NIS2 Maschinenbau: Pflichten für Hersteller und OT-Sicherheit

Hauptartikel: NIS2-Leitfaden — Betroffenheit, Pflichten, Bußgelder und Roadmap im Überblick. Alle Beiträge zum Thema stehen im NIS2-Wissensbereich.

Der Maschinen- und Anlagenbau steht in Anhang II der NIS-2-Richtlinie unter den sonstigen kritischen Sektoren. Zwei Zuordnungen werden oft verwechselt: Hersteller von Medizinprodukten und In-vitro-Diagnostika gehören zum verarbeitenden Gewerbe (Anhang II Nr. 5 Buchst. a); dem Gesundheitswesen in Anhang I sind nur Hersteller von Medizinprodukten zugeordnet, die während einer Notlage der öffentlichen Gesundheit als kritisch eingestuft sind. Hersteller von Stromversorgungs-Komponenten fallen unter NACE C27 (Anhang II Nr. 5 Buchst. c), nicht unter den Sektor Energie, der Betreiber und Versorger erfasst, aber keine Komponentenhersteller. Wer Maschinendaten als Cloud-Computing-Dienst für Kunden betreibt, kann zusätzlich unter die Digitale Infrastruktur fallen (Anhang I Nr. 8; dazu NIS2 für Cloud-Provider).

1. Ist Maschinenbau NIS2-pflichtig?

Ja, ab einer bestimmten Größe. Anhang II Nr. 5 der NIS-2-Richtlinie nennt den Sektor „Verarbeitendes Gewerbe/Herstellung von Waren“ mit sechs Teilsektoren; Anlage 2 Nr. 5 BSIG übernimmt diese Liste für Deutschland. Der Maschinenbau im engeren Sinn ist der Teilsektor d.

Schwellenwerte: wann gilt die NIS-2-Pflicht?

Der deutsche Begriff ist „besonders wichtige Einrichtung“; „wesentliche Einrichtung“ ist der Begriff der Richtlinie und des österreichischen Rechts. Für die Größenbestimmung gilt die Empfehlung 2003/361/EG ohne Art. 3 Abs. 4 ihres Anhangs. Daten von Partner- oder verbundenen Unternehmen werden aber nicht hinzugerechnet, wenn das Unternehmen bei Beschaffenheit und Betrieb seiner informationstechnischen Systeme von ihnen unabhängig ist (§ 28 Abs. 4 BSIG). Für Mischbetriebe wichtig: Geschäftstätigkeiten, die gemessen an der gesamten Tätigkeit vernachlässigbar sind, können bei der Zuordnung unberücksichtigt bleiben (§ 28 Abs. 3 BSIG). Eine größenunabhängige Sonderregel für das verarbeitende Gewerbe gibt es nicht; größenunabhängig erfasst sind unter den Unternehmen daneben nur Betreiber kritischer Anlagen sowie bestimmte Vertrauensdienste-, DNS-, Registry- und Telekommunikationsanbieter.

Klassifizierung im Detail: wichtige Einrichtung, NIS2 für Unternehmen mit 50–100 Mitarbeitern und NIS2-Umsetzung Deutschland.

2. OT-Security-Besonderheiten: SPS, SCADA, Industrial IoT

§ 30 Abs. 1 BSIG unterscheidet nicht zwischen Büro-IT und Produktion. Die Maßnahmen sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der Systeme, Komponenten und Prozesse vermeiden, die die Einrichtung für ihre Dienste nutzt. Die Richtlinie zählt zu den Netz- und Informationssystemen jedes Gerät, das auf der Grundlage eines Programms digitale Daten automatisch verarbeitet (Art. 6 Nr. 1 Buchst. b). OT-Systeme verlangen allerdings andere Prioritäten als Office-IT:

Typische OT-Schwachstellen im Maschinenbau

• Steuerungen mit Standard-Passwörtern oder unverschlüsselten Engineering-Protokollen
• Fernwartungszugänge ohne Multi-Faktor-Authentifizierung
• Flache Netze ohne Trennung zwischen Büro-IT und Produktion
• Bediengeräte mit Betriebssystemen ohne Herstellerunterstützung
• USB-Sticks als Weg für Updates und Konfigurationen
• OT-Geräte ohne Protokollierung und Überwachung

