Warum Produktions-IT eigene Regeln braucht
NIS-2 trifft große Teile der Fertigung
Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Anlage 2 des BSI-Gesetzes nennt als Sektor das verarbeitende Gewerbe mit mehreren Branchen, darunter:
- Herstellung von Medizinprodukten und In-vitro-Diagnostika
- Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse (NACE C 26)
- elektrische Ausrüstungen (NACE C 27)
- Maschinenbau (NACE C 28)
- Kraftwagen und Kraftwagenteile (NACE C 29)
- sonstiger Fahrzeugbau (NACE C 30)
Wer in diesen Branchen tätig ist und mindestens 50 Beschäftigte hat oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme erreicht, gilt als wichtige Einrichtung. Maßgeblich ist laut BSI, dass die Schwellenwerte in zwei aufeinanderfolgenden Geschäftsjahren erreicht werden. Für einen Maschinenbauer mit 80 Mitarbeitenden ist NIS-2 also kein Randthema. Die Einordnung im Einzelfall, etwa bei Mischkonzernen oder Unternehmensgruppen, gehört in eine rechtliche Prüfung.
Was konkret zu tun ist
Betroffene müssen sich spätestens drei Monate nach Eintritt der Betroffenheit zweistufig registrieren, zuerst über Mein Unternehmenskonto, dann im BSI-Portal. Erhebliche Sicherheitsvorfälle sind gestaffelt zu melden: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung nach 30 Tagen. § 30 BSIG verlangt Risikomanagementmaßnahmen, unter anderem Risikoanalyse, Bewältigung von Vorfällen, Betriebskontinuität, Sicherheit der Lieferkette, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentisierung. Die Verantwortung für Umsetzung und Überwachung liegt bei der Geschäftsleitung.
Für einen IT-Dienstleister heißt das in der Fertigung: Die Pflichten gelten nicht nur für ERP und E-Mail, sondern auch für die Systeme, die Maschinen steuern. Ein Meldeprozess, der um drei Uhr nachts bei einem Ransomware-Befall in der Leitstelle funktioniert, muss vorher mit Schichtleitung und Instandhaltung geübt sein.
OT ist nicht Büro-IT
Steuerungen, Bedienpanels, Engineering-Stationen und Edge-Geräte laufen oft viele Jahre ohne Patches, weil jeder Neustart die Produktion stoppt oder der Maschinenhersteller Änderungen nicht freigibt. Das BSI führt in seinen Top 10 Bedrohungen für industrielle Steuerungssysteme unter anderem Schadsoftware über Wechseldatenträger, internetverbundene Steuerungskomponenten, Schwachstellen in der Lieferkette und den Einbruch über Fernwartungszugänge.
Der letzte Punkt ist im Maschinenbau alltäglich. Hersteller und Servicepartner verbinden sich per VPN, oft mit Standardpasswörtern, geteilten Konten und Zugriff auf weit mehr als die eine Anlage. Das BSI empfiehlt unter anderem, Zugriffspunkte für Fernwartung in einer DMZ einzurichten, Fernzugänge nur für Dauer und Zweck der Wartung freizuschalten, alle Zugänge zu personalisieren und zu protokollieren sowie die Netze so fein zu segmentieren, dass ein Zugang nur das Zielsystem erreicht. Für den systematischen Aufbau nennt das BSI neben IT-Grundschutz und ISO 27001 auch die Normenreihe IEC 62443.
Anforderungen, die über Kunden kommen
Auch ohne eigene NIS-2-Pflicht landen Sicherheitsanforderungen über die Lieferkette im Werk, denn regulierte Kunden müssen ihre Lieferanten bewerten und Sicherheitsvorgaben vertraglich festlegen. In der Automobilzulieferung ist TISAX der gängige Nachweis: Ein Assessment auf Basis des VDA-ISA-Katalogs, dessen Label bis zu drei Jahre gilt. Ab dem 1. Januar 2027 werden neu beauftragte Assessments nach der Version ISA2027 durchgeführt. Den geforderten Prüfumfang gibt der Kunde vor.
Der Cyber Resilience Act verpflichtet Hersteller vernetzter Produkte; seit dem 11. September 2026 müssen sie aktiv ausgenutzte Schwachstellen melden. Für deinen IT-Betrieb bedeutet das vor allem, beim Kauf von Komponenten nach Supportzeitraum und Update-Weg zu fragen. Wenn du selbst Maschinensoftware entwickelst, ist das ein Thema für die Softwareentwicklung.
Welche Anbieter passen
- Systemhäuser mit Industriekunden betreiben Office-IT und Werksnetz aus einer Hand, wenn sie OT-Erfahrung nachweisen.
- OT-Security-Spezialisten erstellen Asset-Inventar, Zonenkonzept und Fernwartungsarchitektur, betreiben aber selten den Helpdesk.
- ISMS- und Audit-Berater bereiten TISAX oder ISO 27001 vor und ergänzen den Betreiber der IT.
Vor der Anfrage klären
- Branche nach NACE-Code, Beschäftigtenzahl, Umsatz und Bilanzsumme
- Standorte und Anzahl der Produktionslinien
- Steuerungshersteller, Leitsysteme, MES und wie sie heute ans Büronetz angebunden sind
- welche Hersteller per Fernwartung zugreifen und wie
- Anforderungen von Kunden: TISAX-Level, Fragebögen, Vertragsklauseln
- Status der Registrierung beim BSI