NIS2 Policy-Paket Fertigung

Beschreibung

Sektor-adaptierte Art.-21-Policies für Fertigung und OT — neu geschrieben für Ihre Werkshalle, nicht aus generischen IT-Vorlagen übersetzt. Sie verantworten NIS2-Compliance in einem Fertigungsbetrieb mit SPS, SCADA und MES auf dem Hallenboden — und die Vorlagen, die Sie bisher gefunden haben, kennen weder das Purdue-Modell noch die Tatsache, dass bei Ihnen Verfügbarkeit vor Vertraulichkeit steht. Das Policy-Paket Fertigung schließt genau diese Lücke: 12 sektor-adaptierte Dokumente plus das vollständige 10-teilige Anleitungspaket — 22 Dokumente, ausgerichtet auf Ihre OT-Realität, nicht die eines Rechenzentrums. €349.

Warum eine generische NIS2-Vorlage Ihre Fertigung im Ernstfall im Stich lässt

Kein Sektor wird im Industrieumfeld häufiger von Ransomware getroffen als die Fertigung: Dragos zählte im ersten Quartal 2025 weltweit 708 Ransomware-Vorfälle bei Industrieunternehmen — 480 davon (68 %) in der Fertigung. Die Folgen sind nicht abstrakt. Bei Norsk Hydro legte die Ransomware LockerGoga 2019 weite Teile der IT lahm, mehrere Werke liefen nur noch im manuellen Betrieb — den Schaden bezifferte das Unternehmen auf rund 650–750 Millionen Norwegische Kronen. Toyota musste im März 2022 nach einem Cyberangriff auf den Zulieferer Kojima Industries 28 Produktionslinien in 14 japanischen Werken einen Tag lang stilllegen — rund 13.000 Fahrzeuge fielen aus. Die Schadsoftware TRITON/TRISIS zielte gezielt auf Schneider-Electric-Triconex-Sicherheitssteuerungen — jene Systeme, die eigentlich Menschenleben schützen sollen.

Unter dem NIS2UmsuCG entspricht Ihr regulatorisches Risiko inzwischen Ihrem operativen Risiko. Fertigungsbetriebe der Anlage 2 BSIG („Herstellung von Waren“: NACE C26–C30 — u. a. Elektronik, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und sonstiger Fahrzeugbau — sowie Medizinprodukte) gelten ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme als wichtige Einrichtungen — als besonders wichtig nur, wenn sie zugleich eine kritische Anlage betreiben oder einer Einrichtungsart der Anlage 1 zuzuordnen sind (§ 28 BSIG). Verstöße gegen die Risikomanagementpflichten nach § 30 BSIG können bei wichtigen Einrichtungen nach § 65 BSIG mit Bußgeldern bis zu 7 Mio. Euro geahndet werden, bei mehr als 500 Mio. Euro Gesamtumsatz bis zu 1,4 % des weltweiten Umsatzes. § 38 BSIG verpflichtet die Geschäftsleitung, diese Maßnahmen umzusetzen und ihre Umsetzung zu überwachen; verletzt sie diese Pflicht, haftet sie der Einrichtung nach Gesellschaftsrecht — geltendes Recht seit Inkrafttreten des Gesetzes am 6. Dezember 2025.

Und hier beginnt das eigentliche Problem: Die Compliance-Vorlagen, die Sie im Netz finden, sind für IT-Abteilungen geschrieben — nicht für Ihre Werkshalle. Eine generische NIS2-Vorlage unterstellt die klassische CIA-Reihenfolge: Vertraulichkeit, Integrität, Verfügbarkeit. Auf Ihrem Hallenboden kehrt sich diese Priorität um. Verfügbarkeit steht an erster Stelle — ein Produktionsstillstand kostet Sie tausende Euro pro Minute. Integrität ist entscheidend, weil manipulierte Sensordaten zu Ausschuss oder Sicherheitsrisiken führen. Vertraulichkeit ist wichtig, aber nicht existenzbedrohend. Wenn Ihre Dokumentation diese A-I-C-Priorität nicht widerspiegelt, fällt sie bei genau dem Praxistest durch, den Ihre eigenen OT-Ingenieure, Kundenaudits und — bei Anhaltspunkten für Mängel — das BSI anlegen. Wenn Ihre Dokumentation dagegen die Werkshalle abbildet, die Sie tatsächlich betreiben, können Sie solchen Nachfragen gelassen begegnen.

Aufgebaut um die Werkshalle, die Sie tatsächlich betreiben

Sie kennen das Gefühl, ein „NIS2-Vorlagenpaket“ zu öffnen und darin nichts über SPS zu finden, nichts über Wartungsfenster, nichts über die Schichtpläne, die Ihre Vorfallreaktion überstehen muss — nur IT-Textbausteine, die Sie Zeile für Zeile in OT-Realität übersetzen müssten. Vermutlich haben Sie dafür bereits ein Wochenende geopfert. Sie sollten nicht diejenige Person sein müssen, die jede Richtlinie von Grund auf neu schreibt, nur damit sie zu einer Produktionsumgebung passt.