Empfohlene OT-Sicherheitsmaßnahmen

1. Segmentierung: Zonen und Übergänge (Conduits) nach der Normenreihe IEC 62443 zwischen Büro-IT, MES und Produktion (§ 30 Abs. 2 Nr. 9 BSIG: Verwaltung von IKT-Systemen)
2. OT-Inventar: alle Steuerungen, Bediengeräte und Sensoren mit Firmware-Stand erfassen; Grundlage ist ein vollständiges Asset Inventory
3. Schwachstellenmanagement: Sicherheitshinweise der Komponentenhersteller auswerten und Updates in Wartungsfenstern einplanen (§ 30 Abs. 2 Nr. 5 BSIG)
4. Überwachung: Anomalie-Erkennung über passive Sensoren, die den Produktionsverkehr nicht stören
5. Fernzugriff: Sprungserver, Multi-Faktor-Authentifizierung, Freigabe und Aufzeichnung jeder Sitzung (§ 30 Abs. 2 Nr. 10 BSIG)
6. Sichere Inbetriebnahme: Härtungs-Checklisten je Maschinentyp

Leittechnik und SCADA aus Sicht der Versorger behandelt der Beitrag NIS2 in der Energieversorgung.

3. Cyber Resilience Act + NIS2: Wechselwirkung

Maschinenbauer mit vernetzten Produkten haben es mit zwei Regelungsebenen zu tun. NIS2 knüpft an das Unternehmen als Einrichtung an. Die Verordnung (EU) 2024/2847 vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyber Resilience Act, CRA) knüpft an das Produkt an, das in Verkehr gebracht wird.

Termine, Herstellerpflichten, Konformitätsbewertung und Sanktionen des CRA ergeben sich aus dem Verordnungstext auf EUR-Lex (Quellen unten). Praktisch lohnt eine gemeinsame Linie: Ein Schwachstellenprozess, der die eigenen Systeme nach § 30 Abs. 2 Nr. 5 BSIG abdeckt, lässt sich auf die eigenen Produkte erweitern. Den Ausblick auf den CRA gibt der Beitrag Compliance-Zukunft 2027/28.

Ein dritter Strang ist die Maschinenverordnung (EU) 2023/1230 vom 14. Juni 2023. Sie ist seit der Änderung durch die Verordnung (EU) 2026/1744 in Anhang I Abschnitt B der KI-Verordnung aufgeführt. Für Hochrisiko-KI-Systeme im Zusammenhang mit Maschinen gelten danach nur Art. 6 Abs. 1, Art. 60a und Art. 102 bis 112 KI-VO unmittelbar (Art. 2 Abs. 2 KI-VO). Die Verzahnung erklärt der Beitrag AI Act und Robotik.

4. Lieferkette: was im Maschinenbau dazukommt

§ 30 Abs. 2 Nr. 4 BSIG (Art. 21 Abs. 2 Buchst. d NIS-2-Richtlinie) verlangt Maßnahmen zur Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Das allgemeine Vorgehen — Inventar, Klassifizierung, Vertragsklauseln, Prüfung, Wiederholung — steht im Beitrag NIS2 Lieferkette absichern; einen fertigen Fragenkatalog bietet der Lieferanten-Audit-Fragebogen. Für Maschinenbauer kommen vier Punkte hinzu:

• Komponentenherkunft: Elektronik, Sensorik und Steuerungssoftware stammen oft von Lieferanten außerhalb der EU und des EWR. Die Risikobewertung sollte Herkunft und Ersetzbarkeit einbeziehen.
• Fernwartungs-Dienstleister: Das IT-Grundschutz-Kompendium des BSI verlangt im Baustein IND.2.4 eine zentrale Fernwartungs-Richtlinie und eine Vereinbarung, wie Dienstleister die in der Maschine gespeicherten Informationen verwerten dürfen (IND.2.4.A1).
• Betrieb nach der Gewährleistung: Unterstützungsleistungen über die Gewährleistung hinaus vertraglich sichern (IND.2.4.A2).
• Ausstiegsplan: Mehrfachbezug, Bevorratung kritischer Komponenten und qualifizierte Alternativlieferanten; bei kritischen Komponenten kann eine Präferenz für Lieferanten aus EU und EWR die Prüfung vor Ort erleichtern.

