NIS2 in der Produktion: OT-Sicherheit nachweisbar machen

NIS2 OT-Sicherheit in der Produktion ist seit dem 6. Dezember 2025 gesetzliche Pflicht. Das NIS2-Umsetzungsgesetz hat an diesem Tag das BSI-Gesetz ohne Übergangsfrist geändert, und seither zählen Produktionsnetze ausdrücklich zu den Systemen, für die Unternehmen Sicherheit nachweisen müssen.

Für Werksleitung und Instandhaltung ändert das die Reihenfolge der Prioritäten. Bisher war Netzsegmentierung ein Qualitätsmerkmal guter Produktions-IT. Jetzt ist sie, zusammen mit einem lückenlosen Asset-Inventar, eine Voraussetzung dafür, im Ernstfall überhaupt melden zu können, was passiert ist.

Wer unter das NIS2-Umsetzungsgesetz fällt

Das Gesetz unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. In die erste Kategorie fallen etwa Energieversorger, Wasserwirtschaft und Verkehrsbetriebe. Für das verarbeitende Gewerbe, das als sonstiger kritischer Sektor erfasst ist, liegt die Schwelle niedriger: Betriebe ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz gelten in der Regel als wichtige Einrichtung, sofern der Sektor vom BSI erfasst ist.

Die Zahl der betroffenen Organisationen in Deutschland ist damit von rund 4.500 unter dem alten IT-Sicherheitsgesetz auf rund 29.500 gestiegen. Wer bereits beim Inkrafttreten am 6. Dezember 2025 zu diesem Kreis zählte, musste sich bis zum 6. März 2026 beim BSI registrieren. Für alle, die die Schwellen erst später überschreiten, läuft dieselbe Dreimonatsfrist ab dem Zeitpunkt, an dem die Einrichtung erstmals als betroffen gilt.

Was NIS2 OT-Sicherheit in der Produktion konkret bedeutet

OT-Systeme ticken anders als klassische IT. In der Produktion steht Verfügbarkeit vor Vertraulichkeit, ein stillstehender Ofen oder eine unterbrochene Linie kostet sofort Geld. Ein Sicherheitsupdate, das auf einem Büro-PC über Nacht läuft, kann eine Steuerung zum Absturz bringen. Viele Bestandsanlagen laufen ohnehin auf Betriebssystemen ohne verfügbare Patches.

NIS2 verlangt trotzdem Risikomanagementmaßnahmen nach dem Stand der Technik, und der etablierte Referenzrahmen dafür ist die Normenreihe IEC 62443. Sie beschreibt Sicherheitszonen und kontrollierte Übergänge zwischen ihnen, angelehnt an das Purdue-Modell. Praktisch heißt das: Office-Netz und Produktionsnetz gehören physisch oder logisch getrennt, Fernwartung läuft über einen abgesicherten Übergabepunkt, und direkte Internetzugänge aus dem Produktionsnetz haben nichts zu suchen. Zugriffe auf Steuerungen sollten zusätzlich nur mit Mehrfaktor-Authentifizierung über einen protokollierten Jump-Server erfolgen, nicht per geteiltem Passwort direkt aus dem Büronetz.

Ein vollständiges Asset-Register ist die Grundlage für NIS2 OT-Sicherheit. Ohne Übersicht, welche Steuerung mit welcher Firmware wo im Netz hängt, lässt sich weder ein Patchstand bewerten noch im Ernstfall eingrenzen, was betroffen ist. Genau hier entsteht in vielen Betrieben die größte Lücke, weil IT-Inventare gepflegt werden und OT-Inventare nicht.

Meldepflichten und die Fristen dahinter

Wo früher eine einstufige Meldung genügte, gilt jetzt ein dreistufiges Melderegime. Eine Frühwarnung muss binnen 24 Stunden nach Kenntnisnahme beim BSI eingehen, eine detailliertere Meldung binnen 72 Stunden folgt, und ein Abschlussbericht mit Ursachenanalyse und Abhilfemaßnahmen ist spätestens nach einem Monat fällig. Das BSI folgt dabei dem Grundsatz Schnelligkeit vor Vollständigkeit, fehlende Details werden nachgereicht.

Diese Fristen lassen sich nicht improvisieren. Wer das erst im Vorfall klärt, wer einen Vorfall erkennt und wer die Meldung verfasst, verliert wertvolle Stunden. Ein dokumentierter Ablaufplan mit klaren Zuständigkeiten für IT und OT gemeinsam ist deshalb Teil der Nachweispflicht.

Geschäftsleitungshaftung nach Paragraf 38 BSIG

Der unterschätzte Teil des Gesetzes betrifft die Geschäftsführung selbst, nicht die IT-Abteilung. Nach Paragraf 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen, um Risiken selbst einschätzen zu können. Diese Schulungspflicht ist ausdrücklich nicht delegierbar. Ein IT-Leiter kann diese Teilnahme nicht übernehmen.

