NIS2 für Maschinenbau und Produktion: OT-Sicherheit und Umsetzungsleitfaden für Fertigungsbetriebe

Seit dem 6. Dezember 2025 gilt das BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG — ohne Übergangsfrist. Bis zum 30. September 2026 hatten sich laut BSI 20.141 Einrichtungen im BSI-Portal nach NIS-2 registriert; die Bundesregierung schätzt die Zahl der betroffenen Unternehmen auf rund 29.850. Für Maschinenbau- und Produktionsunternehmen ist NIS2 kein reines IT-Projekt, sondern berührt auch die Betriebstechnik in der Fertigung; die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 38 BSIG umsetzen und ihre Umsetzung überwachen. Operative Technologie — SPS, SCADA, HMI — folgt anderen Sicherheitsregeln als klassische IT; § 30 BSIG verlangt dennoch geeignete, verhältnismäßige und wirksame Maßnahmen für die Systeme, die eine Einrichtung für ihre Dienste nutzt — in der Fertigung in der Regel auch OT — und deren Dokumentation.

Dieser Leitfaden richtet sich an Geschäftsführer, OT-Sicherheitsbeauftragte und CISO in Maschinenbau- und Produktionsbetrieben. Er erklärt, wer konkret betroffen ist, warum das Purdue-Modell der richtige Ausgangspunkt für die Netzwerksegmentierung ist und wie die zehn Maßnahmen des §30 BSIG in einer Fertigungsumgebung mit IEC 62443 praktisch umgesetzt werden.

Wer ist betroffen: Sechs Fertigungssektoren unter NIS2

Der Anwendungsbereich für das Verarbeitende Gewerbe ist in Anlage 2 BSIG (Sektor 5 „Verarbeitendes Gewerbe/Herstellung von Waren“) definiert. Fertigungsbetriebe fallen nach § 28 Abs. 2 Nr. 3 BSIG als Wichtige Einrichtungen in den Geltungsbereich, wenn sie mindestens einen der folgenden Schwellenwerte erreichen:

• ≥ 50 Mitarbeiter (Vollzeitäquivalente), oder
• > 10 Millionen Euro Jahresumsatz und > 10 Millionen Euro Jahresbilanzsumme

Wichtig für größere Unternehmen: Anlage-2-Einrichtungen bleiben auch ab 250 Mitarbeitern bzw. mehr als 50 Mio. Euro Umsatz wichtige Einrichtungen. Als besonders wichtig gilt nach § 28 Abs. 1 BSIG nur, wer eine Einrichtungsart aus Anlage 1 (z. B. Energie, Gesundheit) zuzuordnen ist und die Großunternehmens-Schwellen erreicht oder eine kritische Anlage betreibt. Bei der Größenbestimmung sind Partner- und verbundene Unternehmen nach der KMU-Empfehlung 2003/361/EG grundsätzlich einzurechnen (§ 28 Abs. 4); vernachlässigbare Nebentätigkeiten können unberücksichtigt bleiben (§ 28 Abs. 3).

Das Verarbeitende Gewerbe umfasst nach Anlage 2 BSIG sechs Branchen:

Sektor	NACE-Code / Anlage-2-Nr.	Beispiele
Medizinprodukte und In-vitro-Diagnostika	MDR/IVDR (Anlage 2 Nr. 5.1.1)	Medizinische Geräte, Diagnostika, Implantate
Datenverarbeitungsgeräte, Elektronik, Optik	C26	Computerkomponenten, Halbleiter, optische Instrumente
Elektrische Ausrüstungen	C27	Schaltanlagen, Elektromotoren, Batteriesysteme
Maschinenbau	C28	Werkzeugmaschinen, Sondermaschinen, Förderanlagen
Kraftwagen und Kraftwagenteile	C29	Automobilhersteller, Tier-1/Tier-2-Zulieferer
Sonstiger Fahrzeugbau	C30	Luft- und Raumfahrt, Schienenfahrzeuge

Eine amtliche Aufschlüsselung, wie viele Maschinenbau- und Fertigungsunternehmen unter NIS2 fallen, liegt nicht vor: Die Bundesregierung schätzt über alle Sektoren hinweg rund 21.600 wichtige und rund 8.250 besonders wichtige Einrichtungen, und das BSI weist die Registrierungen nach Kategorien aus, nicht nach Branchen. Maßgeblich ist daher die eigene Betroffenheitsprüfung anhand von Wirtschaftszweig (NACE) und Unternehmensgröße. Hinzu kommt der indirekte Effekt auf KMU-Zulieferer: Wer an einen NIS2-pflichtigen Tier-1-Automobilzulieferer liefert, kann vertraglich zur Einhaltung von Sicherheitsmindeststandards verpflichtet werden — auch unterhalb der gesetzlichen Schwellenwerte.

