Skip to content
Trausto
en de
Demo anfragen

Risikoanalysen für OT und IACS · IEC 62443 · aus der Schweiz

In der Schweiz entwickelt, gebaut und betrieben von der RiskZone GmbH

Schützen, was zählt.

Trausto ist die Software, in der Sie Ihre Risikobeurteilung nach IEC 62443 erstellen, aktuell halten und im Audit vorlegen.

OT- und IACS-Risikoentscheidungen dokumentieren, begründen und verteidigen — auf einer in der Schweiz gebauten Plattform, auf der sensible Projektdaten Ihr Team nicht verlassen. Betrieben als SaaS aus der Schweiz — Ihre Assessment-Inhalte werden verschlüsselt, bevor sie überhaupt bei uns ankommen.

Demo anfragen So sieht das Arbeiten damit aus

Für Betriebe, in denen eine Person die OT-Risikoanalyse verantwortet — und die Nachweise heute aus Excel-Tabellen und Word-Vorlagen zusammensetzt.

01
FR1–FR7 Nachweis-Mapping
02
Verschlüsselt, bevor es uns erreicht
03
Schweizer Software, eine Rechtsordnung
04
IEC 62443 · ISO/IEC 27005 · EN 50701

Ablauf

Wie eine Beurteilung entsteht

Drei Schritte auf einer Datenbasis. Was Sie einmal erfassen, trägt bis in den Bericht.

01

Anlage erfassen

Assets, Zonen und Conduits anlegen — oder die Listen importieren, die Sie ohnehin führen. Kritikalität, Safety-Impact und Exposition sind Felder, keine Notizen am Rand.

02

Risiken bewerten

Bedrohungsszenarien je Zone und Asset-Klasse, bewertet nach der Methodik, die Ihr Projekt trägt. Jede Einstufung behält, worauf sie sich stützt.

03

Nachweis erzeugen

Ein Bericht als PDF, DOCX oder HTML, mit der angewandten Methodik und ihrer Version im Kopf. Die Daten dahinter als JSON, CSV oder XML — exportiert im Browser, gegen Ihre eigenen Schlüssel.

Isolierte Zonenarchitektur · Vertrauensgrenzen

Eine Sitzung aus der IT erreicht die Anlage nicht. Sie endet an der industriellen DMZ; was darunter weiterläuft, ist eine zweite, dort neu aufgebaute Sitzung.

  1. L5

    Ebene 5 — Unternehmen

    ERP, Geschäftssysteme, Internet-Übergang

    Terminiert an der Standort-Firewall

  2. L4

    Ebene 4 — Standort-Business

    Standort-IT, Planung, Reporting

    Die Sitzung endet auf dem Jump-Host

  3. DMZ

    Vertrauensgrenze — Industrielle DMZ

    Patch-Server, Jump-Hosts, AV-Repositories

    Eine neue Sitzung, aus der DMZ heraus aufgebaut

  4. L3

    Ebene 3 — Standortbetrieb

    MES, Historian, Engineering-Workstations

    Terminiert an der Betriebsgrenze

  5. L2

    Ebene 2 — Bereichsüberwachung

    HMI, SCADA, Alarmierung

    Segmentiert, nicht terminiert

  6. L1

    Ebene 1 — Basissteuerung

    SPS, DCS-Controller, RTUs

    Feldverdrahtung — Kupfer, keine Kontrolle

  7. L0

    Ebene 0 — Prozess

    Sensoren, Aktoren, Instrumentierung

Referenzarchitektur nach IEC 62443-3-2 und dem Purdue-Modell (ISA-95/IEC 62264 kennt die Ebenen 0–4; die Unternehmensebene stammt aus PERA). Ihre Anlage weicht davon ab — genau diese Abweichung zu erfassen und zu begründen ist die Arbeit, für die es Trausto gibt.

Referenzarchitektur · Zonen und Conduits

Nachvollziehbar

Die Rechnung liegt offen

Eine Risikobewertung, die man im Audit nicht erklären kann, ist keine. Deshalb wird die Regel, die sie erzeugt, als lesbare Konfiguration ausgeliefert — nicht als Code, den niemand sieht.

Wo eine Methodik eine Ableitung mitbringt, rechnet Trausto sie offen. Im Bahnprofil nach EN 50701 entsteht die Eintrittswahrscheinlichkeit aus Exposition und Verwundbarkeit über eine 5×5-Matrix, die Zelle für Zelle in der Projektkonfiguration steht. Sie können sie nachlesen, einer prüfenden Person vorlegen — und ihr widersprechen.

Methodiken
likelihoodDerivation · ceil((e + v) / 2) EN 50701

Verwundbarkeit ↓

Ableitung der Eintrittswahrscheinlichkeit aus Exposition und Verwundbarkeit
Verwundbarkeit 12345
5 3 4 4 5 5
4 3 3 4 4 5
3 2 3 3 4 4
2 2 2 3 3 4
1 1 2 2 3 3

Exposition →

Die ausgelieferte Matrix, hier aus ihrer eigenen Formel gerechnet: der aufgerundete Mittelwert aus Exposition und Verwundbarkeit. Exposition 4 und Verwundbarkeit 3 ergeben Wahrscheinlichkeit 4 von 5.

Stand heute

Was heute im Produkt ist

Kein Ausblick, sondern der Stand — das, was eine Evaluierung heute zu sehen bekommt.

✓

Heute verfügbar

Assets, Zonen und Conduits · Security-Level-Ziele (SL-T) je Zone · Bedrohungsszenarien · FR1–FR7-Nachweis-Mapping · ISMS-Register mit Erklärung zur Anwendbarkeit · Bericht als PDF, DOCX und HTML · Audit-Log · Export als JSON, CSV, XML und CycloneDX 1.6.

—

Was noch nicht drin ist

Die normative Ableitung des SL-T aus dem Assessment ist in Arbeit — heute setzen Sie das Ziel selbst. Der Anhang-A-Katalog nach ISO/IEC 27001 wird vorbereitet; das Register und die Erklärung zur Anwendbarkeit stehen bereits.

Warum Trausto

Was das von einem GRC-Werkzeug mit neuen Spalten unterscheidet.

01

Für OT entwickelt, nicht nachgerüstet

Zonen, Conduits, Safety-Impact, Kritikalität und konsequenzgeführtes Risiko sind Kernobjekte — keine selbstgebauten Spalten in einem GRC-Tool. Modelliert, wie Steuerungstechniker:innen denken und wie IEC 62443 es erwartet, mit SL-T-Zielen, Nachweisen und Exportpfaden, die externe Auditor:innen wiedererkennen.

02

Schweizer Software, eine Rechtsordnung

Entwickelt, gebaut, betrieben und supportet von einem Schweizer Softwareunternehmen. Engineering, Produkt, Security Response und Kundensupport liegen unter einer einzigen Schweizer Rechtsordnung — ein Vertrag, eine verantwortliche Gegenstelle, eine Aufsicht. Kein Offshore-Support-Routing.

03

Ihre Daten bleiben bei Ihnen

Sensible Inhalte — Assets, Conduits, Bedrohungsszenarien, Lieferantennachweise — werden auf dem Endgerät verschlüsselt, bevor sie Ihr Team verlassen. Trausto, die Hosting-Anbieter und Dritte sehen ausschliesslich verschlüsselte Daten. Ausserhalb des serverseitigen KI-Pfads, den wir weiter unten Zeile für Zeile benennen, gibt es keine lesbare Kopie, die durchsickern, herausgegeben oder verloren gehen könnte.

Ergebnisse

Was sich für Ihr Team ändert

Was sich an der Arbeit ändert — so formuliert, dass sich jeder Punkt am Produkt prüfen lässt.

O1

Audit-ready by Construction

IEC-62443-Zonen, -Conduits und SL-T-Nachweise sind native Objekte. Exporte sind für Auditor:innen und Procurement strukturiert — nicht in der Nacht davor aus Tabellen zusammengeflickt.

O2

Jede Bewertung lässt sich erklären

Welche Anforderung eine Einstufung trägt, welche Annahme sie stützt, wer sie freigegeben hat — im Bericht, nicht nur im Kopf der Person, die ihn geschrieben hat.

O3

Sensible Risikodaten bleiben unter Ihrer Kontrolle

Audit, Lieferanten und Reviewer:innen sehen, was Sie ihnen geben — als Export aus Ihrem Browser, nicht als Zugang zu Ihrem Projekt. Schlüssel halten nur Mitglieder Ihrer Organisation. Trausto selbst, die Hosting-Schicht und Dritte können Ihre Assessments nicht lesen — ausgenommen den serverseitigen KI-Pfad, den Sie einschalten oder weglassen.

O4

Kontinuität unter Druck

Verlorene Notebooks, Personalwechsel, M&A, Lieferantenwechsel — der Entzug eines Projektzugriffs ist eine Schlüsseloperation, kein Aufräumprojekt: Der Projektschlüssel wird rotiert und jeder Datenblock darunter in einem Vorgang neu verschlüsselt, bestehendes Chiffrat eingeschlossen. Auf Organisationsebene stösst heute noch eine Administratorin die Rotation an, nicht der Entzug selbst.

Einblick

Was wir sehen — und was nicht

Trausto läuft als SaaS, betrieben aus der Schweiz. Das ist das ganze Angebot: Es gibt keine On-Premise-Ausgabe zu prüfen und keine Betriebsmodell-Matrix zu verhandeln. Der Grund ist, dass die Frage, für die es Eigenbetrieb überhaupt gibt — wer Ihre Assessments lesen kann —, vorher und deutlicher beantwortet wird: im Browser, bevor irgendetwas bei uns ankommt.

01

Ein Betriebsmodell

Mandantenfähige SaaS, von einem Schweizer Unternehmen gebaut und aus der Schweiz betrieben, auf gehärteter Cloud-Infrastruktur. Ein Codepfad, ein Satz Kontrollen, eine Sache zum Prüfen — für Sie und für uns. Onboarding dauert Tage, keinen Beschaffungszyklus.

02

Trennung, auf die man zeigen kann

Jedes Projekt trägt einen eigenen Schlüssel, eingehüllt für jedes Teammitglied und jedes Gerät. Die Trennung wird kryptografisch durchgesetzt, nicht bloss über einen Filter in der Abfrage — Zugriff zu verlieren ist eine Schlüsseloperation, kein Flag in einer Tabelle. Die Organisation ist die Einheit, mit der Sie den Vertrag schliessen und die abgerechnet wird und die eine Wiederherstellungsphrase hinterlegen kann; das Projekt ist die kryptografische Einheit.

03

Was bei uns liegt

Chiffrat, dazu die operativen Metadaten, die der Dienst zum Laufen braucht: wer ein Konto hat, zu welchem Projekt ein Datensatz gehört, wann er zuletzt geändert wurde, wie viel Speicher Sie belegen. Diese Fläche schlüsseln wir unten auf, statt sie wegzureden.

Offenlegung

Die Metadaten-Fläche, aufgeschlüsselt

Verschlüsselung ist ein halbes Versprechen, solange nicht dasteht, was unverschlüsselt bleibt. Hier ist die andere Hälfte.

14 Positionen. An genau 1 davon wird Inhalt im Klartext verarbeitet — auf einem Abzweig, den Sie nicht nehmen müssen.

14
Positionen legen wir offen. Alle stehen unten; nichts ist zusammengefasst.
1
Pfad, auf dem Inhalt im Klartext durch unseren Worker geht: der serverseitige KI-Assistent. Er ist optional.
10
Positionen bleiben im Betrieb bei uns lesbar. Sie sagen, wer, wann und wie viel — keine davon trägt einen Satz aus einer Risikoanalyse.

Was passiert mit Ihrer Risikoanalyse?

Alles, was Sie eingeben, alles, was Sie hochladen, und die Schlüssel dazu. Das ist die Antwort auf die Frage, mit der Sie gekommen sind.

Assessment-Inhalte

Nein — nur Chiffrat

Assets, Zonen, Conduits, Szenarien und Nachweise werden auf Ihrem Gerät verschlüsselt, bevor sie hochgeladen werden. Die eine Ausnahme ist der serverseitige KI-Pfad weiter unten.

Hochgeladene Nachweise

Nein — nur Chiffrat

Lieferantendokumente und Anhänge nehmen denselben Weg wie die Assessment-Inhalte.

