NIS2 für Maschinenbau und Produktion: OT-Sicherheit und Umsetzungsleitfaden für ~40.000 KMU

Zum BSI-Registrierungsstichtag im März 2026 hatten sich nur 38,5 % der rund 29.500 direkt betroffenen Einrichtungen in Deutschland beim BSI angemeldet. Fertigungsbetriebe sind in dieser Statistik überproportional vertreten: Für Maschinenbau- und Produktionsunternehmen ist NIS2 kein reines IT-Projekt, sondern ein OT-Sicherheitsaudit, das Geschäftsführer nach §38 BSIG persönlich verantworten. Operative Technologie — SPS, SCADA, HMI — folgt anderen Sicherheitsregeln als klassische IT; das NIS2UmsuCG §30 fordert dennoch nachweisbare Maßnahmen für beide Bereiche.

Dieser Leitfaden richtet sich an Geschäftsführer, OT-Sicherheitsbeauftragte und CISO in Maschinenbau- und Produktionsbetrieben. Er erklärt, wer konkret betroffen ist, warum das Purdue-Modell der richtige Ausgangspunkt für die Netzwerksegmentierung ist und wie die zehn Maßnahmen des §30 BSIG in einer Fertigungsumgebung mit IEC 62443 praktisch umgesetzt werden.

Wer ist betroffen: Sechs Fertigungssektoren unter NIS2

Der Anwendungsbereich für das Verarbeitende Gewerbe ist in Anlage 2 des NIS2UmsuCG definiert. Fertigungsbetriebe fallen als Wichtige Einrichtungen in den Geltungsbereich, wenn sie mindestens einen der folgenden Schwellenwerte überschreiten:

• ≥ 50 Mitarbeiter (Vollzeitäquivalente), oder
• > 10 Millionen Euro Jahresumsatz und > 10 Millionen Euro Jahresbilanzsumme

Das Verarbeitende Gewerbe umfasst nach NIS2 sechs Produktionssektoren:

Sektor	NACE-Code	Beispiele
Medizinprodukte und In-vitro-Diagnostika	5.1.1	Medizinische Geräte, Diagnostika, Implantate
Datenverarbeitungsgeräte, Elektronik, Optik	C26	Computerkomponenten, Halbleiter, optische Instrumente
Elektrische Ausrüstungen	C27	Schaltanlagen, Elektromotoren, Batteriesysteme
Maschinenbau	C28	Werkzeugmaschinen, Sondermaschinen, Förderanlagen
Kraftwagen und Kraftwagenteile	C29	Automobilhersteller, Tier-1/Tier-2-Zulieferer
Sonstiger Fahrzeugbau	C30	Luft- und Raumfahrt, Schienenfahrzeuge

Rund 40.000 Industrie- und Fertigungsunternehmen müssen laut einer Marktbeobachtung der WiMo GmbH (Mai 2026) ihre Systeme im Rahmen von NIS2 und dem KRITIS-Dachgesetz auf erweitertes Resilienzniveau bringen. Allein im Maschinenbausektor (NACE C28) sind über 3.000 Unternehmen direkt betroffen. Hinzu kommt der indirekte Effekt auf KMU-Zulieferer: Wer an einen NIS2-pflichtigen Tier-1-Automobilzulieferer liefert, wird zunehmend vertraglich zur Einhaltung von NIS2-Mindeststandards verpflichtet — auch unterhalb der gesetzlichen Schwellenwerte.

Bin ich betroffen? — Schnellcheck:

• ≥ 50 Mitarbeiter in der Produktion? → Wichtige Einrichtung, §30 BSIG gilt
• Umsatz > 10 Mio. Euro in einem der Anlage-2-Sektoren? → Wichtige Einrichtung
• Zulieferer für einen KRITIS-Betreiber? → Indirekte Anforderungen über Art. 21 Abs. 2 lit. d
• Produktion für Automobil, Chemie oder Lebensmittel über KRITIS-Schwellenwert? → Doppelt betroffen (NIS2 + KRITIS-Dachgesetz)

Warum OT andere Sicherheitsregeln braucht als IT

IT-Sicherheit folgt dem CIA-Prinzip: Vertraulichkeit — Integrität — Verfügbarkeit, in dieser Reihenfolge. OT kehrt diese Priorität um: Verfügbarkeit > Integrität > Vertraulichkeit. Die Umkehr ist kein Fehler — sie folgt zwingend aus dem Produktionskontext. Eine Fabrik, die wegen eines Sicherheits-Patches drei Stunden steht, verliert mehr als durch ein Datenleck, das erst 24 Stunden später entdeckt wird. Dieses invertierte Sicherheitsparadigma macht generische IT-Sicherheitsrichtlinien in der Fertigungshalle unbrauchbar.

Drei strukturelle Herausforderungen kennzeichnen OT-Sicherheit in der Fertigung:

1. Legacy-Systeme mit 15–25-jährigen Betriebszyklen. Eine SPS, die 2005 installiert wurde, hat möglicherweise nie ein Firmware-Update erhalten — nicht wegen Nachlässigkeit, sondern weil der Hersteller ein Update erst nach 18 Monaten Qualifizierung freigibt und jeder Neustart einen mehrsttündigen Produktionsstopp bedeutet. Das NIS2UmsuCG §30 Abs. 2 fordert dennoch Patch- und Schwachstellenmanagement. Die Lösung ist nicht Schweigen, sondern dokumentierte Risikoakzeptanz mit Kompensationsmaßnahmen: Netzwerksegmentierung, Anomalie-Monitoring, zeitlich befristetes Patch-Protokoll mit Herstellerkoordination.

2. Proprietäre Protokolle ohne native Sicherheitsfunktionen. Modbus, PROFINET und EtherCAT wurden für Verfügbarkeit und Determinismus entwickelt — nicht für Authentifizierung oder Verschlüsselung. Auch OPC-UA unterstützt zwar TLS, aber viele Installationen nutzen es nicht. Eine 1:1 aus dem IT-Bereich kopierte Verschlüsselungsrichtlinie scheitert an diesen Protokollen. Art. 21 Abs. 2 lit. h verlangt eine OT-angepasste Kryptografiestrategie, die Legacy-Protokolle ohne native Verschlüsselung explizit adressiert.

3. Real-time-Anforderungen blockieren Standard-Security-Tools. Deep Packet Inspection auf einem Feldbusnetz, das in Millisekunden reagieren muss, ist keine Option: Die Latenz, die signaturbasierte Systeme verursachen, gefährdet Produktionsprozesse. IEC 62443 empfiehlt stattdessen anomaliebasierte Erkennung — Abweichungen vom normalen Kommunikationsverhalten werden erkannt, ohne den Datenfluss zu unterbrechen. Das ist die OT-geeignete Umsetzung von §30 Abs. 2 Nr. 6 (Bewertung der Wirksamkeit von Sicherheitsmaßnahmen).

Die Konsequenz dieser Lücken zeigt sich in aktuellen Schadenszahlen: 68 % aller OT-Ransomware-Angriffe weltweit richten sich gegen Fertigungsbetriebe (Dragos 2025). Das NIS2UmsuCG schließt diese Lücke gesetzlich — aber die Umsetzung erfordert OT-angepasste Dokumentation, nicht generische IT-Vorlagen.

Das Purdue-Modell als Grundlage für §30-Netzwerksegmentierung

Das Purdue-Referenzmodell teilt Produktionsnetzwerke in sechs Ebenen (Level 0–5) auf. Es bildet die Grundlage für die Netzwerksegmentierung, die §30 Abs. 2 NIS2UmsuCG als Netzwerksicherheitsmaßnahme fordert. IEC 62443 baut auf diesem Modell auf und erweitert es um einen zonenbasierten Sicherheitsrahmen mit Conduits als gesicherten Kommunikationspfaden zwischen Zonen. Einen vertiefenden Überblick über die technischen und organisatorischen Mindestanforderungen bietet der Leitfaden zu den NIS2-Sicherheitsanforderungen.

Purdue-Level	Systeme	Relevante §30-Pflicht
Level 0–1	Feldgeräte, Sensoren, Aktuatoren, SPS, RTUs	§30 Nr. 1 (Asset-Inventar), Nr. 4 (Patch mit Risikoakzeptanz)
Level 2	SCADA-Systeme, HMI-Schnittstellen, Historian	§30 Nr. 2 (Vorfallreaktion), Nr. 3 (Backup/Recovery), Nr. 5 (Zugang)
Level 3	MES, Produktionsplanung, Engineering-Workstations	§30 Nr. 1 (Risikoanalyse), Nr. 5 (Netzwerksicherheit), Nr. 6 (Wirksamkeit)
Level 3.5 (DMZ)	Firewall, Data Diode, Jumpserver, Patch-Server	§30 Nr. 5 (Netzwerksicherheit) — kritischster Kontrollpunkt
Level 4–5	ERP, Büro-IT, Cloud-Anbindung, Remote-Zugang	§30 Nr. 5 (Kopplung zur OT), Nr. 10 (MFA für Fernzugriff)

