Stackfield als Projektmanagement-Software für Kritische Infrastrukture

Die regulatorischen Anforderungen an KRITIS-Betreiber sind in den letzten Jahren deutlich gewachsen. NIS2, IT-Sicherheitsgesetz 2.0 und das KRITIS-Dachgesetz verlangen konkrete Nachweise, dass eingesetzte Software dem aktuellen Stand der Technik entspricht. Viele Organisationen merken erst beim Audit, dass ihr Projektmanagement-Tool diese Anforderungen nicht erfüllt. Die Wahl der richtigen Software ist damit keine Komfortfrage, sondern eine strategische Entscheidung mit regulatorischen Konsequenzen.

Das Thema kurz und kompakt

• Regulatorischer Druck wächst: NIS2, IT-Sicherheitsgesetz 2.0 und das KRITIS-Dachgesetz stellen KRITIS-Betreiber vor konkrete Nachweispflichten. Die eingesetzte Software muss den Stand der Technik belegen können.
• Datenschutz ist keine Option, sondern Pflicht: Projektdaten in KRITIS-Organisationen enthalten vertrauliche Infrastrukturinformationen. Tools ohne echte Ende-zu-Ende-Verschlüsselung und deutsches Hosting erhöhen das Risiko, statt es zu senken.
• Stackfield erfüllt die Anforderungen: Mit BSI-C5-Testat, ISO 27001 und deutschem Hosting ist Stackfield eines der wenigen PM-Tools, das KRITIS-Audits standhält. Und das ohne Abstriche bei der Projektmanagement-Funktionalität.
• Voller Funktionsumfang, null Kompromisse: Aufgaben, Gantt, Chat, Videokonferenzen und Dateimanagement in einer Plattform. Ohne externe Integrationen, ohne zusätzliche Angriffsoberfläche.

Warum scheitern gängige Projektmanagement-Tools an KRITIS-Anforderungen?

Die meisten Projektmanagement-Tools wurden nicht für regulierte Umgebungen entwickelt. Sie wurden für Agenturen, Startups und Unternehmen gebaut, die Geschwindigkeit über Sicherheit stellen. In KRITIS-Organisationen dreht sich diese Priorität um und genau hier entstehen häufig Probleme.

Viele verbreitete Tools unterliegen dem US CLOUD Act. Das bedeutet: Selbst wenn die Server in Deutschland stehen, können US-Behörden den Anbieter verpflichten, Daten herauszugeben. Für KRITIS-Betreiber, die täglich mit vertraulichen Infrastrukturplänen, Sicherheitskonzepten und kritischen Projektdokumenten arbeiten, ist das kein abstraktes Risiko.

Dazu kommen fehlende Zertifizierungen: Wer kein BSI-C5-Testat und keine ISO 27001 nachweisen kann, liefert Prüfern keine belastbare Grundlage. Der Stand der Technik lässt sich nicht mit Versprechen belegen, sondern nur mit Zertifikaten.

Weitere Schwachstellen gängiger Tools:

• Keine echte Ende-zu-Ende-Verschlüsselung: Der Anbieter selbst kann Inhalte einsehen. Bei Infrastrukturplänen und Sicherheitskonzepten ist das ein strukturelles Problem.
• Keine revisionssichere Dokumentation: Änderungen an Aufgaben und Entscheidungen sind nicht auditierbar nachvollziehbar.
• Keine On-Premise-Option: Organisationen mit höchsten Sicherheitsanforderungen können die Infrastruktur nicht selbst kontrollieren.

Das ist kein Nischenproblem. Es betrifft jeden KRITIS-Betreiber, der heute noch auf ein nicht-zertifiziertes Tool setzt.

Was macht Projektmanagement in KRITIS-Organisationen so besonders?

Projektmanagement in kritischen Infrastrukturen ist keine Frage von Effizienz allein. Ein Ausfall, ein Datenleck, eine nicht dokumentierte Entscheidung: In KRITIS-Organisationen haben solche Vorfälle direkte gesellschaftliche Konsequenzen. Energieversorgung, Trinkwasser, Gesundheitsversorgung, Verkehr: Die Projekte, die hier gemanagt werden, tragen Verantwortung, die weit über die eigene Organisation hinausgeht.

Gleichzeitig arbeiten KRITIS-Betreiber in einem der dichtesten regulatorischen Umfelder Europas. Die wichtigsten Regelwerke im Überblick:

• NIS2 (seit Oktober 2024 in Kraft): Risikomanagement, Meldepflichten und Nachweise gegenüber den Behörden.
• IT-Sicherheitsgesetz 2.0: Technische und organisatorische Mindestanforderungen, Nachweis des Stands der Technik.
• KRITIS-Dachgesetz (verabschiedet Januar 2025, Umsetzung bis Oktober 2026): Erstmals einheitlicher Rahmen für physischen und digitalen Schutz aller KRITIS-Sektoren.

Informationssicherheit muss in den täglichen Projektalltag integriert sein: in jede Aufgabe, jede Entscheidung, jeden Dateianhang.

Was muss eine Projektmanagement-Software für KRITIS konkret leisten?

1. Revisionssichere Dokumentation: Änderungen an Aufgaben, Entscheidungen und Dokumenten müssen nachvollziehbar protokolliert sein.
2. Granulare Zugriffssteuerung: Nutzer sehen nur, was für ihre Rolle relevant ist.
3. Echte Verschlüsselung: Nicht nur Transport-Verschlüsselung (TLS), sondern echte Ende-zu-Ende auf Inhaltsebene.
4. Deutsches Hosting / EU-Jurisdiktion: Kein Zugriff durch US-Behörden über den CLOUD Act.
5. Zertifizierungsnachweise: BSI C5, ISO 27001 als prüffähige Belege für den Stand der Technik.
6. On-Premise-Option: Für Organisationen mit eigener Infrastruktur oder höchsten Sicherheitsstufen.

5 Kriterien, auf die KRITIS-Betreiber bei der Tool-Auswahl achten müssen

Die technischen Anforderungen sind bekannt. Aber wie stellt man im Evaluationsgespräch sicher, dass ein Anbieter sie wirklich erfüllt? Hier sind die fünf Fragen, die Ihr jedem Tool-Anbieter stellen solltet, bevor Ihr eine Entscheidung trefft.

1. Gibt es einen Zertifizierungsnachweis, den Prüfer akzeptieren? BSI-C5-Testat und ISO 27001 sind keine Kür, sondern Voraussetzung. Ohne diese Nachweise ist ein Tool im KRITIS-Audit nicht verwertbar. Fragt konkret nach: Liegt das Testat vor? Für welchen Zeitraum? Wurde es von einer akkreditierten Prüfstelle ausgestellt?
2. Wem gehört das Unternehmen hinter dem Tool, und welchem Recht unterliegt es? Ein deutsches Rechenzentrum schützt nicht vor dem US CLOUD Act, wenn der Anbieter ein US-Unternehmen ist. Entscheidend ist die Rechtsjurisdiktion des Anbieters, nicht der Serverstandort. Nur ein Anbieter, der ausschließlich deutschem und EU-Recht unterliegt, bietet hier echte digitale Souveränität.
3. Ist die Software auch für den Offline- oder Notbetrieb geeignet? In KRITIS-Umgebungen muss Projektarbeit auch bei Netzwerkausfällen oder Sicherheitsvorfällen weiterlaufen können. Gibt es eine On-Premise-Option oder lokale Datenhaltung, die unabhängig von der Cloud-Verfügbarkeit funktioniert?
4. Lässt sich das Tool vollständig in euer ISMS und euer Rollen- und Rechtekonzept integrieren? Die Software muss sich euren Sicherheitsrichtlinien anpassen, nicht umgekehrt. Granulare Zugriffssteuerung und vollständige Audit-Logs sind dabei keine Nice-to-haves, sondern Grundvoraussetzungen.
5. Wie viele zusätzliche Tools braucht Ihr daneben? Jede externe Integration ist eine potenzielle Schwachstelle. Ein Tool, das Aufgaben, Kommunikation, Dateien und Videokonferenzen ohne Drittanbieter vereint, reduziert die Angriffsfläche spürbar.

Stackfield: Projektmanagement ohne Kompromisse auch für KRITIS

Stackfield wurde nicht nachträglich für KRITIS-Anforderungen angepasst. Sicherheit wird hier nicht als Feature gedacht, sondern bildet die Grundlage der Plattform. Und ein vollständiges PM-Tool bleibt Stackfield dabei genauso.

Compliance auf einen Blick:

• BSI C5-Testat: anerkannter Standard für Cloud-Dienste im deutschen Sicherheitsumfeld
• ISO 27001, ISO 27017 und ISO 27018: international anerkannte Sicherheitsstandards
• Deutsches Hosting, deutsches und EU-Recht: der US CLOUD Act greift nicht
• Echte Ende-zu-Ende-Verschlüsselung (AES-256 + RSA-2048), Zero-Knowledge: Selbst Stackfield kann Inhalte nicht einsehen
• On-Premise-Option verfügbar für höchste Sicherheitsanforderungen

Projektmanagement ohne Einschränkungen:

Was Stackfield von reinen Sicherheits-Tools unterscheidet: Es ist zuerst eine vollständige Projektmanagement-Plattform. Aufgabenverwaltung, Kanban-Boards, Gantt-Charts, Projektportfolios und Zeiterfassung sind vollständig integriert.

Für die Kommunikation braucht es keinen einzigen Drittanbieter: Chat, threadbasierte Diskussionen, Audio- und Videokonferenzen inklusive Screensharing laufen direkt in Stackfield. Entscheidungen werden in strukturierten Threads dokumentiert und bleiben revisionssicher nachvollziehbar. Du musst also nicht zwischen einem sicheren Tool und einem funktionalen Tool wählen.

Wer setzt Stackfield bereits erfolgreich in KRITIS-Sektoren ein?

KRITIS-Betreiber setzen Stackfield bereits produktiv ein. Ein Beispiel aus dem Gesundheitssektor zeigt, wie das in der Praxis aussieht:

BRK Rettungsdienst (Sektor: Gesundheit)
Das Bayerische Rote Kreuz gehört zu den größten Rettungsdienstbetreibern in Bayern und setzt Stackfield seit 2016 ein. Die zentrale Abteilung für den Rettungsdienst koordiniert damit abteilungsübergreifend IT-Projekte, Beschaffung und Qualitätsmanagement an acht Leitstellen in ganz Bayern. Den Ausschlag für Stackfield gab der Datenschutz: Das BRK benötigte ein Tool, das teamunabhängig funktioniert, die deutschen Datenschutzanforderungen erfüllt und gleichzeitig die Fülle an Aufgaben strukturiert.

Mit Stackfield läuft die Zusammenarbeit zwischen internen Teams und externen Beteiligten heute über eine einzige Plattform. Externe werden mit eingeschränkten Rechten direkt in Projekte eingeladen, ohne komplizierte Accountverwaltung über mehrere Systeme.

Für welche KRITIS-Sektoren ist Stackfield geeignet?

Projektmanagement Software KRITIS: Die richtige Wahl treffen

Der regulatorische Druck auf KRITIS-Betreiber wächst, und die Wahl der richtigen Projektmanagement-Software ist längst kein Randthema mehr. Wer heute noch auf ein nicht-zertifiziertes Tool setzt, wird das spätestens beim nächsten Audit merken.

Die Entscheidung für das richtige Tool ist keine IT-Frage, sondern eine strategische Frage für die gesamte Organisation. Sicherheit und Produktivität müssen sich nicht ausschließen. Wer die richtigen Kriterien kennt, findet eine Lösung, die beides liefert.

Stackfield ist eines der wenigen PM-Tools, das KRITIS-Anforderungen vollständig erfüllt: BSI C5-testiert, ISO 27001-zertifiziert, deutsches Hosting, echte Ende-zu-Ende-Verschlüsselung. Stackfield ist kein Sicherheitstool mit PM-Funktionen als Beiwerk, sondern eine vollständige Arbeitsplattform, bei der Datenschutz und Compliance von Anfang an mitgedacht wurden.

Jetzt KRITIS-konform arbeiten

Stackfield ist BSI C5-testiert, ISO 27001-zertifiziert und läuft ausschließlich auf deutschen Servern. 14 Tage kostenlos testen

FAQ