Deshalb setzt dieses Paket dort an, wo Sie arbeiten. Das Policy-Paket Fertigung ist kein Komplettpaket mit neuem Etikett — jedes Dokument wurde von Grund auf für Fertigungs-OT-Umgebungen neu geschrieben. Es referenziert Siemens-S7-1500- und Allen-Bradley-ControlLogix-SPS, SCADA-Systeme, MES-Plattformen und die Netzwerkarchitektur nach dem Purdue-Modell. RACI-Tabellen enthalten OT-spezifische Rollen — etwa OT-Verantwortlicher, Produktionsleiter, SCADA/MES-Administrator, IT-Sicherheitsleiter — bereits den Aufgaben der Richtlinien zugeordnet. Rot markierte Platzhalter zeigen, wo Ihre unternehmensspezifischen Daten hingehören. Eine Schnellstart-Checkliste für die ersten 30 Tage (Woche 1–4) und ein Phasenplan bis Monat 12 geben Ihnen ab Tag eins einen konkreten Projektplan.

12 sektor-adaptierte Dokumente für Ihre Fertigung — SPS, SCADA, MES und IEC 62443 in einem deutschen Vorlagenpaket

Sie erhalten 12 Dokumente, jedes für Ihre Umgebung geschrieben — zehn Richtlinien, jeweils einer konkreten Art.-21-Maßnahme zugeordnet, dazu Überblick und Implementierungsleitfaden — plus das vollständige 10-teilige Anleitungspaket. Macht 22 Dokumente gesamt.

Anleitungspaket (10 Dokumente, Vorfallreaktions-Flussdiagramm in der Fertigungs-/OT-Fassung): Willkommen & Überblick, Implementierungsleitfaden (phasenweiser Umsetzungsfahrplan), Implementierungs-Masterplan, Rollen- und Verantwortungsmatrix (RACI), Schnellstartkarte NIS2-Beauftragter, Schnellstartkarte IT-Sicherheitsbeauftragter, Schnellstartkarte Personalabteilung, Vorfallreaktions-Flussdiagramm, Implementierungs-Flussdiagramm, Dokument-Abhängigkeitskarte.

Alle 22 Dokumente anzeigen

1. 00 — Willkommen — Sektor-Paket Fertigung & Maschinenbau
2. 01 — Implementierungsleitfaden Fertigung
3. 02 — Informationssicherheitsleitlinie Fertigung
4. 03 — Risikoanalyse-Methodik Fertigung
5. 04 — Richtlinie Vorfallsmanagement Fertigung
6. 05 — Business Continuity & Datensicherung Fertigung
7. 06 — Lieferkettensicherheit Fertigung
8. 07 — Patch- & Schwachstellenmanagement Fertigung
9. 08 — Schulungs- & Awareness-Programm Fertigung
10. 09 — Kryptographie & Verschlüsselung Fertigung
11. 10 — Zugangskontrolle & Identitätsmanagement Fertigung
12. 11 — Multi-Faktor-Authentifizierung Fertigung
13. Anleitung — Willkommen & Überblick (allgemein)
14. Anleitung — Implementierungsleitfaden (phasenweiser Umsetzungsfahrplan)
15. Anleitung — Implementierungs-Masterplan
16. Anleitung — Rollen- und Verantwortungsmatrix (RACI)
17. Anleitung — Schnellstartkarte NIS2-Beauftragter
18. Anleitung — Schnellstartkarte IT-Sicherheitsbeauftragter
19. Anleitung — Schnellstartkarte Personalabteilung
20. Anleitung — Vorfallreaktions-Flussdiagramm (Fertigung/OT)
21. Anleitung — Implementierungs-Flussdiagramm
22. Anleitung — Dokument-Abhängigkeitskarte

Generisch vs. Fertigung: Was sich für Sie ändert

So unterscheiden sich die Vorlagen, die Sie erhalten, von den generischen Vorlagen, die Ihr Auditor schon hundertmal gesehen hat — in den drei Bereichen, in denen es am meisten zählt.

So kommen Sie in drei Schritten zu Ihrer OT-gerechten NIS2-Dokumentation

Wie die Art.-21-Maßnahmen zugeordnet sind

Damit Sie den Kauf intern begründen können, ordnet die folgende Tabelle die Art.-21(2)-Sicherheitsmaßnahmen der entsprechenden Nummer in § 30 Abs. 2 BSIG und dem passenden Dokument zu — einschließlich der Maßnahme, für die das Fertigungs-Paket kein eigenes Dokument enthält.

