NIS2 Maschinenbau: Pflichten für Hersteller und OT-Sicherheit

· · Kategorie: NIS2
Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.

Der deutsche Maschinen- und Anlagenbau ist mit über 1 Mio. Beschäftigten und 270 Mrd. EUR Umsatz (VDMA-Jahreszahlen 2024) eine Schlüsselindustrie — und nach Anhang II der NIS-2-Richtlinie als „sonstiger kritischer Sektor" eingestuft. Hinzu kommen Sektor-Überschneidungen: Hersteller von Medizintechnik fallen unter Gesundheitswesen, Hersteller von Stromversorgungs-Komponenten unter Energie, Anbieter cloudbasierter Maschinendaten unter Cloud-Computing. Dieser Leitfaden zeigt die Anwendungsfälle, OT-Spezifika und Maßnahmen für Maschinenbauer und Industrieausrüster.

TL;DR

  • Maschinenbau ist als „Herstellung" im Anhang II der NIS-2-Richtlinie als sonstiger kritischer Sektor erfasst (NACE C26–C28)
  • Schwellenwert „wichtige Einrichtung": >50 Mitarbeiter oder >10 Mio. EUR Umsatz und Bilanzsumme
  • OT ist Teil des Pflicht-Bereichs: SPS, SCADA, MES, Industrial IoT
  • CRA-Wechselwirkung: Hersteller vernetzter Produkte sind zusätzlich Cyber-Resilience-Act-pflichtig (ab 11.12.2027)
  • Lieferketten-Pflichten gelten besonders bei globalen Komponenten-Sourcing-Strukturen

1. Ist Maschinenbau NIS2-pflichtig?

Die NIS-2-Richtlinie listet in Anhang II (sonstige kritische Sektoren) den Sektor „Herstellung" mit drei Teilsektoren auf:

Weitere relevante Anhang-II-Teilsektoren: Herstellung von Kraftwagen und Kraftwagenteilen (NACE C29), Sonstiger Fahrzeugbau (NACE C30) und Herstellung von Medizinprodukten und In-vitro-Diagnostika (überschneidend mit Sektor Gesundheit).

Schwellenwerte: wann gilt die NIS-2-Pflicht?

Unternehmensgröße Mitarbeiter Umsatz / Bilanz NIS2-Status
Klein < 50 < 10 Mio. EUR Nicht betroffen (vorbehaltlich Sektor-Sonderregeln)
Mittel 50–249 10–50 Mio. EUR / < 43 Mio. Bilanz Wichtige Einrichtung (Anhang II)
Groß > 250 > 50 Mio. EUR / > 43 Mio. Bilanz Wichtige Einrichtung, bei KRITIS-Status auch wesentliche

Schwellenwerte gelten auf Konzernebene (verbundene und Partnerunternehmen werden addiert). Sektor-spezifische Sonderregeln können auch kleinere Unternehmen einschließen.

Klassifizierung im Detail: NIS2 für Unternehmen mit 50–100 Mitarbeitern und NIS2-Umsetzung Deutschland.

2. OT-Security-Besonderheiten: SPS, SCADA, Industrial IoT

Anders als Office-IT haben OT-Systeme im Maschinenbau spezifische Eigenschaften, die die NIS2-Umsetzung beeinflussen:

Eigenschaft IT OT
Schutzziel-Priorität Vertraulichkeit > Integrität > Verfügbarkeit Verfügbarkeit > Integrität > Vertraulichkeit
Lebenszyklus 3–5 Jahre 15–30 Jahre
Patch-Fenster monatlich/wöchentlich jährlich, geplante Wartung
Echtzeit-Anforderungen selten kritisch oft < 10 ms (Safety-relevant)
Beispiel-Systeme ERP, CRM, Office SPS (Siemens S7, Beckhoff TwinCAT, Rockwell), SCADA (WinCC, iFix), MES, Edge-Devices

Typische OT-Schwachstellen im Maschinenbau

Empfohlene OT-Sicherheitsmaßnahmen

  1. Netz-Segmentierung nach IEC 62443-3-3: Zonen und Conduits zwischen Office-IT, MES, Produktions-OT
  2. OT-spezifische Firewalls: z. B. Industrial Next-Gen Firewalls mit DPI für Profinet, OPC-UA
  3. Zentrales OT-Inventar: Erfassung aller SPS, HMI, Sensoren mit Firmware-Stand
  4. Vulnerability-Management: Abonnement BSI Industrial-CSAF, Hersteller-Advisories (Siemens ProductCERT, Rockwell, Beckhoff)
  5. OT-SOC oder Hybrid-SOC: Anomalie-Erkennung über passive Sensoren (z. B. Claroty, Nozomi, Dragos)
  6. Wartungs-/Fernzugriffs-Konzept: Jump-Server, MFA, Session-Recording
  7. Sichere Inbetriebnahme: Hardening-Checklisten pro Maschinen-Typ

