NIS2 in der Branche Maschinenbau

Kaum eine Branche wurde von NIS2 so überrascht wie der deutsche Maschinenbau. Die Erwartung war, dass Cybersicherheitsregulierung Energieversorger und Krankenhäuser trifft. Tatsächlich nennt Anlage 2 des NIS2UmsuCG den Maschinenbau ausdrücklich — und macht damit einen erheblichen Teil des Mittelstands zur wichtigen Einrichtung.

Sind Sie betroffen?

Drei Punkte entscheiden:

• Sektor: Maschinenbau steht in Anlage 2, Sektor 16 (Verarbeitendes Gewerbe). Die Zugehörigkeit ist damit unstrittig.
• Größe: ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz und 10 Mio. Euro Bilanzsumme. Bei Konzernstrukturen zählen verbundene Unternehmen mit — die kleine Spezialmaschinen-Tochter einer Gruppe ist meist betroffen.
• Einstufung: Anlage-2-Sektoren sind immer wichtige Einrichtungen, nie besonders wichtige. Das bedeutet reaktive Aufsicht und einen Bußgeldrahmen bis 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes.

Die Lücken, die im Maschinenbau typisch sind

Produktionsnetz und Büro-IT sind nicht getrennt. Gewachsene Werkshallen laufen häufig im selben flachen Netz wie die Verwaltung. Ein kompromittierter Büro-Client erreicht dann die Steuerung. Netzsegmentierung zahlt direkt auf § 30 Abs. 2 BSIG ein und ist meist die wirksamste einzelne Maßnahme.

Fernwartungszugänge von Lieferanten ohne Kontrolle. Steuerungshersteller, Integratoren und Servicepartner haben oft dauerhafte Zugänge, teils mit geteilten Konten. Ohne Multi-Faktor-Authentifizierung, Protokollierung und zeitliche Begrenzung ist das gleichzeitig ein Befund im Bereich Zugriffskontrolle und in der Lieferkettensicherheit.

Maschinen mit End-of-Life-Betriebssystemen. Eine Anlage mit 20 Jahren Nutzungsdauer läuft auf Software, für die es seit Jahren keine Patches gibt. NIS2 verlangt nicht den Austausch, aber eine dokumentierte kompensierende Maßnahme — typischerweise Isolierung des Segments und strikte Zugriffskontrolle.

Kein geprobter Wiederanlauf. Backups existieren meist. Ob die Produktion nach einem Ransomware-Vorfall in vertretbarer Zeit wieder anläuft, hat selten jemand getestet. § 30 BSIG verlangt ausdrücklich Aufrechterhaltung des Betriebs und Krisenmanagement.

Konstruktionsdaten ohne Schutzkonzept. CAD-Daten und Fertigungsparameter sind der Kern des Unternehmenswerts, liegen aber häufig auf Fileservern mit weitgehend offenen Berechtigungen.

Ein realistisches Szenario

Ein Zulieferer mit 180 Beschäftigten wird über einen Phishing-Anhang in der Auftragsabwicklung kompromittiert. Da Büro- und Produktionsnetz nicht getrennt sind, erreicht die Verschlüsselung auch die Fertigungssteuerung. Die Produktion steht.

Damit laufen mehrere Uhren gleichzeitig: 24 Stunden bis zur Frühwarnung ans BSI, 72 Stunden bis zur Meldung, parallel die 72-Stunden-Frist nach Art. 33 DSGVO, falls Personaldaten betroffen sind. Und die Kunden fragen nach — im Automotive-Umfeld oft binnen Stunden, weil deren eigene Lieferkettenpflichten daran hängen.

Der Lieferketten-Effekt: betroffen ohne betroffen zu sein

Auch unterhalb der Schwellenwerte kommt NIS2 an. Betroffene Kunden müssen nach § 30 Abs. 2 BSIG die Sicherheit ihrer Lieferkette steuern und geben Anforderungen vertraglich weiter: Sicherheitsnachweise, Meldepflichten bei Vorfällen, teils Auditrechte. Ein Betrieb mit 40 Beschäftigten, der für einen großen OEM fertigt, bekommt diese Fragebögen unabhängig von der eigenen Betroffenheit — und liefert damit faktisch NIS2-Nachweise.