Bin ich betroffen? — Schnellcheck:

• ≥ 50 Mitarbeiter im Unternehmen (nicht nur in der Produktion) und Tätigkeit in einer Anlage-2-Branche? → in der Regel wichtige Einrichtung, § 30 BSIG gilt
• Jahresumsatz und Jahresbilanzsumme jeweils > 10 Mio. Euro in einer Anlage-2-Branche? → in der Regel wichtige Einrichtung (auch bei Großunternehmen)
• Zulieferer einer NIS2-Einrichtung oder eines KRITIS-Betreibers? → mögliche vertragliche Anforderungen des Kunden, der die Sicherheit seiner Lieferkette nach § 30 Abs. 2 Nr. 4 BSIG (Art. 21 Abs. 2 lit. d) adressieren muss
• Zusätzlich Betrieb einer Anlage in einem KRITIS-Sektor (z. B. Ernährung)? → KRITIS-Dachgesetz prüfen; die Registrierungspflicht beim BBK greift erst, wenn die Anlage nach der noch nicht in Kraft getretenen KRITIS-Verordnung als kritisch gilt. Automobil- und Chemieproduktion sind keine KRITIS-Sektoren nach § 4 KRITISDachG.

Warum OT andere Sicherheitsregeln braucht als IT

Klassische IT-Sicherheit stellt nach der CIA-Triade häufig die Vertraulichkeit an die erste Stelle: Vertraulichkeit — Integrität — Verfügbarkeit. In der OT kehrt sich diese Priorität typischerweise um: Verfügbarkeit > Integrität > Vertraulichkeit. Die Umkehr ist kein Fehler — sie folgt aus dem Produktionskontext. Eine Fabrik, die wegen eines Sicherheits-Patches drei Stunden steht, kann mehr verlieren als durch ein Datenleck, das erst 24 Stunden später entdeckt wird. Deshalb lassen sich generische IT-Sicherheitsrichtlinien in der Fertigungshalle oft nur eingeschränkt anwenden.

Drei strukturelle Herausforderungen kennzeichnen OT-Sicherheit in der Fertigung:

1. Legacy-Systeme mit langen Betriebszyklen. Eine SPS, die 2005 installiert wurde, hat möglicherweise nie ein Firmware-Update erhalten — nicht wegen Nachlässigkeit, sondern weil Updates oft erst nach einer Qualifizierung durch Hersteller oder Anlagenbauer eingespielt werden können und jeder Neustart einen mehrstündigen Produktionsstopp bedeuten kann. § 30 Abs. 2 Nr. 5 BSIG verlangt dennoch Sicherheitsmaßnahmen bei der Wartung einschließlich des Managements von Schwachstellen. Die Lösung ist nicht Schweigen, sondern dokumentierte Risikoakzeptanz mit Kompensationsmaßnahmen: Netzwerksegmentierung, Anomalie-Monitoring, zeitlich befristetes Patch-Protokoll mit Herstellerkoordination.

2. Industrieprotokolle ohne native Sicherheitsfunktionen. Modbus, PROFINET und EtherCAT wurden in ihren klassischen Varianten für Verfügbarkeit und Determinismus entwickelt — nicht für Authentifizierung oder Verschlüsselung. OPC UA bringt zwar eigene Sicherheitsmechanismen (Signierung und Verschlüsselung) mit, doch viele Installationen nutzen sie nicht. Eine 1:1 aus dem IT-Bereich kopierte Verschlüsselungsrichtlinie scheitert an diesen Protokollen. § 30 Abs. 2 Nr. 8 BSIG (Art. 21 Abs. 2 lit. h) verlangt Konzepte und Prozesse für den Einsatz kryptographischer Verfahren; in der OT sollte ein solches Konzept auch festhalten, wie Legacy-Protokolle ohne native Verschlüsselung abgesichert werden.

