38:02: Sicherheit in den zusammenwirken Staat, Wirtschaft ist immer eine, ich nenne es immer Gefahrengemeinschaft.

00:38:09: Sowohl der Staat, der in Interesse hat, dass eine Wirtschaft funktioniert.

00:38:12: als Lebensgrundlage für die Bevölkerung, muss natürlich ein Stück Weg die Wirtschaft regulieren, um diesen staatlichen Auftrag des Wohls und für die Sicherheit der Bevölkerung zu garantieren und gerade zu stehen.

00:38:29: Und ich bin auf vielen Kongressen und kritisiere immer so ein bisschen, dass der Staat sagt, ja, wir brauchen Meldungen von Cyber-Sicherheitsvorfällen und so weiter, damit wir ein Lagebild erstellen können.

00:38:40: Das kritisiere ich oftmals, möchte gar nicht zu tief darauf eingehen, weil mir dieses Lagebild in der Transparenz von staatlicher Seite oftmals fehlt.

00:38:49: Aber es ist natürlich ein staatlicher Grundauftrag über die Bedrohungssituation Bescheid zu wissen.

00:38:56: Und dazu braucht er die Meldungen aus der Wirtschaft.

00:38:59: Das akzeptiere ich und kann ich auch nachvollziehen.

00:39:02: Weil eben der staatliche Auftrag ist, als Grundauftrag seine Bevölkerung zu schützen.

00:39:09: Wirtschaft ist elementarer Bestandteil da drin und deswegen braucht es an der einen oder anderen Stelle schon die staatliche Regulierung.

00:39:16: Aber, und das ist meine feste Überzeugung, die staatliche Regulierung wird möglicherweise immer den echten Bedrohungen, die gerade so kommen, über hybride Bedrohungen haben wir schon gesprochen, immer ein Stück hinterher hinken.

00:39:28: Es ist also so ein Mindestsicherheitsniveau an der Stelle.

00:39:32: Und deswegen bitte nicht wundern an alle Podcastzuhörer, dass wir möglicherweise im TISAX oder so immer so ein kleines bisschen über der eigentlichen gesetzlichen Regulierung in unseren Anforderungen stehen.

00:39:42: Ich sagte das vorhin schon, ja, gerade im TISAX-Committee haben wir ein Anpassungszyklus in der Prüfgrundlage von einem Jahr, darauf können wir uns beziehen.

00:39:53: Das ist natürlich auf staatlicher Seite bei den Gesetzen nicht notwendig, nicht möglich.

00:39:57: Und das rundet das Thema so ein bisschen ab.

00:40:00: Das, wenn wir heute sagen, wenn heute jemand eine TISAX-Prüfung bestanden hat oder sein Assessment bestanden hat in den entsprechenden Bereichen, die da zur Prüfung stehen, dann hat er die gesetzliche Regulierung in den wesentlichen Punkten zumindest mal inhaltlich, er muss natürlich weiter sein, beispielsweise Sicherheitsvorfälle und so weiter melden, aber auch abgedeckt.

00:40:21: Darauf achten wir im TISAX-Committee.

00:40:25: Jetzt weiß ich gar nicht, ob ich so richtig deine Frage beantwortet habe mit den Ausführungen.

00:40:30: Ja, ich glaube schon, dass wir halt sagen, okay, Regulierung hilft, aber es reicht ja nicht.

00:40:35: Wir sind die mit TISAX quasi besser oder machen mehr, weil sich alles auch weiterentwickelt.

00:40:42: Und ich meine, so eine Zertifizierung hält ja auch drei Jahre.

00:40:45: Da möchte man nicht sofort, wenn man geprüft ist, in die nächste Falle, sage ich mal, tappen.

00:40:50: Also das macht ja dann schon Sinn.

00:40:53: Ja, gut zusammengefasst, genau.

00:40:55: Wir haben ja jetzt über TISAX gesprochen und festgestellt, dass es wichtig ist, auch in dem ganzen Kontext der Regulierung und der Resilienz für Unternehmen.