3. Cyber Resilience Act + NIS2: Wechselwirkung

Maschinenbauer mit vernetzten Produkten (Industrie 4.0, IoT-fähige Anlagen, Software-as-a-Service-Komponenten) sind doppelt reguliert:

Aspekt NIS2-Richtlinie Cyber Resilience Act
Regulierungs-Objekt Cybersecurity des Unternehmens Cybersecurity des Produkts
Geltungsbeginn In DE: 06.12.2025 (BSIG) 11.12.2027 (Verordnung (EU) 2024/2847)
Kern-Pflichten ISMS, Risikomanagement, Incident-Response, Lieferkette Sicheres Design, SBOM, Schwachstellen-Handhabung, 5 Jahre Patch-Support
Konformitätsbewertung BSI-Audit (KRITIS) / Selbst-Deklaration CE-Konformitätsbewertung mit benannter Stelle (kritische Produkte)
Bußgeld-Rahmen bis 10 Mio. EUR / 2 % Umsatz bis 15 Mio. EUR / 2,5 % Umsatz

Praxis-Empfehlung: Secure-SDLC und SBOM-Prozesse synchron mit NIS2-ISMS aufbauen. Vulnerability-Management deckt beide Regelwerke ab. Patch-Support-Verpflichtungen aus CRA fließen in das NIS2-Lieferketten-Konzept ein.

4. Lieferanten-Audit-Pflichten

Der deutsche Maschinenbau ist eine globale Branche. Komponenten kommen aus China (Elektronik, Halbleiter), Taiwan (Sensorik, Chips), USA (Software, Steuerungen), Italien/Schweiz (Präzisionsmechanik). Das macht die NIS2-Lieferketten-Pflicht (Art. 21 Abs. 2 Buchst. d, § 30 Abs. 2 Nr. 4 BSIG) besonders herausfordernd.

Konkretes Vorgehen für Maschinenbauer

  1. Lieferanten-Inventar: alle Lieferanten von Hard- und Software, Cloud-Diensten, Wartungs-Dienstleistern erfassen
  2. Kritikalitäts-Klassifikation: Top-20 nach Kritikalität (Ausfallfolgen, Substituierbarkeit, Zugriff auf eigene Systeme)
  3. Vertragliche Anforderungen: Cybersecurity-Anhang (basierend auf VDMA-Mustervertrag), 24h-Vorfall-Meldung, Audit-Recht, Subunternehmer-Genehmigung
  4. Initial-Audit für Top-Lieferanten: ISO 27001-Zertifikat, IEC 62443-Zertifizierung, SOC 2 Type II, eigene Fragebögen (z. B. nach VDMA 66415)
  5. Jährliches Re-Assessment: Re-Validierung der Sicherheitsmaßnahmen, neue Bedrohungslage
  6. Exit-Strategie: Multi-Sourcing, Bevorratung kritischer Komponenten, alternative Lieferanten qualifiziert
  7. EU-Lieferketten-Schwerpunkt: bei kritischen Komponenten EU-/EWR-Lieferanten bevorzugen (Resilienz, Reisemöglichkeit für Audits)

Tiefergehend: NIS2 Lieferkette absichern.

5. Konkrete Maßnahmen-Liste für Maschinenbauer

Phase 1: Bestandsaufnahme (Monate 1–2)

Phase 2: Risikomanagement (Monate 3–4)

Phase 3: Technische Umsetzung (Monate 5–9)

Phase 4: Organisatorische Umsetzung (Monate 6–10)

Phase 5: Auditierung (ab Monat 9)

6. Empfehlungen von VDMA und ZVEI

VDMA: Verband Deutscher Maschinen- und Anlagenbau

VDMA hat mehrere Werke veröffentlicht, die für die NIS2-Umsetzung im Maschinenbau hilfreich sind:

ZVEI: Zentralverband Elektro- und Digitalindustrie

7. Schutz von Konstruktionsdaten und Steuerungs-Software

Im Maschinenbau ist das wertvollste Asset oft nicht die Office-IT, sondern das geistige Eigentum:

Querverweis: Geschäftsgeheimnisschutzgesetz (GeschGehG, BGBl. I 2019 Nr. 12) verlangt angemessene Geheimhaltungsmaßnahmen. Diese Pflicht harmoniert mit NIS2-Maßnahmen, sollte aber separat dokumentiert werden.