Die eine Ausnahme

KI-Verarbeitung

Ja, für die Dauer der Anfrage

nur bei Nutzung des serverseitigen KI-Pfads

Wer den serverseitigen KI-Assistenten nutzt, schickt den Inhalt genau dieser Anfrage im Klartext durch unseren Worker zum konfigurierten Provider — Ihrem eigenen Endpoint oder, falls hinterlegt, einem plattformweiten Standard, den Ihre Organisation abschalten kann. Das Modell im Browser laufen zu lassen vermeidet das — genau dafür gibt es die Möglichkeit.

Schlüsselmaterial

Nein — nur eingehüllt

Ihr privater Schlüssel wird je Gerät einzeln vom Sicherheitsmodul des Geräts eingehüllt; Ihre persönliche Wiederherstellungsphrase und die optionale der Organisation entstehen in Ihrem Browser und verlassen ihn nie im Klartext. Bei uns liegen ausschliesslich eingehüllte Formen.

Reichweite

Ein Organisationsschlüssel kann die Projekte seiner Berechtigungskette aufschliessen — so behält eine Organisation den Zugang, wenn eine Person geht, und so weit reicht damit auch die Wiederherstellungsphrase.

Was bleibt bei uns lesbar, damit der Dienst läuft?

10 von 14 Positionen. Sie fallen an, weil die Software gehostet läuft, mehrere Personen darin arbeiten und am Ende ein Nachweis daraus entstehen soll. Namen, Zeitpunkte, Zählerstände.

Was bleibt bei uns lesbar, damit der Dienst läuft?
Position Bei uns lesbar
Konto-Identität Ja
Projektzugehörigkeit Ja — Struktur, nicht Inhalt
Zeitstempel Ja
Audit-Log Ja 90 Tage (Standard) · Langzeitarchiv ist der SIEM-Export
Nutzungsvolumen Ja
Geräte- und Sitzungsmetadaten Ja Sitzungen 30 Tage gültig, Zeilen nach 90 Tagen gelöscht · Geräteeinträge werden stillgelegt, nicht gelöscht
E-Mail-Versand Ja — Versand über Mailgun (EU-Region)
Support- und Administrationszugriff Ja — auf Metadaten, nie auf Inhalte
KI-Betriebstelemetrie Ja — Metadaten nur bei Nutzung des serverseitigen KI-Pfads 90 Tage (Standard), als Teil des Audit-Logs
SIEM-Export Ja — Audit-Metadaten nur bei eingerichtetem Webhook
＋ Wozu diese 10 Positionen existieren — Begründungen einblenden
Konto-Identität
Name und geschäftliche E-Mail. Nötig, um Sie zu authentifizieren und im Support anzusprechen.
Projektzugehörigkeit
Welcher Datensatz zu welchem Projekt gehört und wer Zugriff hat. Das steuert, wer abrufen kann; lesbar wird der Inhalt erst durch den Projektschlüssel.
Zeitstempel
Erstellungs- und Änderungszeit, damit gleichzeitiges Arbeiten und Versionsverlauf funktionieren.
Audit-Log
Wer wann was getan hat. Notwendig für genau die Nachweiskette, für die es das Produkt gibt.
Nutzungsvolumen
Belegter Speicher und Anzahl Datensätze, für Abrechnung und Kapazität.
Geräte- und Sitzungsmetadaten
Je Gerät: der von Ihnen vergebene Gerätename im Klartext, sein öffentlicher Schlüssel, das Anlagedatum und der Zeitpunkt des letzten Schlüsselabrufs; entfernte Geräte werden stillgelegt, nicht gelöscht. Je Sitzung: Browser-Kennung, ein IP-Präfix — nie die volle Adresse — und welches Gerät die Sitzung eröffnet hat.
E-Mail-Versand
Registrierungs- und Wiederherstellungscodes, Einladungen und Kontoänderungs-Hinweise gehen über den Versanddienst Mailgun. In diesen Mails stehen: Bestätigungscodes, Gerätename, Organisationsname (auch im Betreff), Rolle und die Adresse der handelnden Person; bei einer Adressänderung erfährt die alte Adresse die neue. Empfängeradressen und Mail-Metadaten liegen damit auch beim Versanddienst.
Support- und Administrationszugriff
Plattform-Administratoren können Mitgliederlisten samt E-Mail-Adressen, Audit-Logs und Nutzungsstatistiken einsehen; Assessment-Inhalte nicht — die liegen auch bei uns nur als Chiffrat. Schreibende Admin-Zugriffe stehen im Audit-Log; lesende werden dort heute nicht einzeln erfasst.
KI-Betriebstelemetrie
Welcher Provider aufgerufen wurde, ob es fehlschlug und wie lange es dauerte. Kein Anfrageinhalt.
SIEM-Export
Richtet Ihre Organisation einen SIEM-Webhook ein, gehen Audit-Ereignisse an den von Ihnen benannten Endpunkt. Assessment-Inhalte sind nicht Teil dieses Stroms.

Offenlegung, Stand 2026-08-12. Jede Position wird vor dem Start gegen die Implementierung bestätigt; was nicht bestätigt ist, fliegt raus statt abgeschwächt zu werden.

Einstieg

Wie ein Einstieg aussieht

Drei Wege, je nachdem, wo Sie stehen.

01

Evaluierung

Geführter Produkt-Walkthrough, technisches Q&A und eine Sandbox-Organisation für zwei benannte Evaluator:innen.

02

Pilot-Deployment

Zeitlich abgegrenzter Pilot auf einem repräsentativen Standort oder einer Zone. Erfolgskriterien werden vorab vereinbart; sauberer Ausstieg, falls die Ergebnisse keine Produktion rechtfertigen.

03

Beschaffung / RFP

Lieferantenfragebögen, Due-Diligence-Pakete und vertragliche Anhänge. Ein Betriebsmodell und eine Schweizer Gegenstelle — es gibt keine Betriebsvariante zu verhandeln, was den längsten Punkt aus den meisten Security-Reviews streicht.

Und wenn Sie wieder gehen wollen

Ihre Daten gehören Ihnen, und Sie kommen ohne uns an sie heran. Der Export läuft im Browser gegen Ihre eigenen Schlüssel und erzeugt JSON, CSV oder XML — dieselbe Datenbasis, aus der auch der Bericht entsteht. Verlieren Sie Ihr letztes Gerät, übernimmt Ihre persönliche Wiederherstellungsphrase. Für den Fall, dass in einer Organisation niemand mehr einen Schlüssel hält, gibt es zusätzlich eine Wiederherstellungsphrase auf Organisationsebene — bewusst optional, weil sie genau die Endgültigkeit aufhebt, die den Rest hier trägt. Beides sind Produktfunktionen, keine Zusagen im Vertrag.

Nachprüfbar

Trust-Signale

Signale, die Sie selbst prüfen können, ohne uns zu fragen.

Und drei Aussagen, die Sie nachlesen, aber nicht extern prüfen können

Sie stehen unter einer eigenen Überschrift, nicht unter „prüfbar" — genau diese Unterscheidung ist der Sinn dieses Abschnitts.

Sicherheitsmodell ansehen Vulnerability Disclosure Status-Page

Compliance

Compliance-Haltung & Roadmap

Wir versprechen keine Zertifizierungen, die wir nicht haben. So sieht es heute aus, das ist auf der Roadmap, und das ist bereits auf Anfrage verfügbar.

HEUTE

Heute

Ausgerichtet auf revDSG/nDSG, DSGVO-Datenminimierung, EU CRA, NIS2 und ENISA-Leitlinien zur industriellen Cybersicherheit. IEC 62443 FR1–FR7 Kontroll-Mapping ist Teil des Produkts.

NÄCHST

Auf der Roadmap

Drei unabhängige Nachweise, in dieser Reihenfolge: ein externer Penetrationstest der Plattform, ein ausserhalb des Hauses begutachtetes Krypto-Whitepaper und die Zertifizierung nach ISO/IEC 27001. Termine nennen wir hier, sobald sie gebucht sind — vorher nicht.

ANFRAGE

Auf Anfrage verfügbar

Security-Architektur-Deck, Lieferanten-Due-Diligence-Fragebogen und Referenz-Vertragsanhänge für regulierte Betreiber. Das technische Whitepaper steht nicht mehr hier — es ist auf der Sicherheitsmodell-Seite veröffentlicht.

was zählt.

Trausto ist die Software, in der Sie Ihre Risikobeurteilung nach IEC 62443 erstellen, aktuell halten und im Audit vorlegen.

Demo anfragen Sicherheitsmodell ansehen