3. Real-time-Anforderungen blockieren Standard-Security-Tools. Inline-Sicherheitskomponenten auf einem Feldbusnetz, das in Millisekunden reagieren muss, sind oft keine Option: Zusätzliche Latenz kann Produktionsprozesse gefährden. In der OT-Praxis wird deshalb häufig passives, anomaliebasiertes Monitoring eingesetzt — Abweichungen vom normalen Kommunikationsverhalten werden erkannt, ohne den Datenfluss zu unterbrechen. Das unterstützt die Bewältigung von Sicherheitsvorfällen (§ 30 Abs. 2 Nr. 2 BSIG) und liefert Daten für die Bewertung der Wirksamkeit von Maßnahmen (Nr. 6).

Die Konsequenz dieser Lücken zeigt sich in Lagedaten: Laut Dragos (OT Cybersecurity Year in Review, Februar 2025) blieb die Fertigung der am stärksten betroffene Sektor und stellte mehr als 50 % der beobachteten Ransomware-Opfer. Das BSIG setzt hier einen gesetzlichen Mindestrahmen — die Umsetzung erfordert aber OT-angepasste Dokumentation, nicht generische IT-Vorlagen.

Das Purdue-Modell als Grundlage für §30-Netzwerksegmentierung

Das Purdue-Referenzmodell teilt Produktionsnetzwerke in sechs Ebenen (Level 0–5) auf. Es ist eine bewährte Grundlage für die Netzwerksegmentierung. § 30 Abs. 2 BSIG nennt Segmentierung nicht ausdrücklich; die Maßnahmen sollen aber den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen — im OT-Umfeld vor allem IEC 62443. Die Normenreihe greift das Referenzmodell auf und ergänzt es um einen zonenbasierten Sicherheitsrahmen mit Conduits als gesicherten Kommunikationspfaden zwischen Zonen. Einen vertiefenden Überblick über die technischen und organisatorischen Mindestanforderungen bietet der Leitfaden zu den NIS2-Sicherheitsanforderungen.

Purdue-Level	Systeme	Relevante §30-Pflicht
Level 0–1	Feldgeräte, Sensoren, Aktuatoren, SPS, RTUs	§ 30 Abs. 2 Nr. 9 (Asset-Verwaltung), Nr. 5 (Wartung/Schwachstellen, ggf. Risikoakzeptanz)
Level 2	SCADA-Systeme, HMI-Schnittstellen, Historian	§ 30 Abs. 2 Nr. 2 (Vorfallbewältigung), Nr. 3 (Backup/Recovery), Nr. 9 (Zugriffskontrolle)
Level 3	MES, Produktionsplanung, Engineering-Workstations	§ 30 Abs. 2 Nr. 1 (Risikoanalyse), Nr. 5 (Wartung/Schwachstellen), Nr. 6 (Wirksamkeit)
Level 3.5 (DMZ)	Firewall, Data Diode, Jumpserver, Patch-Server	§ 30 Abs. 2 Nr. 1 und Nr. 9 (Zugriffskontrolle zwischen IT und OT) — kritischster Kontrollpunkt
Level 4–5	ERP, Büro-IT, Cloud-Anbindung, Remote-Zugang	§ 30 Abs. 2 Nr. 4 (Fernzugänge von Dienstleistern), Nr. 10 (MFA für Fernzugriff)

Die kritische Schwachstelle ist die DMZ auf Level 3.5: der gesicherte Übergangsbereich zwischen OT (Level 0–3) und IT (Level 4–5). Ohne funktionierende DMZ kann ein kompromittierter Büro-Rechner lateral in SCADA-Systeme eindringen. IEC 62443 geht über das starre Purdue-Schema hinaus: Zonen können Ebenen überqueren; entscheidend ist das Security Level (SL) einer Zone — gegen welche Angreifer sie geschützt sein soll. SL 1 = Schutz gegen zufällige oder unbeabsichtigte Verstöße; SL 2 = Schutz gegen absichtliche Angriffe mit einfachen Mitteln, geringen Ressourcen und allgemeinen Kenntnissen; SL 3 und SL 4 = Schutz gegen zunehmend ausgefeilte Angriffe mit IACS-spezifischem Wissen und mehr Ressourcen. Welches Ziel-SL eine Zone benötigt, ergibt sich aus der Risikobeurteilung nach IEC 62443-3-2.