Häufig gestellte Fragen

Ist Maschinenbau NIS2-pflichtig?
Maschinenbau ist als „Herstellung" im Anhang II der NIS-2-Richtlinie als „sonstiger kritischer Sektor" aufgeführt, allerdings nur eingeschränkt. Betroffen sind direkt insbesondere Hersteller von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, elektrischen Ausrüstungen sowie Maschinen (NACE C26–C28). Schwellenwert: >50 Mitarbeiter oder >10 Mio. EUR Jahresumsatz und Jahresbilanzsumme.
Was ist der Unterschied zwischen NIS2 und Cyber Resilience Act?
NIS2 regelt die Cybersecurity des Unternehmens (interne IT und OT). Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) regelt die Cybersecurity der Produkte mit digitalen Elementen, die das Unternehmen in Verkehr bringt. Maschinenbauer mit vernetzten Produkten sind typischerweise von beiden Regelwerken betroffen.
Gelten NIS2-Pflichten auch für die Produktionsanlagen (OT)?
Ja. § 30 BSIG unterscheidet nicht zwischen IT und OT. SPS, SCADA, MES, Industrial-IoT-Geräte und Engineering-Workstations sind Teil der „Netz- und Informationssysteme" im Sinne der NIS-2-Richtlinie. Die Schutzmaßnahmen müssen für OT-Besonderheiten angepasst werden (Verfügbarkeits-Priorität, lange Lifecycles, Echtzeit-Anforderungen).
Welche Standards sind für OT-Sicherheit relevant?
IEC 62443 ist der Leitstandard für industrielle Automatisierung und Steuerung. Ergänzend: VDMA-Einheitsblatt 66415 (IT-Sicherheit), VDI/VDE-Richtlinien für sektorspezifische Themen, BSI ICS-Security-Kompendium. Für Maschinenbauer in der Produktion zusätzlich IEC 61511 (Funktionale Sicherheit).
Welche Pflichten habe ich gegenüber meinen Zulieferern?
Art. 21 Abs. 2 Buchst. d NIS-2-Richtlinie und § 30 Abs. 2 Nr. 4 BSIG verlangen ein Lieferketten-Sicherheitsmanagement. Für den Maschinenbau bedeutet das: Lieferanten-Inventar, Kritikalitäts-Klassifikation, vertragliche Sicherheitsanforderungen, regelmäßige Audits für kritische Lieferanten, Notfallpläne bei Lieferanten-Ausfall, insbesondere bei chinesischen, taiwanesischen und US-amerikanischen Komponenten-Lieferanten.
Wie integriere ich NIS2 mit ISO 27001 und IEC 62443?
ISO 27001 deckt die Office-IT und das übergreifende ISMS ab. IEC 62443 ergänzt für OT-Bereich. NIS2 ist die regulatorische Klammer. Praxis: ISMS nach ISO 27001 mit OT-Scope-Erweiterung nach IEC 62443-2-1 (Anforderungen an Anlagenbetreiber). Maßnahmen-Zuordnung zu § 30 BSIG dokumentiert in einer Cross-Mapping-Matrix.
Müssen Konstruktionsdaten und Quellcode besonders geschützt werden?
Ja. CAD-Daten, NC-Programme, Steuerungs-Software und produktspezifische Algorithmen sind regelmäßig die wertvollsten Assets eines Maschinenbauers (Know-how, Geschäftsgeheimnisse nach GeschGehG). Die NIS2-Risikoanalyse muss diese Assets erfassen, Schutzmaßnahmen umfassen IRM/DRM, Entwickler-Workstation-Härtung, Code-Repository-MFA, Versionsverwaltungs-Audits.

Verwandte Artikel

Quellen

Stand: 17.05.2026

Werkzeuge & Selbsttests

NIS2 Readiness-Check Pruefen Sie Ihre NIS2-Reife in 10 Minuten. Bussgeld-Rechner Berechnen Sie das potenzielle Bussgeld-Risiko fuer Ihr Unternehmen. NIS2 Selbsttest Bin ich betroffen? Pruefen Sie Schwellenwerte und Sektoren-Zugehoerigkeit. NIS2 Pflichtmassnahmen-Audit 10 Pflichtmassnahmen aus Paragraph 30 BSIG mit Reifegrad-Bewertung.