Womit anfangen

Klären Sie zuerst die Betroffenheit und dokumentieren Sie das Ergebnis. Danach: BSI-Registrierung, Meldeprozess mit erreichbarer Kontaktstelle, dann die Gap-Analyse über alle zehn Maßnahmenbereiche. Erst danach lohnt die Diskussion über Technik — sonst investieren Sie in den falschen Bereich.

Die zehn Maßnahmenbereiche, übersetzt in den Maschinenbau

§ 30 BSIG nennt zehn Bereiche. In der Praxis sehen sie im Maschinenbau so aus:

Risikoanalyse und Sicherheitskonzepte. Die Risikobetrachtung muss die Fertigung einschließen, nicht nur die Büro-IT. Nehmen Sie Steuerungen, Fertigungsleitsysteme, Prüfstände und Fernwartungszugänge in den Betrachtungsumfang auf. Die häufigste Lücke ist nicht die fehlende Analyse, sondern eine Analyse, die an der Werkshallentür endet.

Bewältigung von Sicherheitsvorfällen. Wer entscheidet nachts um zwei, ob die Fertigung heruntergefahren wird? Im Maschinenbau ist das keine IT-Entscheidung, sondern eine betriebliche — und muss vorab mit Kriterien und Zuständigkeiten hinterlegt sein.

Aufrechterhaltung des Betriebs und Backup. Kritisch sind nicht nur Server, sondern Steuerungsprogramme, Werkzeugkorrekturdaten und Maschinenparameter. Diese liegen häufig ausschließlich auf der Maschine. Ein Backup-Konzept, das SPS-Programme und Parametersätze auslässt, hilft beim Wiederanlauf nicht.

Sicherheit der Lieferkette. Betrifft zwei Richtungen: die Zugänge Ihrer Lieferanten zu Ihren Anlagen und die Anforderungen, die Ihre Kunden an Sie stellen. Beides gehört vertraglich geregelt und nachgehalten.

Sicherheit bei Beschaffung und Wartung. Der wirksamste Hebel liegt im Einkauf: Sicherheitsanforderungen in die Lastenhefte für neue Anlagen aufnehmen. Was heute beschafft wird, steht in 20 Jahren noch in der Halle.

Wirksamkeitsprüfung. Ein jährlicher Review plus anlassbezogene Prüfungen nach Vorfällen oder größeren Umbauten. Dokumentieren Sie Datum, Ergebnis und abgeleitete Maßnahmen.

Cyberhygiene und Schulungen. In der Fertigung braucht es andere Inhalte als in der Verwaltung: USB-Sticks an Maschinen, Umgang mit Servicetechnikern, Meldeweg bei auffälligem Anlagenverhalten.

Kryptografie. Priorität haben Konstruktionsdaten und der Datenaustausch mit Kunden und Lieferanten, nicht die flächendeckende Verschlüsselung jeder Datei.

Personalsicherheit und Zugriffskontrolle. Der Klassiker sind geteilte Konten an Maschinenterminals. Wo personalisierte Anmeldung am Terminal praktisch nicht funktioniert, braucht es eine dokumentierte kompensierende Maßnahme.

Multi-Faktor-Authentifizierung. Beginnen Sie bei Fernzugängen, VPN und administrativen Konten. Fernwartungszugänge ohne zweiten Faktor sind der am häufigsten dokumentierte Befund im Maschinenbau.

Die ersten 90 Tage

Tage 1 bis 14. Betroffenheit prüfen und schriftlich festhalten. Verantwortliche Person benennen, Mandat und Berichtsweg zur Geschäftsführung klären. BSI-Registrierung starten. Kontaktstelle als Funktionspostfach mit Rufbereitschaft einrichten.

Tage 15 bis 45. Gap-Analyse über alle zehn Bereiche, ausdrücklich mit der Fertigung im Betrachtungsumfang. Parallel die schnellen Maßnahmen: Multi-Faktor-Authentifizierung für alle Fernzugänge, Inventur der Lieferantenzugänge, Abschaltung nicht mehr benötigter Zugänge.