Conduits sind die gesteuerten Kommunikationspfade zwischen Zonen. Jeder Conduit muss authentifiziert, protokolliert und auf notwendige Kommunikationsbeziehungen beschränkt sein. Ein Fernwartungstunnel von einem Maschinenhersteller direkt in Level 1 ohne Conduit durch die DMZ widerspricht dem Zonen-und-Conduit-Prinzip und ist ein erhebliches Risiko, das in der Risikoanalyse nach § 30 BSIG adressiert werden sollte.

Weiterführend für die Risikoanalyse nach IEC 62443-3-2 im Fertigungskontext: NIS2-Risikoanalyse Leitfaden.

§30 BSIG in der Fertigungsumgebung: Die zehn Maßnahmen konkret

§ 30 Abs. 2 BSIG in der Fassung des NIS2UmsuCG setzt Art. 21 Abs. 2 lit. a–j der NIS2-Richtlinie ins deutsche Recht um. Für Fertigungsbetriebe bedeutet jede Maßnahme eine OT-spezifische Anforderung:

Maßnahme (Art. 21 Abs. 2)	§30-Pflicht	OT-Fertigungskontext
lit. a — Risikoanalyse und Sicherheitskonzepte	Nr. 1	OT-Risikoanalyse auf Basis eines Asset-Inventars (alle SPS, SCADA, HMI, Historian mit Firmware-Version; Inventar selbst: Nr. 9). Ohne Inventar keine belastbare Risikoanalyse.
lit. b — Vorfallreaktion	Nr. 2	OT-Vorfallplan mit Produktionsstillstand-Entscheidungsbaum: Wann wird die Linie abgefahren? BSI-Meldeweg §32 integriert.
lit. c — Business Continuity	Nr. 3	SPS-Konfigurationsbackups automatisch und unveränderbar. RTO/RPO für OT-Systeme dokumentiert und getestet.
lit. d — Lieferkettensicherheit	Nr. 4	Vertragliche Sicherheitspflichten für Maschinenlieferanten, Wartungsdienstleister, Fernwartungszugänge.
lit. e — Sicherheit bei Erwerb, Entwicklung und Wartung (inkl. Schwachstellenmanagement)	Nr. 5	Sicherheitsanforderungen bei der Maschinenbeschaffung; Patch-Management mit Maintenance-Windows; wo Patches ausbleiben, Kompensation durch Purdue-Zonentrennung, DMZ und Conduit-Regeln.
lit. f — Wirksamkeit	Nr. 6	Regelmäßige Tests der Sicherheitskontrollen; Auswertung von OT-Monitoring-Daten (z. B. aus anomaliebasierter Erkennung).
lit. g — Cyber-Hygiene	Nr. 7	OT-spezifische Schulungen: USB-Risiken an SPS/HMI, physische Sicherheit in der Produktionshalle, sichere Fernwartung.
lit. h — Kryptografie	Nr. 8	Sicherheitsmodus mit Signierung und Verschlüsselung für OPC-UA-Verbindungen; Kryptokonzept für Legacy-Protokolle ohne native Verschlüsselung (z. B. Modbus).
lit. i — Personal, Zugriffskontrolle, Asset-Management	Nr. 9	Least-Privilege für Engineering-Workstations; physische Zugangskontrollen zu Level 0–2; vollständiges OT-Asset-Management.
lit. j — MFA	Nr. 10	MFA für Fernwartungszugänge und SCADA-HMI. Wo MFA an Safety-kritischen Bedienplätzen nicht praktikabel ist: dokumentierte Begründung (Verhältnismäßigkeit, § 30 Abs. 1) und Kompensationsmaßnahmen.

Vier Bereiche sind für Fertigungsbetriebe besonders kritisch:

§ 30 Nr. 1 und Nr. 9 — OT-Asset-Inventar als Grundlage aller weiteren Maßnahmen. Praktisch unverzichtbar ist eine vollständige Liste aller SPS, SCADA, HMI, Historian-Server, Feldgeräte und Jumpserver — inklusive Firmware-Version, letztem Patch-Stand und Netzwerkanschluss. Ohne Inventar ist keine belastbare Risikobewertung möglich: Es ist nicht bekannt, was geschützt werden muss. In der Praxis ist das Inventar gerade für über Jahrzehnte gewachsene Legacy-Komponenten häufig lückenhaft.