Die kritische Schwachstelle ist die DMZ auf Level 3.5: der gesicherte Übergangsbereich zwischen OT (Level 0–3) und IT (Level 4–5). Ohne funktionierende DMZ kann ein kompromittierter Büro-Rechner lateral in SCADA-Systeme eindringen. IEC 62443 geht über das starre Purdue-Schema hinaus: Zonen können Ebenen überqueren; entscheidend ist das Security Level (SL) eines Systems — seine Widerstandsfähigkeit gegen gezielte Angriffe. SL1 = einfache Schutzmechanismen; SL2 = Schutz vor gering qualifizierten Angreifern (Standard für die meisten Fertigungsbetriebe); SL3 und SL4 für Hochsicherheitsbereiche.

Conduits sind die gesteuerten Kommunikationspfade zwischen Zonen. Jeder Conduit muss authentifiziert, protokolliert und auf notwendige Kommunikationsbeziehungen beschränkt sein. Ein Fernwartungstunnel von einem Maschinenhersteller direkt in Level 1 ohne Conduit durch die DMZ ist in einer §30-konformen Architektur nicht akzeptabel.

Weiterführend für die Risikoanalyse nach IEC 62443-3-2 im Fertigungskontext: NIS2-Risikoanalyse Leitfaden.

§30 BSIG in der Fertigungsumgebung: Die zehn Maßnahmen konkret

§30 Abs. 2 NIS2UmsuCG transponiert Art. 21 Abs. 2 lit. a–j der NIS2-Richtlinie ins deutsche Recht. Für Fertigungsbetriebe bedeutet jede Maßnahme eine OT-spezifische Anforderung:

Maßnahme (Art. 21 Abs. 2)	§30-Pflicht	OT-Fertigungskontext
lit. a — Risikoanalyse	Nr. 1	OT-Asset-Inventar: alle SPS, SCADA, HMI, Historian mit Firmware-Version. Ohne Inventar keine Risikoanalyse möglich.
lit. b — Vorfallreaktion	Nr. 2	OT-Vorfallplan mit Produktionsstillstand-Entscheidungsbaum: Wann wird die Linie abgefahren? BSI-Meldeweg §32 integriert.
lit. c — Business Continuity	Nr. 3	SPS-Konfigurationsbackups automatisch und unveränderbar. RTO/RPO für OT-Systeme dokumentiert und getestet.
lit. d — Lieferkettensicherheit	Nr. 4	Vertragliche Sicherheitspflichten für Maschinenlieferanten, Wartungsdienstleister, Fernwartungszugänge.
lit. e — Netzwerksicherheit	Nr. 5	Purdue-Zonentrennung, DMZ-Konfiguration, Conduit-Regeln. Patch-Management mit Maintenance-Windows.
lit. f — Wirksamkeit	Nr. 6	Anomalie-Monitoring statt signaturbasierter Erkennung (Latenz-Constraint OT). Regelmäßige Tests der Sicherheitskontrollen.
lit. g — Cyber-Hygiene	Nr. 7	OT-spezifische Schulungen: USB-Risiken an SPS/HMI, physische Sicherheit in der Produktionshalle, sichere Fernwartung.
lit. h — Kryptografie	Nr. 8	TLS für OPC-UA-Verbindungen; Kryptografiestrategie für Legacy-Protokolle ohne native Verschlüsselung (Modbus, PROFINET).
lit. i — Zugang und Assets	Nr. 9	Least-Privilege für Engineering-Workstations; physische Zugangskontrollen zu Level 0–2; vollständiges OT-Asset-Management.
lit. j — MFA	Nr. 10	MFA für Fernwartungszugänge und SCADA-HMI. Dokumentierte Ausnahmen für Safety-Critical-Systeme, bei denen MFA Verzögerungen verursacht.

Fünf davon sind für Fertigungsbetriebe besonders kritisch:

§30 Nr. 1 — OT-Asset-Inventar als Grundlage aller weiteren Maßnahmen. Das BSI erwartet eine vollständige Liste aller SPS, SCADA, HMI, Historian-Server, Feldgeräte und Jumpserver — inklusive Firmware-Version, letztem Patch-Stand und Netzwerkanschluss. Ohne Inventar ist keine Risikobewertung möglich: Es ist nicht bekannt, was geschützt werden muss. In der Praxis fehlt das Inventar in vielen Fertigungsbetrieben für Legacy-Komponenten, die über Jahrzehnte gewachsen sind.