00:41:10: Welche Rolle kann TISAX da so spielen?

00:41:15: Naja, TISAX ist zumindest mal im europäischen Automobilbereich der Standard für die Supply Chain, für das Partner-Netzwerk im Bereich Informationssicherheit.

00:41:25: Und ich habe vorhin ausgeführt, und das ist mir noch mal wichtig für alle Zuhörer des Podcasts, wo er vielleicht auch und hoffentlich ein Teil von Nicht-Automotiv-Zuhörern dabei sind.

00:41:35: Ich sagte, es eingangs, wir sind gestartet mit dem Bereich vor mehr als, jetzt muss ich rechnen, Ja, mittlerweile mehr als zehn Jahren mit dem Bereich Know-How und Prototypen-Schutz, die Informationssicherheit, wo das natürlich eine besondere Herausforderung hat, auch im Kampf gegen Wirtschaftsspionage, die entsprechenden Standards abzubilden, sind mittlerweile aber auch in dem Bereich der regulären Produktion, also eher das Schutzziel, Aufrechterhaltung der Produktion und der Lieferkette angekommen.

00:42:06: Und und widmen uns zunehmend mehr auch diesen Bereich, dass also unser unser Partnernetzwerk unsere Lieferkette auch ein Stückweg resilient wird.

00:42:15: an der Stelle, weil Unternehmen verdient nur dann Geld, wenn es am Ende auch produzieren kann und dazu sind halt das Partnernetzwerk und die Lieferkette extrem extrem wichtig.

00:42:25: Das ist glaube ich glaube ich ganz wichtig.

00:42:28: Ich sagte auch.

00:42:29: Ganz besonders wertvoll wird TISAX auch, je mehr sich möglicherweise auch mal andere Branchen sich solch ein Standard angucken und vielleicht etwas Ähnliches für sich auch adaptieren, weil auch es gibt weitere Industiebranchen.

00:42:42: Ich kenne jetzt nicht alle, habe viele Jahre lang in einem Nichtproduktbereich gearbeitet, bei einem Energiefersorger, Strom, Gas, in Teilen auch Wasser.

00:42:52: Also eher nicht retail anfassbare Produkte.

00:42:58: Da sieht das dann ein bisschen nochmal anders aus, aber resiliente Lieferketten sollten eigentlich für alle Bereiche ganz, ganz wichtig sein.

00:43:06: an der Stelle.

00:43:07: Und es ist unsere Absicht nach wie vor die erkämpfte Position, die TISAX auch im Markt der Standards hat, als so ein Standard definiert hat für Informationssicherheit.

00:43:19: und mit Cyberaspekten, aber auch physischen Aspekten, dann muss man diese Position und diesen Vorsprung, ich sagte jetzt vorhin schon, den man vielleicht gegenüber einer Iso-Siebenzwanzigtausend hat, auch verteidigen.

00:43:29: Da sind wir sehr stark weiterhin unterwegs, diese Position zu verteidigen.

00:43:35: Ihr habt bei ENX die Zahlen, die müssen wir vielleicht heute der Hörerschaft gar nicht alle um die Ohren hauen.

00:43:39: Ja, mit den TISAX-Zertifikaten weit, weit, zumindest in Europa, aber auch im weltweiten Kontext vor den ISO-Certifikaten, allein im Automotiv, aber auch darüber hinaus.

00:43:51: Was ich damit sagen will, wir haben viel mehr geprüfte TISAX-Unternehmen als Unternehmen, die über ISO-Certifikate verfügen.

00:43:58: Und damit will ich kein Wettrennen eröffnen.

00:44:00: Das ist einfach nur ein Fakt, den ich mal anführe.

00:44:02: Aber diese Position muss man verteidigen.

00:44:04: Und auch ein Stück Weg, möglicherweise kontinuierlich, kontinuierlich ausbauen.

00:44:09: Und das ist mir auch immer ganz wichtig, tue Gutes und rede drüber.

00:44:12: Und deswegen haben wir ja heute beispielsweise den Auftakt dieser hoffentlich dann Podcast-Reihe.

00:44:17: Genau.

00:44:18: Wir haben eine ganze Branche mit TISAX quasi schon transformiert.

00:44:24: Das ist, wie du sagst, schon in den letzten Jahren schon einiges an Arbeit gewesen.

00:44:31: Wenn ich jetzt in die Zukunft mal so gucke und so einen kleinen Ausblick mal mir vorstelle, was ist denn so auf der Longlist der TISAX-Weite-Entwicklung?

00:44:40: ISO-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube-Youtube.

00:44:56: Ja, ganz wichtiger Punkt ist mir.

00:44:57: Ich glaube, es ist die Verantwortung für das Thema Sicherheit, für das Thema Informationssicherheit, ist auf der Top-Management-Ebene schon irgendwo angekommen, aber mir noch nicht ausreichend.

00:45:08: Ich würde mir wünschen und deswegen steht das auch auf der Top-Liste drauf und in der NIS-2-Umsetzung ist es ja in Teilen auch schon angelegt, dass zukünftig die Geschäftsführung sich verpflichtend, auch wirklich inhaltlich über seinen fachlich Verantwortlichen über den Stand der Sicherheit und der Informationssicherheit berichten lässt, nicht nur im Sinne von Berichten und zur Kenntnis nehmen, sondern das tatsächlich auch Challenge, das ist Punkt eins.

00:45:34: Also noch höher die Verantwortung für das Thema Sicherheit auf Top-Unternehmsebene ankommen zu lassen.

00:45:41: Verantwortlich für die Sicherheit der neuen Unternehmen ist der CEO, der Geschäftshörer, der Eigentümer, um mal dieses aufzuspannen.

00:45:49: Das Zweite ist, wir haben zwar heute im TISAX schon einen Reifegrad der Sicherheit angelegt, nutzen dieses Instrument aber noch nicht genügend.

00:45:58: Die Experten, die sich mit TISAX schon damit beschäftigt haben, wissen, worüber ich spreche und auf der Longlist steht, noch mal intensiver das Reifegrad für Sicherheit reinzubringen, so dass der in der Partner-Netzwerk vom Auftraggebenden zum Auftragsempfangenden auch tatsächlich sagen können und in dem Bereich, das ist für uns so wichtig, brauchen wir im Bereich, ich sag mal, zum Beispiel Datenübertragung, einen höheren Reifegrad vielleicht als bei der lokalen Speicherung im Unternehmen vor Ort von Daten, um mal ein Beispiel zu konstruieren an der Stelle.

00:46:30: Also höhere Verankerung von Reifegradmodellen.

00:46:35: Ein weiterer Punkt ist tatsächlich nochmal über das Thema Qualitätssicherung nachzudenken.

00:46:45: Wie verbessern wir auch nochmal und vereinheitlichen?

00:46:49: Die Vergleichbarkeit von Prüfergebnissen, ja, weil Prüfungen werden ja von externen Audit-Kam-Firmen, Unternehmen durchgeführt, die bei ELX registriert sind.

00:47:00: Und wie wird ein Prüfergebnis noch vergleichbarer und damit auch qualitativ letztendlich nochmal auf eine höhere Stufe gelegt?

00:47:09: Und abschließend das Thema, was auf der Longlist steht, ist sich weiterhin beschäftigen mit der Herausforderung Schritthalten der technologischen Veränderungen.

00:47:18: Stichwort KI, ein Thema, wo wir sicherlich im TISAX-Committee für den Rest des Jahres und auch das nächste Jahr noch mal sprechen konnten und sprechen nicht konnten, sprechen müssen.

00:47:30: Das sind so die Themen, die mir da so ganz spontan reinkommen.

00:47:34: Vielleicht nochmal abschließend der Punkt auch nochmal ganz interessant.

00:47:37: Wir haben uns die letzten Jahre sehr intensiv mit Verbesserung des TISAX-Verfahrens, des Fragenkatalogs gesprochen, haben mit vielen Experten aus Unternehmen das Modell erarbeitet.