§30 Nr. 2 — Vorfallreaktion mit Produktionsstillstand-Entscheidungsbaum. Ein allgemeiner IT-Incident-Response-Plan ergänzt durch eine OT-Seite reicht nicht aus. Der Plan muss den Produktionsstillstand-Entscheidungsbaum enthalten: Wann wird die Linie abgefahren? Wer entscheidet das (Produktionsleiter? CISO? Geschäftsführung?) und in welcher Zeitspanne? Zum Meldeweg nach § 32 BSIG gehört eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall.

§30 Nr. 3 — Konfigurationsbackups für SPS und SCADA. Wenn eine SCADA-Anlage durch Ransomware verschlüsselt wird, bestimmt die Qualität des Backups, ob die Linie in Stunden oder Wochen wieder läuft. Backups müssen automatisch, unveränderbar und auf Wiederherstellbarkeit getestet sein. Recovery Time Objective (RTO) und Recovery Point Objective (RPO) für OT-Systeme müssen mit den tatsächlichen Produktionstoleranzgrenzen abgestimmt sein.

§30 Nr. 5 — Patch-Management mit Maintenance-Windows. Generische Patch-Richtlinien sehen häufig feste, kurze Fristen vor (etwa 30 Tage). In OT-Umgebungen kann ein Update oft erst nach Herstellerqualifizierung und während eines geplanten Maintenance-Windows eingespielt werden — teils mit mehrmonatiger Vorlaufzeit. Eine OT-spezifische Patch-Richtlinie regelt: Wer koordiniert mit dem Hersteller? Wer genehmigt das Maintenance-Window? Was passiert, wenn das Update ausbleibt (Risikoakzeptanz mit Kompensationsmaßnahme)?

Lieferkettensicherheit nach Art. 21 Abs. 2 lit. d: OT-Lieferanten und Fernwartung

Art. 21 Abs. 2 lit. d / § 30 Abs. 2 Nr. 4 BSIG verpflichtet betroffene Fertigungsbetriebe, die Sicherheitsrisiken ihrer direkten Lieferanten und Dienstleister zu berücksichtigen. Im Fertigungskontext sind drei Gruppen besonders relevant:

1. Maschinenlieferanten und OEM-Hersteller. Betreiber sollten bei neuen Maschinen Sicherheitsinformationen vertraglich einfordern. OT-Komponenten mit bekannten CVEs (Common Vulnerabilities and Exposures) brauchen entweder einen dokumentierten Patch-Plan des Lieferanten oder eine schriftliche Risikoakzeptanz. Auf Herstellerseite verschärft das Produktrecht die Anforderungen: Die Maschinenverordnung (EU) 2023/1230 gilt ab dem 20. Januar 2027 und enthält unter anderem grundlegende Anforderungen zum Schutz gegen Korrumpierung (Anhang III Nr. 1.1.9). Der Cyber Resilience Act (EU) 2024/2847 gilt für Produkte mit digitalen Elementen grundsätzlich ab dem 11. Dezember 2027; seine Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (Art. 14) gelten bereits seit dem 11. September 2026. Der CRA verlangt von Herstellern zudem eine Software-Stückliste (SBOM — Software Bill of Materials); Betreiber können sie vertraglich anfordern.

2. Wartungsdienstleister und Fernwartungszugänge. Fernwartungszugänge für SIEMENS-, Rockwell- oder Schneider-Systeme sind oft permanent aktiv — ein erheblicher Angriffsvektor. Zur Umsetzung von § 30 Abs. 2 Nr. 4 und Nr. 9 BSIG bieten sich an: dokumentierte Fernwartungsfenster, Jumpserver-Protokollierung, zeitlich begrenzte Zugriffsberechtigungen und vertragliche Sicherheitspflichten für Wartungsdienstleister. Ein aktiver Fernwartungstunnel außerhalb vereinbarter Zeitfenster ist ein erhebliches Sicherheitsrisiko.

3. Indirekter Effekt auf KMU-Zulieferer. Wer als kleines Metallverarbeitungsunternehmen an einen Tier-1-Automobilzulieferer liefert, kann vertraglich zur Einhaltung von Sicherheitsmindeststandards verpflichtet werden — auch unterhalb der gesetzlichen Schwellenwerte oder außerhalb der Anlage-2-Branchen. NIS2 erzeugt so Compliance-Druck entlang der gesamten Wertschöpfungskette. Unternehmen, die heute nicht direkt betroffen sind, sollten prüfen, ob ihre wichtigsten Kunden NIS2-Einrichtungen sind und entsprechende Anforderungen weiterreichen werden.