5. Konkrete Maßnahmen-Liste für Maschinenbauer

Die Monatsangaben sind Praxiswerte, keine gesetzlichen Fristen. Die zehn Bereiche des § 30 Abs. 2 BSIG zeigt die Übersichtstabelle; die Zuordnung zu ISO 27001 steht unter § 30 BSIG: 10 Pflichtmaßnahmen.

Phase 1: Bestandsaufnahme (Monate 1–2)

• Sektor und Größe prüfen und dokumentieren (Anlage 2 Nr. 5 und § 28 BSIG)
• Registrierung beim BSI über die gemeinsame Registrierungsmöglichkeit von BSI und BBK, spätestens drei Monate nach Eintritt der Einrichtungseigenschaft (§ 33 Abs. 1 BSIG); das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist. Änderungen sind unverzüglich, spätestens binnen zwei Wochen ab Kenntnis nachzumelden (§ 33 Abs. 5 BSIG; nach § 66 BSIG vorerst in der bis 28. Juli 2026 geltenden Fassung, die dieselbe Frist enthält).
• Asset-Inventar für IT und OT
• Lieferanten-Inventar mit Kritikalität
• Vorhandene Nachweise sichten (ISO 27001, IEC 62443, TISAX)

Phase 2: Risikomanagement (Monate 3–4)

• Risikoanalyse für IT und OT, etwa nach BSI-Standard 200-3 oder ISO/IEC 27005 (§ 30 Abs. 2 Nr. 1 BSIG)
• Risikoregister mit Maßnahmenplan
• Geschäftsleitung: Maßnahmen umsetzen und die Umsetzung überwachen (§ 38 Abs. 1), Haftung gegenüber der Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts (Abs. 2), regelmäßige Schulung (Abs. 3); Einzelheiten im Beitrag § 38 BSIG GF-Haftung

Phase 3: Technische Umsetzung (Monate 5–9)

• Multi-Faktor-Authentifizierung für privilegierte Zugänge in IT und Engineering (§ 30 Abs. 2 Nr. 10 BSIG)
• Segmentierung von IT und OT nach der Normenreihe IEC 62443
• Backup-Konzept einschließlich OT: SPS-Programme, Rezepte, Parameter (§ 30 Abs. 2 Nr. 3 BSIG)
• Patch-Management mit OT-Wartungsfenstern (§ 30 Abs. 2 Nr. 5 BSIG)
• Protokollierung und Überwachung der OT über passive Sensoren
• Härtung der Engineering-Arbeitsplätze

Phase 4: Organisatorische Umsetzung (Monate 6–10)

• Informationssicherheitsleitlinie und Rollenmatrix
• Incident-Response-Plan mit OT-Eskalation und Szenarien für Produktionsstillstand; Meldungen an die gemeinsame Meldestelle von BSI und BBK binnen 24 Stunden, 72 Stunden und einem Monat (§ 32 Abs. 1 BSIG), frühestens ab Einrichtung des Meldewegs; Ablauf im Beitrag NIS2-Meldewege
• BCM mit Wiederanlaufkonzepten für die Produktion (§ 30 Abs. 2 Nr. 3 BSIG); dazu BCM nach NIS2
• Schulung und Sensibilisierung für Büro und Werk (§ 30 Abs. 2 Nr. 7 BSIG)
• Vertiefung für das Engineering-Personal zur OT-Sicherheit

Phase 5: Wirksamkeit prüfen (ab Monat 9)

• Interne Audits je Maßnahmenbereich und Kennzahlen (§ 30 Abs. 2 Nr. 6 BSIG)
• Planspiel mit Produktionsszenario
• Externe Zertifizierung nach ISO 27001 oder IEC 62443 als freiwillige Option