00:47:48: Die Frage, die sich für mich immer noch stellt, gibt es blinde Flecken?

00:47:51: Gibt es auch blinde Flecken in Richtung Forschung hin?

00:47:54: Also wie betreibt man eigentlich heute eine State-of-the-Art-Informationssicherheit?

00:47:59: Und da wollen wir uns nochmal Verstärkung, ein Stück Weg holen, auch ein Stück Weg einen Abgleich nochmal Impuls holen aus der Wissenschaft.

00:48:06: Da wird sicherlich nochmal in den nächsten möglicherweise Wochen, Jahresende nochmal die ein oder andere interessante Entwicklung geben oder das ich jetzt schon zu viel verrate.

00:48:24: Ich möchte mal so ein bisschen zusammenfassen.

00:48:28: Die Automobilbranche, würde ich sagen, geht mit TISAXgute Schritte vorwärts, gerade in Sachen Informationssicherheit, aber auch in der Resilienz der Lieferkette.

00:48:37: Was das betrifft, wir sind da führend, machen eine ganze Branche sicherer.

00:48:43: Die Frage sind wir vorbereitet, sind wir vorbereitet auf was?

00:48:48: Ja, ich glaube schon, dass wir uns vorbereiten und auch in gewisser Weise vorbereitet sind.

00:48:54: Siehe ist zwei Dokument.

00:48:56: nochmal der Hinweis zum Download und.

00:48:59: Das ist eine coole Sache.

00:49:01: ich habe auch mitgenommen, dass es.

00:49:04: Die Eigenverantwortung ein wichtiger Punkt ist bei Unternehmen, dass der Chef selber wissen muss.

00:49:11: Was Informationssicherheit alles umfasst und dass er sich kümmern muss oder sie.

00:49:19: und ja das sind das sind wichtige Punkte und dass wir uns alle eigentlich.

00:49:23: an die eigene Nase fassen müssen und uns einfach den unangenehmen Fragen stellen müssen, die da so eventuell kommen könnten.

00:49:32: Hast du noch was zu ergänzen?

00:49:33: Habe ich was?

00:49:34: Vergessen.

00:49:35: Hast du eigentlich ganz gut zusammengefasst?

00:49:37: Ich würde mal alle motivieren, das gar nicht so als unangenehme Fragen zu sehen, sondern es ist so, wir leben in einer Welt, wie ich es vorhin sagte, von zunehmender Unsicherheit, zunehmenden geopolitischen und damit sicherheitstechnischen Verwerfungen.

00:49:54: Und diesen Fragen muss man sich stellen und dazu gehört halt auch ein... adäquates Sicherheitsniveau und adäquates Informationssicherheitsniveau.

00:50:03: Informationen sind das Öl des ein, zwanzigsten und sicherlich darüber hinausgehenden Jahrhunderts.

00:50:08: Und damit sollte man sorgsam umgehen.

00:50:10: Und ich glaube, da kann und hat TISAX bewiesen, dass es eine sehr, sehr gute Methodik ist und am Ende, dass es meine feste Überzeugung bringt.

00:50:23: Ein entsprechendes Sicherheitsniveau mehr an Kapital gewinnen, als es am Anfang an Kapitalinvestment braucht an der Stelle und somit trägt Sicherheit und auch TISAX unmittelbar zum Unternehmenserfolg.

00:50:37: Hört sich jetzt ein bisschen wie ein Werbespruch an, ist es vielleicht auch, ist aber meine feste Überzeugung.

00:50:41: Das ist

00:50:41: ja auch ein TISAX-Podcast, ne?

00:50:44: So ist das.

00:50:46: Ein kleines bisschen Werbung darf ja sein.

00:50:48: Ja, ich möchte mich an dieser Stelle schon mal bedanken.

00:50:50: Wir haben über ganz viele Themen heute sprechen können.

00:50:53: Ich glaube, den Zeitrahmen haben wir auch so weit eingehalten, wie wir uns das vorgestellt haben.

00:50:57: Wenn du dir was für die Zukunft abschließend jetzt noch wünschen dürftest, was wäre das?