Weiterführend: Lieferantenbewertung, Risikomatrix und Vertragsmuster für die Lieferkette beschreibt der Leitfaden NIS2 Lieferkettensicherheit.

Fristen, Meldepflichten und Bußgelder

Datum	Pflicht	Grundlage
6. Dezember 2025	NIS2UmsuCG in Kraft; Pflichten nach §§ 30, 32 und 38 BSIG ohne Übergangsfrist wirksam	NIS2UmsuCG, BGBl. 2025 I Nr. 301
6. Januar 2026	BSI-Portal freigeschaltet; Registrierung zweistufig (Mein Unternehmenskonto, dann BSI-Portal)	BSI-Pressemitteilung vom 06.01.2026
6. März 2026	Frist für die Registrierung wichtiger und besonders wichtiger Einrichtungen beim BSI abgelaufen; Versäumtes unverzüglich nachholen	§ 33 Abs. 1 BSIG
11. September 2026	Cyber Resilience Act: Meldepflichten der Hersteller für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle (relevant für Maschinenbauer als Produkthersteller)	Art. 14, Art. 71 VO (EU) 2024/2847
20. Januar 2027	Maschinenverordnung gilt und löst die Maschinenrichtlinie 2006/42/EG ab	Art. 54 VO (EU) 2023/1230 (berichtigt, ABl. L 169 vom 4.7.2023)
11. Dezember 2027	Cyber Resilience Act gilt vollständig	Art. 71 Abs. 2 VO (EU) 2024/2847

Meldepflichten nach § 32 BSIG: Bei einem erheblichen Sicherheitsvorfall gelten drei Stufen:

• 24 Stunden nach Kenntniserlangung: frühe Erstmeldung (Angabe, ob der Verdacht auf rechtswidrige oder böswillige Handlungen besteht oder grenzüberschreitende Auswirkungen möglich sind)
• 72 Stunden: Meldung mit Bestätigung oder Aktualisierung dieser Angaben, erster Bewertung von Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren
• 1 Monat nach der 72-Stunden-Meldung: Abschlussmeldung mit ausführlicher Beschreibung, Art der Bedrohung bzw. Ursache und getroffenen Abhilfemaßnahmen (bei andauerndem Vorfall zunächst eine Fortschrittsmeldung)

Bußgelder nach § 65 BSIG: Für wichtige Einrichtungen — das sind Maschinenbauunternehmen in der Regel auch bei mehr als 250 Mitarbeitern — sehen Verstöße gegen Risikomanagement-, Dokumentations- und Meldepflichten Geldbußen von bis zu 7 Millionen Euro vor; bei einem weltweiten Gesamtumsatz von mehr als 500 Mio. Euro bis zu 1,4 % des Gesamtumsatzes (§ 65 Abs. 5 Nr. 1 lit. b, Abs. 7). Für eine nicht oder nicht rechtzeitig vorgenommene Registrierung sind bis zu 500.000 Euro möglich (§ 65 Abs. 2 Nr. 6, Abs. 5 Nr. 5). Die höheren Rahmen für besonders wichtige Einrichtungen (bis zu 10 Millionen Euro, bei mehr als 500 Mio. Euro Umsatz bis zu 2 %) greifen nur, wenn ein Unternehmen zusätzlich einer Anlage-1-Einrichtungsart zuzuordnen ist oder eine kritische Anlage betreibt.

§ 38 BSIG — Pflichten und Haftung der Geschäftsleitung: Geschäftsleitungen müssen die Risikomanagementmaßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen (Abs. 1) sowie regelmäßig an Schulungen teilnehmen (Abs. 3). Verletzen sie diese Pflichten, haften sie ihrer Einrichtung für schuldhaft verursachte Schäden nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform (Abs. 2). Die operative Umsetzung kann bei IT- und OT-Verantwortlichen liegen; die Überwachung bleibt Aufgabe der Geschäftsleitung.

Fünf-Schritte-Umsetzungsplan für Fertigungsbetriebe

Die folgende Schrittfolge gibt eine praxisnahe Orientierung. Sie setzt eine bereits abgeschlossene Betroffenheitsprüfung voraus.

Schritt 1 — OT-Asset-Inventur durchführen. Vollständige Liste aller SPS, SCADA, HMI, Historian-Server, Feldgeräte und Jumpserver. Pro Gerät: Firmware-Version, letzter Patch-Stand, Netzwerkanschluss, zuständiger Hersteller. Ohne Inventar ist keine Risikoanalyse nach IEC 62443-3-2 möglich.