Das NIS2-Kit enthält 72 Word-, Excel- und PowerPoint-Vorlagen in der Fassung für Deutschland (BSIG) oder Österreich (NISG 2026), darunter Scope-Assessment, Sektorklassifikation, Asset-Inventar, Meldevorlagen, Lieferanten-Fragebogen, Risiko-Scoring, Vertragsklauseln sowie Gap-Mappings zu ISO 27001 und BSI-Grundschutz. OT-spezifische Inhalte wie Zonenmodelle ergänzen Sie selbst. Pakete: Basis mit 66 Dokumenten für 990 €, Plus mit Schulungs-Pack und Teilnahmenachweis für 1.390 €, Komplett mit E-Learning als HTML und SCORM 1.2/2004 für 1.690 €, jeweils netto und einmalig, mit 12 Monaten Rechtsstand-Updates. Das Cybersecurity Awareness E-Learning gibt es einzeln ab 490 € netto.

6. Standards und Orientierungshilfen für OT

Nach § 30 Abs. 2 BSIG sollen die Maßnahmen den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen. Für den Maschinenbau sind das vor allem:

• IEC 62443: Normenreihe für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme, mit Teilen für Betreiber, Dienstleister und Komponentenhersteller
• IT-Grundschutz-Kompendium des BSI (Edition 2023), Schicht IND: IND.1 Prozessleit- und Automatisierungstechnik, IND.2.2 Speicherprogrammierbare Steuerung (SPS), IND.2.4 Maschine, IND.3.2 Fernwartung im industriellen Umfeld
• ICS-Security-Kompendium des BSI: Testempfehlungen und Anforderungen für Herstellende von Komponenten
• ISO/IEC 27001: übergreifendes ISMS für Büro-IT und Organisation; zum Aufbau ISMS nach NIS2 aufbauen

7. Schutz von Konstruktionsdaten und Steuerungs-Software

Im Maschinenbau liegt das wertvollste Asset oft nicht in der Office-IT, sondern im Know-how:

• CAD-Konstruktionsdaten: Ablagen mit Multi-Faktor-Authentifizierung, Backup und Versionsverwaltung mit Änderungsprotokoll
• NC-Programme und Werkzeugbahnen: häufig auf USB-Sticks oder offenen Netzlaufwerken; Verschlüsselung im Ruhezustand und Zugriffsprotokollierung (§ 30 Abs. 2 Nr. 8 und 9 BSIG)
• Steuerungs-Software und SPS-Projekte: Quellcode-Ablagen mit Code-Signierung, geschützten Zweigen und Review-Pflicht
• Maschinendaten, Rezepte, Kalibrierungen: Backup und Wiederanlaufverfahren
• Daten beim Kunden: Maschinen mit Fernwartungsanbindung; Schutzmaßnahmen und Nutzungsrechte vertraglich festlegen

Ein Geschäftsgeheimnis im Sinne des Geschäftsgeheimnisgesetzes liegt nur vor, wenn die Information Gegenstand angemessener Geheimhaltungsmaßnahmen ist (§ 2 Nr. 1 Buchst. b GeschGehG). Diese Maßnahmen überschneiden sich mit der NIS2-Risikoanalyse, sollten aber gesondert dokumentiert werden.

Österreich: Maschinenbau unter dem NISG 2026

Österreich (AT): Das BSIG gilt nur in Deutschland. In Österreich gilt das NISG 2026 (BGBl. I Nr. 94/2025); seine §§ 2 bis 45 und die Anlagen sind seit 1. Oktober 2026 in Kraft (§ 51 Abs. 2). Das verarbeitende Gewerbe steht in § 2 Z 16 und in Anlage 2. Mittlere und große Unternehmen einer Anlage-2-Art sind wichtige Einrichtungen (§ 24 Abs. 2); mittleres Unternehmen ist, wer mindestens 50 Mitarbeiter beschäftigt oder über 10 Mio. EUR Jahresumsatz und über 10 Mio. EUR Jahresbilanzsumme erreicht (§ 25 Abs. 3). Zuständig ist das Bundesamt für Cybersicherheit.

Mehr dazu im Beitrag NIS2 Österreich (NISG 2026).