Verletzt die Geschäftsleitung diese Pflichten schuldhaft, haftet sie der eigenen Einrichtung nach den Regeln des jeweiligen Gesellschaftsrechts, bei einer GmbH also nach Paragraf 43 GmbHG. Das ist eine Innenhaftung gegenüber dem eigenen Unternehmen, kein direkter Anspruch Dritter, sie kann aber das Privatvermögen betreffen. Getrennt davon stehen die Bußgelder für die Einrichtung selbst, gestaffelt bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen.

Nachweisbarkeit braucht Daten aus dem Monitoring

NIS2 OT-Sicherheit braucht Daten als Beleg. Ein Prüfer des BSI fragt im Zweifel nicht, ob ein Betrieb Netzsegmentierung für richtig hält, sondern verlangt den Netzplan, die Firewall-Regeln und das Datum des letzten Patches auf einer konkreten Steuerung. Genau diese Nachweise entstehen nicht durch eine Absichtserklärung, sondern durch laufendes Anlagenmonitoring, das Zustände protokolliert statt sie nur zu behaupten.

Wer ohnehin ein System aufbaut, das Maschinendaten für Verfügbarkeits- und Leistungskennzahlen erfasst, hat damit häufig schon die halbe Infrastruktur für ein OT-Asset-Inventar. Die andere Hälfte ist die Trennung der Netze, über die diese Daten fließen. Dieselbe Datenstrecke liefert oft nebenbei die Grundlage für Energiemonitoring, weil Verbrauchs- und Zustandsdaten meist über dieselben Pfade laufen. Zugriffsrechte auf Maschinendaten und Sicherheitsanforderungen gehören deshalb in dieselbe Planung.

Häufige Fragen

Ab wann gilt NIS2 für Fertigungsunternehmen?

Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Wer zu diesem Zeitpunkt bereits die Schwellenwerte erfüllte, musste sich bis zum 6. März 2026 beim BSI registrieren. Wer die Schwellen erst später überschreitet, hat ab diesem Zeitpunkt drei Monate Zeit für die Registrierung. Die materiellen Pflichten gelten unmittelbar mit dem Erreichen der Schwelle, unabhängig davon, ob die Registrierung selbst schon abgeschlossen ist. Maßgeblich für den Fristbeginn ist damit das tatsächliche Überschreiten der Schwelle, nicht der Zeitpunkt der Registrierung. Die Einstufung im Einzelfall gehört zu Rechtsabteilung oder Kanzlei.

Zählt eine Produktionssteuerung ohne Internetanschluss auch als OT-System nach NIS2?

Ja, wenn sie Teil der Netz- und Informationssysteme der Einrichtung ist. NIS2 unterscheidet nicht danach, ob ein System direkt mit dem Internet verbunden ist, sondern danach, ob es für den Betrieb relevant ist. Eine isolierte Steuerung ohne jede Vernetzung fällt zwar nicht unter die klassischen Netzwerk-Maßnahmen, muss aber in der Risikoanalyse und im Asset-Inventar trotzdem auftauchen. Fällt sie später aus oder wird sie manipuliert, ist das im Zweifel trotzdem ein meldepflichtiger Sicherheitsvorfall, weil die Auswirkung auf die Produktion zählt, nicht der Übertragungsweg.

Kann die Geschäftsführung die NIS2-Verantwortung an die IT-Abteilung delegieren?

Operative Aufgaben lassen sich delegieren, die Verantwortung nicht. Paragraf 38 BSIG verpflichtet die Geschäftsleitung persönlich zur Billigung und Überwachung der Risikomanagementmaßnahmen sowie zur eigenen, nicht delegierbaren Teilnahme an Schulungen. „Das macht die IT schon“ reicht als Nachweis bei einer BSI-Prüfung ausdrücklich nicht aus. Verletzt die Geschäftsleitung ihre Überwachungspflicht schuldhaft, haftet sie im Innenverhältnis der eigenen Einrichtung, unabhängig davon, wie gut die IT-Abteilung operativ aufgestellt ist.

torck baut seit Jahren Datenstrecken von der Steuerung bis ins Dashboard und kennt damit beide Seiten der NIS2-Anforderung an OT-Sicherheit in der Produktion: die technische Anbindung und die Dokumentation, die ein Audit verlangt. Unsere Entwicklungsteams in Maxhütte-Haidhof, Wien und Rabat arbeiten mit einem Vertrag nach deutschem Recht mit der deutschen torck GmbH und einem deutschsprachigen Ansprechpartner, ohne die Reibungsverluste einer Subunternehmerkette. Wenn Sie prüfen wollen, wie sich Netzsegmentierung, Asset-Inventar und Nachweisführung in einem gemeinsamen Anlagenmonitoring zusammenführen lassen, sprechen Sie mit uns.

Gespräch vereinbaren