Schritt 2 — Zonenmodell nach Purdue und IEC 62443 aufbauen. Produktionsnetz in Zonen aufteilen, Conduits definieren und mit Firewall-Regeln absichern. DMZ zwischen OT (Level 0–3) und IT (Level 4–5) mit separatem VLAN, Protokollierung aller durchgehenden Verbindungen und anomaliebasiertem Monitoring.

Schritt 3 — §30-Risikoanalyse mit OT-Fokus erstellen. Für jede Zone: Bedrohungsszenarien identifizieren, Schutzbedarf nach IEC 62443-3-2 bewerten (Verfügbarkeit primär), Maßnahmen ableiten und dokumentieren. Ungepatchte Systeme mit Risikoakzeptanz und Kompensationsmaßnahmen versehen. Weiterführend: NIS2-Risikoanalyse Leitfaden.

Schritt 4 — Lieferkette und Fernwartung absichern. Alle aktiven Fernwartungszugänge inventarisieren; nicht benötigte Zugänge deaktivieren. Verträge mit Wartungsdienstleistern um Sicherheitsklauseln ergänzen, die sich an § 30 Abs. 2 Nr. 4 BSIG orientieren. Weiterführend: NIS2-Lieferkettensicherheit Leitfaden.

Schritt 5 — Dokumentation und Meldeprozesse einrichten. Vorfallreaktionsplan mit OT-Produktionsstillstand-Entscheidungsbaum. Meldeweg nach § 32 BSIG über das BSI-Portal in den Plan integrieren; Registrierung nach § 33 BSIG prüfen bzw. unverzüglich nachholen. Business-Continuity-Plan mit RTO/RPO für OT-Systeme erstellen und regelmäßig testen.

Die folgende Rollenmatrix zeigt, wer welche Umsetzungsschritte verantwortet:

Schritt	Verantwortlich	Beteiligt
OT-Asset-Inventur	OT-Sicherheitsbeauftragter	Produktionsleiter, IT-Leiter
Zonenmodell / Netzwerksegmentierung	CISO / IT-Leiter	OT-Sicherheitsbeauftragter, externer OT-Berater
Risikoanalyse §30	CISO	OT-Sicherheitsbeauftragter, Geschäftsführung (§38)
Lieferkette / Fernwartung	Einkauf / Rechtsabteilung	OT-Sicherheitsbeauftragter, Produktionsleiter
Vorfallreaktion und Meldung	CISO / Geschäftsführung	Alle Abteilungen; Registrierung im BSI-Portal abgeschlossen

Häufige Fragen

Gilt NIS2 für Lohnfertiger ohne eigene Produktentwicklung?
Grundsätzlich ja, wenn der Betrieb die Schwellenwerte erreicht und seine Tätigkeit einer Anlage-2-Branche zuzuordnen ist. Anlage 2 BSIG unterscheidet nicht zwischen OEM und Lohnfertiger — ausschlaggebend sind Unternehmensgröße und Wirtschaftszweig (NACE). Ein Lohnfertiger mit 80 Mitarbeitern, dessen Tätigkeit unter NACE C28 fällt, ist in der Regel wichtige Einrichtung. Wer dagegen überwiegend Metallteile herstellt oder bearbeitet (etwa NACE C25, Herstellung von Metallerzeugnissen), fällt nicht unter die Anlage-2-Branchen des verarbeitenden Gewerbes — kann aber über Kundenanforderungen indirekt betroffen sein.

Benötigen wir eine IEC 62443-Zertifizierung?
Nein. § 30 BSIG schreibt keine IEC-62443-Zertifizierung vor. IEC 62443 ist im OT-Umfeld eine maßgebliche internationale Normenreihe und eignet sich als Orientierung für den in § 30 Abs. 2 BSIG geforderten Stand der Technik und die Berücksichtigung einschlägiger Normen. Die Umsetzung der technischen Maßnahmen — nicht das Zertifikat — ist entscheidend. Eine ISO-27001-Zertifizierung bietet zusätzliche Nachweismöglichkeiten, ersetzt aber nicht die OT-spezifische Dokumentation.

