Seit dem vollständigen Inkrafttreten von Part-IS am 22. Februar 2026 zeigt sich in vielen Organisationen ein ähnliches Bild: Die nötigen Richtlinien wurden geschrieben, Prozesse dokumentiert, interne Audits abgeschlossen und die erste Überprüfung durch die Behörde ist in Sicht. Dennoch beschäftigen Verantwortliche weiterhin zentrale Fragen: Funktionieren die neuen Abläufe im Alltag? Wo zeigen sich Schwachstellen in den aufgebauten Strukturen, die systematisch in den Verbesserungsprozess überführt werden müssen?
Bereits vor Inkrafttreten von Part-IS haben wir in unserem Beitrag „Part-IS: Die 7 wichtigsten Fragen“ die zentralen Anforderungen und Herausforderungen der Verordnung beleuchtet. Nach etwas mehr als einem halben Jahr zeigt sich zunehmend, dass die eigentliche Herausforderung nicht in der Erstellung von Dokumenten liegt, sondern in der nachhaltigen Verankerung der Anforderungen im täglichen Betrieb.
Aus den Part-IS-Projekten, die unsere Expert*innen begleiten, lassen sich bereits erste Muster erkennen und Antworten auf diese Fragen finden. Unsere Lessons Learned stellen wir in diesem Artikel vor.
Lesson Learned: Der Übergang in den Regelbetrieb ist anspruchsvoller als der Aufbau der Prozesse
In die Erstellung von Richtlinien und Abläufen wird in der Projektphase ein hoher Aufwand investiert, um langfristig stabile Strukturen zu schaffen. Ob die Ergebnisse jedoch im Tagesgeschäft funktionieren, akzeptiert und angewendet werden, zeigt sich erst im laufenden Betrieb.
So begleiten wir derzeit viele Organisationen bei der Aufgabe, ihre Part-IS-Initiativen vom Projektmodus in den Regelbetrieb zu überführen. Klare Verantwortlichkeiten, definierte Prioritäten und eine strukturierte Roadmap helfen hier dabei, die zahlreichen Anforderungen schrittweise zu integrieren und dauerhaft zu verankern.
Gerade in dieser Phase entscheidet sich, ob Informationssicherheit langfristig als zusätzlicher Verwaltungsaufwand wahrgenommen wird oder als fester Bestandteil der operativen Abläufe etabliert werden kann. Feedback aus den Fachbereichen liefert dabei wertvolle Hinweise darauf, welche Maßnahmen im Alltag funktionieren und wo Anpassungsbedarf besteht. Besonders nach dem ersten Behördenaudit ergeben sich häufig wichtige Erkenntnisse für die weitere Ausgestaltung der Prozesse.
Lesson Learned: Im Asset Management ist das Initialinventar nur der Startpunkt
Die Erhebung aller Part-IS-relevanten Assets stellt für Organisationen einen Kraftakt dar, da die Verordnung nicht nur reine IT-Applikationen, sondern auch Hardware, Ressourcen, Facilities und vieles mehr als wichtig erachtet. Ist das Inventar initial erstellt, beginnt der Aufwand hinsichtlich der dauerhaften Pflege und Weiterentwicklung der Datenbestände. Auch hier müssen Verantwortlichkeiten und Prozesse oftmals erst etabliert oder angepasst werden.
Organisationen sollten Assetinventare von Beginn an als fortlaufenden Aufwand und nicht als einmaliges Projekt verstehen. Der größte Mehrwert entsteht häufig erst in den ersten Monaten des Betriebs: Zuständigkeiten werden geschärft, Datenqualität verbessert und Bewertungsansätze vereinheitlicht. Wer diese Erfahrungen systematisch nutzt, verbessert schrittweise sein Assetinventar und damit auch den Überblick über Scope und Risiken. Im besten Fall werden Inventare frühzeitig in bestehende Unternehmenssysteme integriert. Dadurch lassen sich manuelle Pflegeaufwände reduzieren und etablierte Prozesse gezielt für das Informationssicherheitsmanagement nutzen.
Lesson Learned: Part-IS endet nicht an den Unternehmensgrenzen
Im Hinblick auf die Auditierung rückt auch die Informationssicherheit externer Dienstleister und Partner stärker in den Fokus. Viele Organisationen verfügen bereits über etablierte Vertragsbeziehungen und bestehende Mechanismen zur Dienstleister- und Partnersteuerung. Diese entsprechen jedoch nicht automatisch den Anforderungen von Part-IS.
Insbesondere in Konzernstrukturen und komplexen Lieferketten stellt sich häufig die Frage, welche Sicherheitsanforderungen an externe Dienstleister und Partner gestellt werden müssen und wie deren Umsetzung gegenüber den Behörden nachgewiesen werden kann. Dabei reicht es nicht aus, sich auf bestehende Verträge und Geschäftsbeziehungen zu verlassen. Vielmehr sollten Leistungsvereinbarungen, Zuständigkeiten und Nachweispflichten gezielt darauf geprüft werden, ob sie den Vorgaben von Part-IS entsprechen.
Lesson Learned: Informationssicherheit wird erst wirksam, wenn Mitarbeitende sie mittragen
Die vielleicht wichtigste Erkenntnis aus den ersten Monaten: Part-IS wird langfristig nur dann erfolgreich sein, wenn die Anforderungen von allen Mitarbeitenden verstanden und gelebt werden. Dazu gehört eine klare Definition von Rollen, Verantwortlichkeiten und erforderlichen Kompetenzen. Das ist bei Part-IS mitunter herausfordernd, da sich Zuständigkeiten häufig über mehrere Bereiche erstrecken und insbesondere an den Schnittstellen zwischen Safety und Information Security abgestimmt werden müssen.
In vielen Projekten unterstützen wir aktuell dabei, spezifische Schulungsbedarfe zu erkennen sowie Rollenbeschreibungen und Zuständigkeiten zu konkretisieren. Nur so können Mitarbeitende beispielsweise informationssicherheitsrelevante Ereignisse richtig einordnen und melden sowie ihre Expertise zielgerichtet in Risikobewertungen einbringen. Ebenso sollte der für Part-IS verantwortliche Manager als zentraler Ansprechpartner innerhalb der Organisation sichtbar etabliert sein.
Ein besonders positives Signal beobachten wir dort, wo zunehmend Part-IS-bezogene Fragestellungen direkt aus den Fachbereichen kommen und unmittelbar an den Part-IS Manager adressiert werden. Das zeigt, dass die neuen Maßnahmen beginnen, Teil des Arbeitsalltags zu werden.
Lesson Learned: Dokumentation allein reicht für das Audit nicht aus
Audit-Readiness beginnt deutlich früher, als viele Organisationen zunächst erwarten. Denn Behörden werden nicht nur prüfen, ob geregelte Abläufe existieren und ob sie dokumentiert sind, sondern vor allem, ob diese tatsächlich angewendet werden. Für ein reibungsloses Audit sollte zu jeder Maßnahme nachvollziehbar dokumentiert werden, wie ihre Funktionsfähigkeit auch gegenüber Dritten belegt werden kann.
Erste belastbare Belege dafür entstehen bereits in der Projektphase, beispielsweise durch die Erstellung von Risiko- und Asset-Inventaren. Im Incident Management fehlen dagegen häufig noch reale Anwendungsfälle, aus denen sich die Wirksamkeit der etablierten Vorgehensweisen ableiten lässt. Simulationen und Tabletop-Übungen bieten hier die Möglichkeit, die neuen Prozesse realitätsnah zu testen sowie Erkenntnisse zur Wirksamkeit der Maßnahmen und Hinweise auf Optimierungspotenziale anhand dokumentierter Ergebnisse festzuhalten.
Lesson Learned: Ohne Kennzahlen bleibt Verbesserung nur schwer steuerbar
Nach Inkrafttreten von Part-IS verschiebt sich der Fokus vieler Organisationen vom Aufbau hin zum nachhaltigen Betrieb des ISMS. Dabei zeigt sich: Mit der Einführung des ISMS endet die Umsetzung nicht. Vielmehr beginnt jetzt die Phase der kontinuierlichen Steuerung und Weiterentwicklung.
Damit Organisationen ihre Fortschritte messen und gezielt steuern können, sollten sie bereits früh geeignete Kennzahlen definieren. Entscheidend ist dabei nicht nur die Erhebung der KPIs selbst, sondern auch die Festlegung von Auswertungsintervallen, Berichtsempfängern und Eskalationswegen. Nur so lässt sich bewerten, welche Maßnahmen wirken und in welchen Bereichen weiterer Optimierungsbedarf besteht. Besonders hilfreich sind dabei Kennzahlen, die sowohl den Reifegrad der Informationssicherheit als auch die tatsächliche Wirksamkeit eingeführter Maßnahmen sichtbar machen.
Die nächsten 12 Monate entscheiden über den Erfolg
Die ersten Monate Part-IS zeigen, dass die meisten Organisationen die grundlegenden Anforderungen erfolgreich adressiert haben. Für viele von ihnen geht es deshalb nun darum, bestehende Abläufe wirksam im Alltag zu etablieren.
„Nach mehr als einem halben Jahr Part-IS bin ich überzeugt: Die größten Erfolge erzielt man dort, wo es nicht um die bloße Erfüllung von Anforderungen geht. Part-IS erfordert einen Wandel im Denken und Handeln, bei dem Safety und Information Security selbstverständlich Hand in Hand arbeiten. Wo das gelebt und als Teil einer Safety und Information Security Culture von allen Mitarbeitenden getragen wird, schaffen Unternehmen die Grundlage für eine nachhaltig sichere und widerstandsfähige Organisation.“
Wienke Schumacher, Senior Security Consultant, usd AG
Unsere bisherigen Erfahrungen machen deutlich, dass insbesondere die Operationalisierung von Prozessen, die Weiterentwicklung von Asset und Risk Management sowie die Einbindung der Fachbereiche über den langfristigen Erfolg entscheiden werden. Die kommenden 12 Monate werden aufzeigen, ob Informationssicherheit und Flugsicherheit tatsächlich wirksam miteinander verzahnt wurden und ob die aufgebauten Strukturen auch unter realen Bedingungen funktionieren. Dies wird entscheidend dafür sein, ob der Übergang zur Operational Phase gelingt.
Sie haben Fragen zu Part-IS oder benötigen Unterstützung? Kontaktieren Sie uns, wir sind gerne für Sie da.