Tage 46 bis 90. Maßnahmenplan mit Verantwortlichen und Terminen. Netztrennung zwischen Fertigung und Verwaltung planen — das ist selten in 90 Tagen umsetzbar, aber der Plan muss stehen. Wiederanlauf einmal praktisch testen, inklusive Rückspielen eines SPS-Programms. Geschäftsführungsschulung durchführen und dokumentieren.

Häufige Fragen aus dem Maschinenbau

Wir haben 60 Beschäftigte und liefern nur an deutsche Kunden. Betrifft uns das wirklich?

Ja. Die Schwelle liegt bei 50 Beschäftigten, der Maschinenbau steht ausdrücklich in Anlage 2, und der Absatzmarkt spielt für die Betroffenheit keine Rolle. Maßgeblich ist die Niederlassung in Deutschland.

Unsere Maschinen laufen auf Windows-Versionen ohne Support. Müssen wir alles austauschen?

Nein. NIS2 verlangt verhältnismäßige Maßnahmen, keinen Neukauf. Erforderlich ist eine dokumentierte Risikoentscheidung mit kompensierenden Maßnahmen — typischerweise Segmentierung, restriktive Zugriffskontrolle und Überwachung des Segments.

Wer haftet, wenn ein Zulieferer der Auslöser war?

Die Pflichten treffen Sie. Nach § 30 Abs. 2 BSIG müssen Sie die Sicherheit Ihrer Lieferkette steuern, also Anforderungen vertraglich vereinbaren und deren Einhaltung nachhalten. Ein Vorfall über einen Lieferantenzugang entlastet Sie deshalb nicht — die Aufsicht wird fragen, wie dieser Zugang abgesichert war.

Aufwand und Nachweise: was realistisch auf Sie zukommt

Personalaufwand. Der größte Posten ist interne Zeit, nicht externe Rechnung. Für einen Betrieb mit 100 bis 300 Beschäftigten sind in der Anfangsphase erfahrungsgemäß 0,3 bis 0,5 Personenstellen über vier bis sechs Monate realistisch, verteilt auf IT-Leitung, Fertigungsleitung und Qualitätsmanagement. Danach sinkt der Aufwand auf einen dauerhaften Anteil für Pflege, Wirksamkeitsprüfung und Schulungen.

Technische Investitionen. Netzsegmentierung zwischen Fertigung und Verwaltung ist im Maschinenbau die teuerste Einzelmaßnahme, weil sie in bestehende Anlagen eingreift und Stillstandszeiten braucht. Multi-Faktor-Authentifizierung, Härtung der Fernwartungszugänge und ein geprüftes Backup-Konzept sind vergleichsweise günstig und wirken sofort.

Was die Aufsicht typischerweise sehen will. Rechnen Sie damit, dass folgende Nachweise angefragt werden: die dokumentierte Betroffenheitseinstufung, die Risikoanalyse mit Fertigung im Betrachtungsumfang, das Ergebnis der letzten Wirksamkeitsprüfung mit Datum, eine Liste der Fernwartungszugänge mit Absicherung, der Nachweis der Geschäftsführungsschulung und der Beleg eines durchgeführten Wiederherstellungstests.

Der häufigste Streitpunkt: Verhältnismäßigkeit. Sie dürfen begründen, warum eine Maßnahme in Ihrem Betrieb nicht angemessen ist. Diese Begründung muss aber dokumentiert, datiert und von der Geschäftsleitung freigegeben sein. Ein nicht umgesetzter Punkt ohne Begründung ist ein Befund; einer mit nachvollziehbarer Begründung ist eine Entscheidung.

Was Sie sich sparen können. Eine ISO-27001-Zertifizierung ist für NIS2 nicht erforderlich. Sie hilft, wenn Kunden sie ohnehin verlangen, verursacht aber Aufwand, der über die gesetzliche Pflicht hinausgeht. Wer nur NIS2 erfüllen muss, kommt mit einer strukturierten Umsetzung ohne Zertifikat aus.