Welches Paket zu Ihrem Ausgangspunkt passt

Beide Pakete sind eigenständig einsetzbar. Für größere Fertigungsbetriebe mit eigener Governance-Berichterstattung ist die Kombination beider Pakete sinnvoll: das Komplettpaket deckt Vorstandsbriefing, KPI-Messung und Auditwerkzeuge ab, das Fertigungs-Paket ergänzt es um die OT-spezifischen Kernrichtlinien.

Sie werden sich hier wiedererkennen

Wenn Sie Werks- oder Produktionsleiter sind — Sie brauchen Richtlinien, die Ihr Produktionsteam akzeptiert, keine IT-Vorgaben, die den Ausstoß stören. Sie erhalten eine Dokumentation, die auf Verfügbarkeit als erstem Schutzziel aufbaut, sodass Ihre Sicherheitsmaßnahmen die Betriebszeit schützen, statt sie zu gefährden. Die RACI-Tabellen ordnen den Produktionsleiter bereits neben OT-Verantwortlichem, Wartungsingenieuren und IT-Sicherheitsleiter zu.

Wenn Sie OT-Sicherheitsingenieur sind — Sie brauchen Dokumentation, die Ihre Sprache spricht: Purdue-Modell-Zonen, SPS-Firmware-Integrität, SCADA-Historian-Backups, IEC-62443-Ausrichtung. Jede Richtlinie referenziert die Systeme und Protokolle, die Sie täglich betreuen, sodass Sie keine IT-zentrierten Dokumente mehr in OT-Realität übersetzen müssen.

Wenn Sie CISO oder NIS2-Beauftragter sind — Sie brauchen eine Dokumentation, die den Anforderungen des BSIG ebenso gerecht wird wie Ihrer Werkshalle. Jede Richtlinie nennt im Kopf den passenden NIS2-Artikel und den Abschnitt der CIR 2024/2690 — die für Fertigungsbetriebe nicht verbindlich ist (§ 30 Abs. 3 BSIG erfasst nur bestimmte digitale Anbieter), aber als Orientierung dient — mit genau der OT-Spezifität, die echtes Risikomanagement statt reiner Checkbox-Compliance belegt.

Wenn Sie Compliance-Manager sind — Sie brauchen sektorspezifische Nachweise für Auditoren, die fragen werden, wie Ihr Unternehmen OT-Risiken adressiert hat. Diese Spezifität liefert das Paket bereits von Anfang an — Dragos-Bedrohungsdaten, IEC-62443-Referenzen und Purdue-Modell-Architektur — und erspart Ihnen Wochen an Anpassungsarbeit.

Häufige Fragen zum Policy-Paket Fertigung

Sind diese Vorlagen Rechtsberatung?

Nein. Diese Vorlagen sind allgemeine Muster, die als Ausgangspunkt für Ihre NIS2-Dokumentation gedacht sind. Sie stellen keine Rechtsberatung dar. Lassen Sie jedes Dokument vor der Übernahme von einer qualifizierten Fachperson prüfen — unter Berücksichtigung Ihres Sektors, Ihrer Anlagen und Ihres organisatorischen Kontexts.

Kann ich die Dokumente anpassen?

Ja. Sie erhalten alle Vorlagen als editierbare DOCX-Dateien. Ihre unternehmensspezifischen Felder — Firmenname, Werksstandorte, OT-Anlageninventar, Rollenzuweisungen — sind rot und fett markiert, damit bei der Anpassung nichts übersehen wird. Sie können Ihr Logo ergänzen, den Umfang auf Ihren Fertigungs-Teilsektor zuschneiden und jede Vorlage an Ihre Betriebsumgebung erweitern.

In welchem Dateiformat erhalte ich die Dokumente?

Sie erhalten DOCX-Dateien (Word). Diese sind kompatibel mit Microsoft Word, Google Docs, LibreOffice Writer und jeder Anwendung, die das Open-XML-Format unterstützt. Sie benötigen keine proprietäre Software.

Bieten Sie Rückerstattungen an?

Dies ist ein digitales Downloadprodukt. Ein etwaiges Widerrufsrecht erlischt gemäß EU-Richtlinie 2011/83/EU, Art. 16(m) bzw. § 356 Abs. 6 BGB, sobald der Download beginnt. Sie werden vor Abschluss der Zahlung um Ihre ausdrückliche Zustimmung dazu gebeten. Dafür gibt es die 30-Tage-Zusage: Passt eine Vorlage nicht zu Ihrer Compliance-Umgebung — schreiben Sie uns innerhalb von 30 Tagen, und wir aktualisieren sie oder ergänzen ein Dokument außerhalb des Standardumfangs. Sie behalten in jedem Fall alles. Eine rechtliche Prüfung Ihres Einzelfalls ist nicht enthalten.

