Als Betreiber einer kritischen Infrastruktur ...

ist darauf zu bestehen, das Binary und die notwendigen Firmwares
selbst aus dem Code zu erzeugen. Wenn dies nicht möglich ist, ist
eine Lösung abzulehnen. Für bestimmte Güter ist darüber hinaus eine
Unbedenklichkeitsbescheinigung ausgestellt von offiziellen Stellen
(nicht TÜV oder gar DEKRA) zu verlangen. Darüber hinaus sind die
Systeme in einem vom Internet physisch getrennten Intranet zu
betreiben. USB Schnittstellen, CDROM Laufwerke, DVD Laufwerke etc.
sind mechanisch zu entfernen. Zusätzlich ist der Intranet-Traffic
nachhaltig zu überwachen.

All dies ist keine Garantie, dass nicht irgendetwas eingeschmuggelt
wird, sei es durch manipulierte Chips aus der Zulieferindustrie oder
was auch immer. Aber es macht die Sache für bestimmte Elemente
schwieriger.