Können wir ältere SPS ohne Updates weiterbetreiben?
Ungepatchte Systeme sind nicht automatisch verboten, aber sie müssen dokumentiert und durch Kompensationsmaßnahmen abgesichert sein: Netzwerksegmentierung, Anomalie-Monitoring, schriftliche Risikoakzeptanz mit Geschäftsführungsunterschrift. Fehlt die Dokumentation, kann bereits das nach § 65 Abs. 2 Nr. 3 BSIG bußgeldbewehrt sein (Dokumentationspflicht nach § 30 Abs. 1 Satz 3).

Was gilt, wenn wir Maschinen liefern, aber nicht selbst betreiben?
Maschinenhersteller (NACE C28) oberhalb der Schwellenwerte sind im eigenen Betrieb wichtige Einrichtungen nach § 28 Abs. 2 BSIG. Zusätzlich können Kunden, die selbst NIS2-Einrichtungen sind, Sicherheitsnachweise für gewartete oder fernbetreute Maschinen verlangen — insbesondere für Fernwartungszugänge und Software-Updates. Für die Maschinen als Produkte gilt das Produktrecht: die Maschinenverordnung (EU) 2023/1230 ab dem 20. Januar 2027 und für Produkte mit digitalen Elementen der Cyber Resilience Act (Meldepflichten seit 11. September 2026, volle Anwendung ab 11. Dezember 2027).

Wann beginnt das BSI mit aktiven Prüfungen von Fertigungsbetrieben?
Einen festen Prüfungsstart gibt es nicht. Bei wichtigen Einrichtungen — dazu zählen Maschinenbauer in der Regel — wird das BSI anlassbezogen tätig: Rechtfertigen Tatsachen die Annahme, dass Pflichten nach § 30 Abs. 1, § 32 oder § 38 Abs. 3 nicht oder nicht richtig umgesetzt werden, kann es die Einhaltung überprüfen und Maßnahmen nach § 61 treffen (§ 62 BSIG). Regelmäßige Nachweise alle drei Jahre (§ 39) betreffen nur Betreiber kritischer Anlagen. Die Registrierungsfrist endete am 6. März 2026; wer sie versäumt hat, sollte sich unverzüglich im BSI-Portal registrieren — für eine unterlassene Registrierung sieht § 65 BSIG Geldbußen bis zu 500.000 Euro vor.

NIS2 ist für Maschinenbau- und Produktionsbetriebe kein IT-Projekt, das man der IT-Abteilung übergibt. Es ist ein OT-Sicherheitsthema, dessen Umsetzung die Geschäftsleitung nach § 38 BSIG verantwortet und überwacht und das OT-spezifische Dokumentation erfordert — keine generischen IT-Vorlagen. Das Purdue-Modell und IEC 62443 liefern den technischen Rahmen; § 30 BSIG die Rechtsgrundlage. Wer jetzt mit OT-Asset-Inventur und Zonenplanung beginnt, legt die Grundlage für alle weiteren Maßnahmen.

Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Unternehmensstruktur, Sektor und nationaler Umsetzung variieren. Wenden Sie sich für eine unternehmensspezifische Beratung an einen qualifizierten Rechtsanwalt oder NIS2-Compliance-Experten.

Quellen

1. BSI-Gesetz (BSIG) 2025, insb. §§ 28, 30, 32, 33, 38, 62, 65 und Anlage 2 — gesetze-im-internet.de
2. NIS-2 in Zahlen (Stand 30.09.2026) — BSI
3. Pressemitteilung zum BSI-Portal (06.01.2026) — BSI
4. Gesetzentwurf NIS2UmsuCG, BT-Drs. 21/1501 (Schätzung der betroffenen Unternehmen) — Deutscher Bundestag
5. Verordnung (EU) 2023/1230 über Maschinen — EUR-Lex
6. Verordnung (EU) 2024/2847 (Cyber Resilience Act) — EUR-Lex
7. Dragos Reports OT/ICS Cyber Threats Escalate (25.02.2025) — Dragos
8. Sektor Verarbeitendes Gewerbe — OpenKRITIS
9. NIS-2 gilt für vernetzte Industrieanlagen ohne Übergangsfrist — Security Insider
10. NIS2 OT-Sicherheit: Anforderungen für Industrieanlagen — SecJur
11. OT-Security: IT und Produktion sicher verbinden (IEC 62443) — ING-ISM
12. NIS2 in der Produktion: Schnell implementiert, maximal wirksam — Plus4Data
13. NIS2-Richtlinie für den Maschinenbau auf einen Blick — SpediHub