NIS2 OT-Sicherheit heißt für produzierende Unternehmen: Die Pflichten aus dem neuen BSI-Gesetz gelten nicht nur für Büro-IT und E-Mail, sondern auch für Steuerungen, Leitsysteme, Fernwartungszugänge und Produktionsnetze. Das deutsche NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Das BSI rechnet mit rund 29.500 besonders wichtigen und wichtigen Einrichtungen, für die sich erstmals gesetzliche Pflichten ergeben.
Viele Hersteller haben die Registrierung erledigt und ein Informationssicherheitsmanagement für die IT aufgesetzt. In der Produktion sieht es oft anders aus: Niemand weiß genau, wie viele Steuerungen am Netz hängen, welche Firmware sie haben und wer per Fernwartung darauf zugreift. Genau dort setzen die Mindestmaßnahmen des Gesetzes aber auch an.
NIS2 OT-Sicherheit: die Pflichten im Überblick
| Pflicht | Inhalt | Rechtsgrundlage |
|---|---|---|
| Registrierung | spätestens drei Monate nach Betroffenheit, Änderungen binnen zwei Wochen | § 33 BSIG |
| Risikomanagement | zehn Mindestmaßnahmen, u. a. Asset-Management, Lieferkette, Schwachstellen | § 30 BSIG |
| Meldepflichten | 24 Stunden Erstmeldung, 72 Stunden Meldung, 30 Tage Abschlussmeldung | BSIG, laut BSI |
| Geschäftsleitung | Umsetzung und Überwachung, regelmäßige Schulungen, Haftung | § 38 BSIG |
| Bußgelder | bis 10 Mio. Euro bzw. 2 % des Umsatzes (besonders wichtige Einrichtungen) | § 65 BSIG |
Die Angaben folgen den BSI-Seiten und dem Gesetzestext auf gesetze-im-internet.de. Nach § 38 BSIG müssen Geschäftsleitungen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Sie haften gegenüber der Einrichtung für schuldhaft verursachte Schäden und müssen regelmäßig an Schulungen teilnehmen. Das BSI stellt dazu eine Handreichung zur Geschäftsleitungsschulung bereit.
Die Verantwortung für die Umsetzung und Überwachung liegt bei der Geschäftsleitung.
Wo die Produktion betroffen ist
Die Registrierungszahlen zeigen, wie stark die Industrie betroffen ist. Laut BSI-Statistik NIS-2 in Zahlen hatten sich bis zum 30. September 2026 insgesamt 20.141 Einrichtungen registriert, davon 4.739 im Sektor verarbeitendes Gewerbe. Mehrfachnennungen von Sektoren sind dabei möglich. Im Vergleich zu den erwarteten 29.500 Einrichtungen fehlt rechnerisch noch ein Teil der Betroffenen.
Von den zehn Mindestmaßnahmen nach § 30 BSIG treffen mehrere die Produktion direkt. Asset-Management verlangt, dass Sie Ihre Systeme kennen, auch die Steuerungen. Sicherheit in der Lieferkette betrifft Maschinenbauer und Integratoren mit Fernzugriff. Schwachstellenmanagement gilt für Panels und Router genauso wie für Server. Und Business Continuity heißt in der Fabrik: Gibt es Sicherungen der SPS-Programme, und lassen sie sich nach einem Vorfall wieder einspielen?
Warum OT anders ist als IT
Das BSI schreibt auf seiner Seite zu industriellen Steuerungssystemen sinngemäß, dass etablierte Schutzmaßnahmen aus dem Büroumfeld nur bedingt auf die OT übertragbar sind. Die Gründe kennt jeder Instandhalter: Steuerungen laufen 15 oder 20 Jahre, Wartungsfenster sind selten, Echtzeitverhalten darf nicht gestört werden, und ein Virenscanner auf einem Panel-PC kann mehr Schaden anrichten als nutzen.
In der Liste Top 10 Bedrohungen und Gegenmaßnahmen für ICS des BSI (Version 2022) stehen ganz oben das Einschleusen von Schadsoftware über Wechseldatenträger und mobile Systeme sowie Infektionen über Internet und Intranet. Auch Einbrüche über Fernwartungszugänge und internetverbundene Steuerungskomponenten sind aufgeführt. Als zentrale Gegenmaßnahme nennt das BSI die Segmentierung der Netze durch Firewalls.
NIS-2 in 5 Minuten
Bundesamt für Sicherheit in der Informationstechnik
Dieses Video wird von YouTube bereitgestellt. Beim Abspielen werden Inhalte von Google geladen, und es können Cookies gesetzt werden.
Auf YouTube ansehenDie ersten fünf Schritte für die Produktion
- OT-Asset-Inventar: Alle Steuerungen, Panels, Switches, Router und Rechner in der Produktion mit Typ, Firmware, IP-Adresse und Verantwortlichem erfassen.
- Netzplan und Kommunikationsbeziehungen: Dokumentieren, wer mit wem spricht, einschließlich Fernwartung und Wechseldatenträgern.
- Zonenkonzept: Produktionsnetz vom Büronetz trennen, Zonen nach IEC 62443 bilden, Übergänge über Firewalls kontrollieren.
- Fernwartung ordnen: Alle Zugänge erfassen, nicht genutzte abschalten, verbleibende über eine zentrale, protokollierte Lösung führen.
- Sicherung und Wiederherstellung: Aktuelle Programmstände aller Steuerungen sichern und den Wiederanlauf einmal testen.
Typische Hindernisse und wie Sie sie lösen
Das größte Hindernis ist selten Technik, sondern Zuständigkeit. Die IT-Sicherheit kennt das Gesetz, aber nicht die Anlagen. Die Instandhaltung kennt die Anlagen, hat aber keine Zeit für Dokumentation. Bewährt hat sich ein kleines Team aus beiden Seiten mit klarem Auftrag der Geschäftsleitung und einem festen Zeitbudget. Ohne dieses Mandat bleibt OT-Sicherheit ein Nebenprojekt.
Zweites Hindernis sind Altanlagen. Eine S7-300 ohne Zugriffsschutz lässt sich nicht nachträglich härten. Hier hilft Segmentierung: Die Anlage bekommt eine eigene Zone, die nur über eine Firewall mit klaren Regeln erreichbar ist. Langfristig gehört die Migration auf eine aktuelle Steuerung dazu, wie im Beitrag S7-300 Abkündigung beschrieben.
Drittes Hindernis: Angst vor Stillstand. Viele Werkleiter fürchten, dass Sicherheitsmaßnahmen die Produktion stören. Deshalb gehören Änderungen am Produktionsnetz in geplante Stillstände, mit vorher getesteten Firewallregeln und einem Rückfallplan. Passives Monitoring, das nur mitliest, ist ein risikoarmer Einstieg, um Kommunikationsbeziehungen zu erkennen, bevor Sie etwas sperren.
Lieferkette: Maschinenbauer und Integratoren einbinden
Die Sicherheit in der Lieferkette ist eine eigene Mindestmaßnahme. Für die Produktion heißt das vor allem: Maschinenbauer, Integratoren und Servicefirmen mit Zugang zu Ihren Anlagen müssen in Ihr Sicherheitskonzept eingebunden werden. Regeln Sie in Verträgen, wie Fernzugriffe ablaufen, wie Sicherheitslücken in gelieferten Komponenten gemeldet werden und welche Dokumentation bei Übergabe einer Anlage geliefert wird. Bei neuen Maschinen gehört eine Komponentenliste mit Firmwareständen ins Lastenheft.
Prüfen Sie außerdem, welche Ihrer Dienstleister selbst unter NIS2 fallen.
Wie Wartens unterstützt
Wartens unterstützt NIS2-pflichtige Hersteller und ISO-27001-Beratungen in der OT: mit OT-Asset-Inventar, Netzwerk-Zonierungskonzept und Gap-Analyse auf Basis der IEC 62443. Wir verbinden dabei Steuerungswissen mit den Anforderungen der Sicherheitsnormen. Details zu den einzelnen Bausteinen lesen Sie in den Beiträgen OT-Asset-Inventar und IEC 62443 Zonen und Conduits. Unser Leistungsangebot finden Sie unter Automatisierungs-Engineering.
Nächster Schritt: Nennen Sie uns einen Produktionsbereich als Pilot. Wir schlagen Umfang und Festpreis für Inventar, Zonenkonzept und Gap-Analyse vor. Kontakt.