00:51:05: Naja, ich habe es ja vorhin schon gesagt, nochmal eine Schippe drauflegen, dass die Verantwortung für Sicherheit in der Unternehmensführung ankommt.

00:51:14: Feste Überzeugung ist Sicherheit, nicht nur Informationssicherheit, sondern Sicherheit allgemein physische.

00:51:21: Also ich spreche immer vom physischen Raum, wie im Cyberraum ist heute elementarer Bestandteil, ist ein Kernprozess eines jeglichen Unternehmens und Sicherheit den Bestand des Unternehmens.

00:51:30: Also erster Wunsch, noch mehr, dass sich die Unternehmensführungen mit dem Thema auseinandersetzen und ihre jeweils Sicherheitsverantwortlichen Leute auch noch mal ins Gebet nehmen und sich kritisch berichten lassen.

00:51:41: Fragen stellen, Hinterfragen.

00:51:44: vielleicht auch noch mal Aspekte reinbringen an der Stelle.

00:51:46: Punkt eins.

00:51:48: Punkt zwei.

00:51:51: Allgemein zu diskutieren über das Thema, was bedeutet eigentlich Resilienz in Unternehmen und wie sieht zukünftig ein Resilienzmanagement in den Unternehmen aus?

00:52:00: Ich habe das vorhin so ein bisschen angerissen, abgleich zu BCM etc.

00:52:04: Da interessiert mich vielleicht auch mal das eine oder andere Feedback aus der Zuhörerschaft, wie das so wahrgenommen wird, wird ja sicherlich eine E-Mail geben, wo man da vielleicht auch mal sein Feedback zu hinbringen kann.

00:52:15: Und das Abschließende ist, und das ist mir ganz wichtig, diesen Klebstoff auszufüllen zwischen Staat, Gesellschaft und Wirtschaft.

00:52:23: Wir werden unsere Art und Weise, wie wir leben wollen, wie wir uns als Gesellschaft entschieden haben, nur dann unter den Herausforderungen überleben, wenn wir das verteidigen.

00:52:33: Und dazu kann jeder einen Beitrag leisten.

00:52:37: indem er sich engagiert in der Gesellschaft ehrenamtlich oder so wie ich es tue als Reserveroffizier der Bundeswehr beispielsweise, aber auch anders in der Freiwilligen Feuerwehr, im THW, im Tierschutz, im Umweltschutz.

00:52:51: Das ist aus meiner Sicht mir dann eigentlich fast egal, aber ich glaube, dieses gesellschaftliche Engagement ist ganz, ganz wichtig.

00:52:59: Dazu können Unternehmen auch einen Beitrag leisten, indem sie ihren Mitarbeitern die Möglichkeit geben oder auch mal Möglichkeiten zum Einbringen in der Gesellschaft auch aufzeigen.

00:53:09: Da tun sich natürlich größere Unternehmen, weil sie einfach einen größeren Personalpool haben, oftmals leichter, aber auch kleine oder auch kleinste Unternehmen können da ihr Beitrag leisten.

00:53:18: Das ist eigentlich meine Wunschliste.

00:53:20: Wunderbar.

00:53:21: Vielen Dank nochmal Andreas.

00:53:23: Mir bleibt jetzt noch zu sagen folgt uns auf LinkedIn und auf YouTube.

00:53:28: Da gibt es Content zu TISAX und ihr könnt unsere Aktivitäten verfolgen.

00:53:33: Ihr findet uns unter ENX Association.

00:53:36: Ja, klemm jetzt.

00:53:37: ganz lieben Dank.

00:53:37: Mir hat es viel Spaß gemacht und ich bin dann mal gespannt auf die auch weiteren Folgen, die dann kommen werden, wo wir sicherlich in dem von mit anderen Interview-Gästen, die du dann zu Gast haben wirst, dann auch noch mal etwas tiefer in das Modell einsteigen.

00:53:51: Vor euch mich schon heute drauf.

00:53:52: Wir freuen uns auch und ich sage auf Wiedersehen und bis dahin.