§30 Nr. 2 — Vorfallreaktion mit Produktionsstillstand-Entscheidungsbaum. Ein allgemeiner IT-Incident-Response-Plan ergänzt durch eine OT-Seite reicht nicht aus. Der Plan muss den Produktionsstillstand-Entscheidungsbaum enthalten: Wann wird die Linie abgefahren? Wer entscheidet das (Produktionsleiter? CISO? Geschäftsführung?) und in welcher Zeitspanne? Zum BSI-Meldeweg nach §32 NIS2UmsuCG gehört eine erste Meldung innerhalb von 24 Stunden nach Kenntnisnahme.

§30 Nr. 3 — Konfigurationsbackups für SPS und SCADA. Wenn eine SCADA-Anlage durch Ransomware verschlüsselt wird, bestimmt die Qualität des Backups, ob die Linie in Stunden oder Wochen wieder läuft. Backups müssen automatisch, unveränderbar und auf Wiederherstellbarkeit getestet sein. Recovery Time Objective (RTO) und Recovery Point Objective (RPO) für OT-Systeme müssen mit den tatsächlichen Produktionstoleranzgrenzen abgestimmt sein.

§30 Nr. 5 — Patch-Management mit Maintenance-Windows. Generische Patch-Richtlinien schreiben oft 30-Tage-Fristen vor. In OT-Umgebungen kann ein Update erst nach Herstellerqualifizierung und während eines geplanten Maintenance-Windows eingespielt werden — nicht selten mit einer Vorlaufzeit von sechs Monaten. Eine OT-spezifische Patch-Richtlinie regelt: Wer koordiniert mit dem Hersteller? Wer genehmigt das Maintenance-Window? Was passiert, wenn das Update ausbleibt (Risikoakzeptanz mit Kompensationsmaßnahme)?

Lieferkettensicherheit nach Art. 21 Abs. 2 lit. d: OT-Lieferanten und Fernwartung

Art. 21 Abs. 2 lit. d / §30 Abs. 2 Nr. 4 verpflichtet betroffene Fertigungsbetriebe, die Sicherheitsrisiken ihrer direkten Lieferanten und Dienstleister zu berücksichtigen. Im Fertigungskontext sind drei Gruppen besonders relevant:

1. Maschinenlieferanten und OEM-Hersteller. Neue Maschinen müssen mit einem Sicherheitskonzept geliefert werden. OT-Komponenten mit bekannten CVEs (Common Vulnerabilities and Exposures) brauchen entweder einen dokumentierten Patch-Plan des Lieferanten oder eine schriftliche Risikoakzeptanz. Softwarekataloge der verbauten Komponenten (SBOMs — Software Bill of Materials) werden als Best Practice für OT-Lieferanten empfohlen.

2. Wartungsdienstleister und Fernwartungszugänge. Fernwartungszugänge für SIEMENS-, Rockwell- oder Schneider-Systeme sind oft permanent aktiv — ein erheblicher Angriffsvektor. §30 Nr. 4 fordert: dokumentierte Fernwartungsfenster, Jumpserver-Protokollierung, zeitlich begrenzte Zugriffsberechtigungen und vertragliche Sicherheitspflichten für Wartungsdienstleister. Ein aktiver Fernwartungstunnel außerhalb vereinbarter Zeitfenster ist ein direktes Prüfungsrisiko.

3. Indirekter Effekt auf KMU-Zulieferer. Wer als kleines Metallverarbeitungsunternehmen an einen Tier-1-Automobilzulieferer liefert, wird zunehmend vertraglich zur Einhaltung von NIS2-Mindeststandards verpflichtet — auch unterhalb der gesetzlichen Schwellenwerte. NIS2 erzeugt so Compliance-Druck entlang der gesamten Wertschöpfungskette. Unternehmen, die heute nicht direkt betroffen sind, sollten prüfen, ob ihre wichtigsten Kunden NIS2-Einrichtungen sind und entsprechende Anforderungen weiterreichen werden.

Weiterführend: Lieferantenbewertung, Risikomatrix und Vertragsmuster für die Lieferkette beschreibt der Leitfaden NIS2 Lieferkettensicherheit.