Sind Updates enthalten?

Ja. Ihr Kauf beinhaltet 12 Monate kostenlose Updates. Wenn sich die NIS2-Umsetzung weiterentwickelt — neue ENISA-Leitlinien, Anpassungen im BSIG, überarbeitete IEC-62443-Fassungen oder CIR-Änderungen — laden Sie aktualisierte Vorlagen kostenlos während Ihres Update-Zeitraums herunter.

Brauche ich zusätzlich das Komplettpaket?

Das Policy-Paket Fertigung und das NIS2 Komplettpaket sind unabhängige Produkte. Im Sektor-Paket erhalten Sie 12 Dokumente, die vollständig für Fertigungs-OT-Umgebungen neu geschrieben wurden, plus das 10-teilige Anleitungspaket. Das Komplettpaket enthält 66 generische Compliance-Vorlagen plus 10 Anleitungen (76 Dokumente gesamt) und deckt zusätzliche Kategorien ab, die in Sektor-Paketen nicht enthalten sind — Vorstandsbriefing, Messung & KPIs, Audit-Werkzeuge. Wenn Sie sowohl die OT-spezifischen Betriebsrichtlinien als auch die vollständige Governance- und Audit-Dokumentation benötigen, empfiehlt sich der Kauf beider Pakete.

Deckt das Fertigungs-Paket IEC 62443 ab?

IEC 62443 wird im gesamten Paket referenziert — Purdue-Modell-Segmentierung, Zonen-/Conduit-Modellierung und Security-Level-Zuweisungen orientieren sich an diesem Rahmenwerk. Dies ist jedoch kein IEC-62443-Zertifizierungswerkzeug, sondern ein NIS2-Compliance-Dokumentationspaket, das IEC 62443 als OT-Sicherheitsreferenz nutzt, weil genau damit Ihre OT-Integratoren und Auditoren bereits arbeiten. IEC 62443 ist anerkannte Praxis, aber keine gesetzliche Pflicht: § 30 Abs. 2 BSIG verlangt, den Stand der Technik einzuhalten und einschlägige europäische und internationale Normen zu berücksichtigen.

Wann muss ich mich beim BSI registrieren?

Besonders wichtige und wichtige Einrichtungen müssen sich nach § 33 BSIG spätestens drei Monate, nachdem sie erstmals als solche gelten, beim BSI registrieren — wer schon bei Inkrafttreten am 6. Dezember 2025 betroffen war, also bis zum 6. März 2026. Ist die Frist verstrichen, sollten Einrichtungen die Registrierung unverzüglich nachholen. Gemeldet werden u. a. Name und Rechtsform, Kontaktdaten, öffentliche IP-Adressbereiche, Sektor, die betroffenen EU-Mitgliedstaaten und die zuständigen Aufsichtsbehörden — kein OT-Anlageninventar. Im Implementierungsleitfaden (Dok. 01) ist die Registrierung als eigener Schritt des Umsetzungsplans vorgesehen.

Was ist, wenn eine Vorlage nicht zu meinem Unternehmen passt?

Dafür gibt es die 30-Tage-Zusage: Passt eine Vorlage nicht zu Ihrer Compliance-Umgebung — oder benötigen Sie ein Dokument außerhalb des Standardumfangs — schreiben Sie uns innerhalb von 30 Tagen, und wir aktualisieren oder ergänzen es. Sie behalten in jedem Fall alles. Eine rechtliche Prüfung Ihres Einzelfalls ist nicht enthalten.

Gehen Sie in jedes Audit mit einer Dokumentation, die Ihre Werkshalle wirklich abbildet

Stellen Sie sich die Version vor, in der es bereits erledigt ist: Ihre Richtlinien benennen die SPS, SCADA-Systeme und Purdue-Zonen, die Sie tatsächlich betreiben; Ihre Vorfallreaktion berücksichtigt Ihre Schichtpläne; Ihre Geschäftsleitung hat eine nachvollziehbare, artikelbezogene Dokumentation, mit der sie die Umsetzung der Maßnahmen überwachen kann. Sie sind nicht mehr diejenige Person, die am Wochenende IT-Textbausteine umschreibt — Sie sind diejenige Person, die eine Dokumentation übergeben hat, die wirklich zu Ihrer Produktions- und OT-Umgebung passt. Das Policy-Paket Fertigung setzt dort an, wo Sie arbeiten, und bringt Sie von der Lücke zu einem dokumentierten Umsetzungsplan — mit klaren Schritten für die ersten 30 Tage statt einer leeren Seite. Die Pflichten aus dem BSIG gelten seit dem 6. Dezember 2025 — ohne Übergangsfrist. Warten Sie nicht auf eine Nachfrage des BSI.