Nicht jedes Kabel führt automatisch zu NIS2
Die frühere Zuspitzung war ein guter Weckruf, rechtlich aber zu grob. Das BSI-Gesetz erfasst in Anlage 2 bestimmte Bereiche der Herstellung. Dazu gehören unter anderem Medizinprodukte, Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau sowie Teile des Fahrzeugbaus. Ob ein konkretes Unternehmen als wichtige Einrichtung erfasst ist, hängt von der gesetzlichen Einrichtungsart, der tatsächlichen Tätigkeit und den Größenkriterien ab. Ein Stecker am Produkt ist weder Voraussetzung noch Beweis.
Hersteller sollten deshalb zuerst sauber beschreiben, was die jeweilige Gesellschaft tatsächlich herstellt oder anbietet. Ein Konzern kann mehrere Produktbereiche, Serviceleistungen und rechtlich selbstständige Unternehmen umfassen. Auch Wartung, digitale Zusatzdienste oder der Betrieb eigener Infrastruktur können eine Rolle spielen. Die Zuordnung gehört mit Annahmen, Kennzahlen und Stichtag dokumentiert. Marketingbegriffe sind dafür selten hilfreich; der Gesetzgeber interessiert sich erfreulich wenig für die schönste Produktbroschüre.
Die Einstufung ist nicht nur eine Formalität. Für betroffene Einrichtungen folgen daraus Registrierung, Risikomanagement, Meldewege und Verantwortung der Geschäftsleitung. Das Ergebnis sollte deshalb fachlich und bei Grenzfällen rechtlich geprüft werden. Außerdem ist es regelmäßig zu aktualisieren, wenn sich Größe, Portfolio, Gesellschaftsstruktur oder Geschäftsmodell ändern.
IT und Produktion als ein System verstehen
In der Fertigung greifen klassische Büro-IT, Produktionsnetze, Maschinensteuerungen, Engineering-Arbeitsplätze, Fernwartung und Lieferkette ineinander. Ein Ausfall der E-Mail ist lästig. Eine manipulierte Rezeptur, eine nicht erreichbare Steuerung oder ein blockiertes Lager kann Produktion und Auslieferung stoppen. Deshalb darf die Risikoanalyse nicht an der Tür zur Werkhalle enden. Sie muss vom geschäftlich notwendigen Produkt oder Prozess rückwärts zu den technischen und organisatorischen Abhängigkeiten führen.
Dabei unterscheiden sich IT und operative Technik in wichtigen Punkten. Produktionsanlagen haben lange Lebenszyklen, geplante Wartungsfenster sind knapp und Updates lassen sich nicht beliebig einspielen. Manche Systeme benötigen Herstellerfreigaben oder können nur von Spezialisten betreut werden. Diese Bedingungen heben Sicherheitsanforderungen nicht auf. Sie verändern aber die passenden Maßnahmen: Segmentierung, kontrollierte Übergänge, sichere Konfigurationen, Überwachung und getestete Ersatzverfahren werden umso wichtiger.
Ein brauchbares Lagebild verbindet Anlage, Produkt, Prozess und mögliche Schadwirkung. Welche Maschine begrenzt den gesamten Durchsatz? Welche Rezepturen oder Konstruktionsdaten sind für die Fertigung unverzichtbar? Welche Systeme müssen nach einem Ausfall zuerst wiederhergestellt werden? Und wie lange kann der Betrieb mit manuellen Verfahren weiterarbeiten? Solche Fragen liefern mehr Erkenntnis als eine lange Liste von Geräten, die niemand nach Kritikalität sortiert hat.
Fernwartung und Lieferkette beherrschbar machen
Hersteller sind zugleich Kunde und Lieferant. Sie beziehen Komponenten, Software, Cloud-Dienste und Wartung und liefern ihre Produkte in andere regulierte Wertschöpfungsketten. § 30 BSIG nennt ausdrücklich die Sicherheit der Lieferkette. Das bedeutet nicht, jeden Lieferanten wie das eigene Unternehmen zu steuern. Es bedeutet, Abhängigkeiten und Risiken zu kennen, Anforderungen passend festzulegen und im Vorfall handlungsfähig zu bleiben.
Besondere Aufmerksamkeit verdienen Fernzugänge. Sie sind im Betrieb oft unverzichtbar, verbinden aber fremde Geräte und Personen unmittelbar mit der Produktion. Zugänge sollten nur bei Bedarf aktiviert, eindeutig zugeordnet, angemessen authentisiert und protokolliert werden. Rechte müssen zur Aufgabe passen und nach Ende der Tätigkeit entzogen werden. Ein dauerhaft offenes Wartungskonto wird nicht dadurch sicherer, dass es seit zehn Jahren störungsfrei funktioniert.