Fristen, Meldepflichten und Bußgelder

Datum	Pflicht	Grundlage
6. Dezember 2025	NIS2UmsuCG in Kraft; alle §30-Pflichten sofort wirksam	§1 NIS2UmsuCG
6. März 2026	BSI-Registrierungsfrist für Wichtige Einrichtungen (38,5 % Compliance-Rate)	§33 NIS2UmsuCG
1. Juni 2026	BSI-Portal zweiter Schritt: zusätzliche Angaben und Ansprechpartner	BSI-Mitteilung Mai 2026
Dezember 2028	Volle BSI-Prüfkompetenz nach §39 NIS2UmsuCG	§39 NIS2UmsuCG

Meldepflichten nach §32 NIS2UmsuCG: Bei einem erheblichen Vorfall gelten drei Stufen:

• 24 Stunden nach Kenntnisnahme: Frühwarnung (ob erheblich, ob krimineller Hintergrund)
• 72 Stunden: detaillierte Meldung mit Schweregradsangabe, Angriffsvektor und ersten Maßnahmen
• 1 Monat: Abschlussbericht mit forensischer Analyse und Präventionsmaßnahmen

Bußgelder nach §65 NIS2UmsuCG: Für Wichtige Einrichtungen (Maschinenbau) gilt: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes. Zusätzlich: bis zu 100.000 Euro für versäumte Registrierung. Für Besonders Wichtige Einrichtungen (Großunternehmen ≥ 250 MA oder ≥ 50 Mio. Euro Umsatz): bis zu 10 Millionen Euro oder 2 %.

§38 BSIG — Persönliche Haftung der Geschäftsleitung: Geschäftsführer und Vorstands-mitglieder können für nachweisliche Pflichtverletzungen bei der Umsetzung von §30-Maßnahmen persönlich haftbar gemacht werden. Die Cybersicherheitspflicht ist nicht an die IT-Abteilung delegierbar; Geschäftsleiter müssen dokumentiert geschult sein und Umsetzungsmaßnahmen aktiv begleiten.

Fünf-Schritte-Umsetzungsplan für Fertigungsbetriebe

Die folgende Schrittfolge gibt eine praxisnahe Orientierung. Sie setzt eine bereits abgeschlossene Betroffenheitsprüfung voraus.

Schritt 1 — OT-Asset-Inventur durchführen. Vollständige Liste aller SPS, SCADA, HMI, Historian-Server, Feldgeräte und Jumpserver. Pro Gerät: Firmware-Version, letzter Patch-Stand, Netzwerkanschluss, zuständiger Hersteller. Ohne Inventar ist keine Risikoanalyse nach IEC 62443-3-2 möglich.

Schritt 2 — Zonenmodell nach Purdue und IEC 62443 aufbauen. Produktionsnetz in Zonen aufteilen, Conduits definieren und mit Firewall-Regeln absichern. DMZ zwischen OT (Level 0–3) und IT (Level 4–5) mit separatem VLAN, Protokollierung aller durchgehenden Verbindungen und anomaliebasiertem Monitoring.

Schritt 3 — §30-Risikoanalyse mit OT-Fokus erstellen. Für jede Zone: Bedrohungsszenarien identifizieren, Schutzbedarf nach IEC 62443-3-2 bewerten (Verfügbarkeit primär), Maßnahmen ableiten und dokumentieren. Ungepatchte Systeme mit Risikoakzeptanz und Kompensationsmaßnahmen versehen. Weiterführend: NIS2-Risikoanalyse Leitfaden.

Schritt 4 — Lieferkette und Fernwartung absichern. Alle aktiven Fernwartungszugänge inventarisieren; nicht benötigte Zugänge deaktivieren. Verträge mit Wartungsdienstleistern um §30 Nr. 4-konforme Sicherheitsklauseln ergänzen. Weiterführend: NIS2-Lieferkettensicherheit Leitfaden.

Schritt 5 — Dokumentation und Meldeprozesse einrichten. Vorfallreaktionsplan mit OT-Produktionsstillstand-Entscheidungsbaum. BSI-Meldeweg §32 in den Plan integrieren und vorregistrieren. Business-Continuity-Plan mit RTO/RPO für OT-Systeme erstellen und regelmäßig testen.

Die folgende Rollenmatrix zeigt, wer welche Umsetzungsschritte verantwortet:

Schritt	Verantwortlich	Beteiligt
OT-Asset-Inventur	OT-Sicherheitsbeauftragter	Produktionsleiter, IT-Leiter
Zonenmodell / Netzwerksegmentierung	CISO / IT-Leiter	OT-Sicherheitsbeauftragter, externer OT-Berater
Risikoanalyse §30	CISO	OT-Sicherheitsbeauftragter, Geschäftsführung (§38)
Lieferkette / Fernwartung	Einkauf / Rechtsabteilung	OT-Sicherheitsbeauftragter, Produktionsleiter
Vorfallreaktion und Meldung	CISO / Geschäftsführung	Alle Abteilungen; BSI-Meldeportal vorangemeldet

Häufige Fragen

Gilt NIS2 für Lohnfertiger ohne eigene Produktentwicklung?
Ja, wenn der Betrieb die Schwellenwerte überschreitet. Anlage 2 des NIS2UmsuCG unterscheidet nicht zwischen OEM und Lohnfertiger — ausschlaggebend sind Unternehmensgröße und NACE-Code. Ein Lohnfertiger mit 80 Mitarbeitern im NACE-Bereich C28 ist Wichtige Einrichtung.

Benötigen wir eine IEC 62443-Zertifizierung?
Nein. §30 NIS2UmsuCG verlangt keine formale Zertifizierung. IEC 62443 ist der anerkannte Stand der Technik, mit dem Fertigungsbetriebe OT-Sicherheitsmaßnahmen gegenüber dem BSI nachweisen können. Die Umsetzung der technischen Maßnahmen — nicht das Zertifikat — ist entscheidend. Eine ISO-27001-Zertifizierung bietet zusätzliche Nachweismöglichkeiten, ersetzt aber nicht die OT-spezifische Dokumentation.

Können wir ältere SPS ohne Updates weiterbetreiben?
Ungepatchte Systeme sind nicht automatisch verboten, aber sie müssen dokumentiert und durch Kompensationsmaßnahmen abgesichert sein: Netzwerksegmentierung, Anomalie-Monitoring, schriftliche Risikoakzeptanz mit Geschäftsführungsunterschrift. Ohne Dokumentation ist es ein direktes Bußgeldrisiko nach §65 NIS2UmsuCG.

Was gilt, wenn wir Maschinen liefern, aber nicht selbst betreiben?
Als Maschinenhersteller (NACE C28) unterliegen Sie NIS2 als Wichtige Einrichtung im eigenen Betrieb. Zusätzlich werden Ihre Kunden als NIS2-Einrichtungen von Ihnen verlangen, NIS2-Sicherheitsstandards für von Ihnen gewartete oder ferngesteuerte Maschinen nachzuweisen — insbesondere für Fernwartungszugänge und Software-Updates.

Wann beginnt das BSI mit aktiven Prüfungen von Fertigungsbetrieben?
Das BSI hat Prüfkompetenz nach §39 NIS2UmsuCG; volle Durchsetzung ab Dezember 2028. Registrierung und erste Compliance-Nachweise waren bereits seit März 2026 fällig. Wer die Registrierungsfrist verpasst hat, sollte sich unverzüglich anmelden — die Bußgeldmöglichkeit für versäumte Registrierung (bis 100.000 Euro) besteht ab Inkrafttreten des Gesetzes.

NIS2 ist für Maschinenbau- und Produktionsbetriebe kein IT-Projekt, das man der IT-Abteilung übergibt. Es ist ein OT-Sicherheitsmandat, das Geschäftsführer persönlich verantworten und das OT-spezifische Dokumentation erfordert — keine generischen IT-Vorlagen. Das Purdue-Modell und IEC 62443 liefern den technischen Rahmen; §30 NIS2UmsuCG die Rechtsgrundlage. Wer jetzt mit OT-Asset-Inventur und Zonenplanung beginnt, legt die Grundlage für alle weiteren Maßnahmen.

Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Unternehmensstruktur, Sektor und nationaler Umsetzung variieren. Wenden Sie sich für eine unternehmensspezifische Beratung an einen qualifizierten Rechtsanwalt oder NIS2-Compliance-Experten.

Quellen

1. NIS 2 Directive, Article 21: Cybersecurity risk-management measures — nis-2-directive.com
2. Sektor Verarbeitendes Gewerbe — OpenKRITIS
3. NIS-2 gilt für vernetzte Industrieanlagen ohne Übergangsfrist — Security Insider
4. NIS2 OT-Sicherheit: Anforderungen für Industrieanlagen — SecJur
5. OT-Security: IT und Produktion sicher verbinden (IEC 62443) — ING-ISM
6. NIS2 in der Produktion: Schnell implementiert, maximal wirksam — Plus4Data
7. Industrie-Hardware: 40.000 Unternehmen rüsten wegen NIS2 auf — WiMo GmbH / AD-HOC-NEWS, Mai 2026
8. NIS2-Richtlinie für den Maschinenbau auf einen Blick — SpediHub