- Fernzugriffe nur kontrolliert, nachvollziehbar und angemessen abgesichert zulassen.
- Kritische Ersatzteile, Konfigurationen und Wiederanlaufverfahren geschützt vorhalten.
- Lieferanten nach Kritikalität unterscheiden und Sicherheitsanforderungen vertraglich festhalten.
- Abhängigkeiten von einzelnen Herstellern, Plattformen und Spezialisten sichtbar machen.
- Vorfälle auf Produktion, Produktsicherheit, Qualität und Lieferfähigkeit bewerten.
Vorfälle und Wiederanlauf gemeinsam üben
Ein Produktionsstillstand ist kein reines IT-Ereignis. Betrieb, Instandhaltung, Qualität, Arbeitssicherheit, Einkauf, Kommunikation und Leitung benötigen ein gemeinsames Verfahren. Im Ernstfall muss früh geklärt werden, was betroffen ist, welche Anlagen sicher heruntergefahren werden müssen und welche Aufträge oder Kunden priorisiert werden. Die gesetzlich vorgesehenen Meldungen kommen hinzu; sie ersetzen die betriebliche Krisenführung nicht.
Wiederherstellung sollte deshalb nicht nur auf Datensicherungen reduziert werden. Benötigt werden auch bekannte Konfigurationen, Installationsmedien, Lizenzen, Dokumentationen und erreichbare Fachleute. Ein Backup ist erst dann beruhigend, wenn die benötigte Anlage damit innerhalb einer vertretbaren Zeit wieder anlaufen kann. Die Probe darf ruhig weniger dramatisch sein als der echte Vorfall. Genau dafür probt man.
Die Geschäftsleitung braucht ein Produktionsbild
§ 38 BSIG bindet die Geschäftsleitung in Umsetzung, Überwachung und Schulung ein. Sie muss nicht jede Steuerung kennen. Sie muss aber verstehen, welche Produktionsleistungen kritisch sind, welche wesentlichen Abhängigkeiten bestehen, welche Risiken akzeptiert wurden und ob Schutz- und Wiederanlaufmaßnahmen funktionieren. Nur dann lassen sich Investitionen sinnvoll priorisieren.
Geeignete Berichte zeigen daher nicht nur die Zahl geschlossener Tickets. Sie verbinden technische Beobachtungen mit möglichen Folgen für Liefertermine, Qualität, Sicherheit und Ergebnis. Nicht jede alte Maschine ist automatisch das größte Risiko; nicht jede neue Cloud-Anbindung automatisch Fortschritt. Entscheidend ist, wie eine Schwachstelle auf die geschäftlich notwendige Leistung wirkt.
Zur Wirksamkeitsprüfung gehören außerdem wenige, aber aussagekräftige Kontrollen. Werden nicht mehr benötigte Wartungszugänge tatsächlich geschlossen? Lassen sich gesicherte Maschinenkonfigurationen wieder einspielen? Erreichen Warnungen die zuständige Schicht und werden Abweichungen bearbeitet? Solche Prüfungen zeigen den Zustand besser als eine Richtlinie, deren letzte praktische Begegnung mit der Produktion bei ihrer Freigabe endete.
Auch Veränderungen müssen in das Risikomanagement einfließen. Eine neue Anlage, ein zusätzlicher Cloud-Dienst oder die Übernahme eines Standorts verändert Datenflüsse und Abhängigkeiten. Sicherheit gehört deshalb in Beschaffung, Inbetriebnahme und Änderungsfreigabe. Nachträgliche Absicherung ist möglich, nur selten elegant und erstaunlich häufig teurer.
Kurz gesagt
NIS2 kann Hersteller, Maschinenbauer und Fahrzeugproduzenten erfassen, wenn Einrichtungsart, Tätigkeit und Größe passen. Eine dokumentierte Einstufung ist belastbarer als die pauschale Kabelregel. Für die Umsetzung braucht es ein gemeinsames Bild aus IT, OT, Lieferkette und Geschäftsfolgen. Wer kritische Produktionsleistungen kennt, Fernzugänge kontrolliert, Abhängigkeiten bewertet und den Wiederanlauf übt, erfüllt nicht nur gesetzliche Anforderungen. Er schützt die Fähigkeit, auch unter schwierigen Bedingungen weiter zu produzieren.
Quellen und weiterführende Informationen
Zuletzt fachlich geprüft: