NIS2 für Fertigungsunternehmen: Was die Richtlinie tatsächlich verlangt

Viele Hersteller halten NIS2 noch immer für etwas, das Stromnetze, Krankenhäuser und Banken betrifft. Dort hört es aber nicht auf. Anhang II der Richtlinie nennt ausdrücklich Teilsektoren der Fertigung - Medizinprodukte, Computer und Elektronik, elektrische Ausrüstungen, Maschinenbau, Kraftfahrzeuge und sonstiger Fahrzeugbau - als „wichtige Einrichtungen“. Fällt Ihr NACE-Code in eine dieser Kategorien und sind Sie ein mittleres oder großes Unternehmen, gilt NIS2 bereits für Sie - ob im Unternehmen schon jemand darauf reagiert hat oder nicht.

Das bedeutet es in der Praxis.

1. Wer betroffen ist

Die Größenschwellen sind der erste Filter: Grob gesagt sind mittlere Unternehmen (ab 50 Beschäftigten oder mit Umsatz bzw. Bilanzsumme über 10 Mio. €) und große Unternehmen (ab 250 Beschäftigten oder mit Umsatz über 50 Mio. €) in einem erfassten Sektor automatisch betroffen. Einige kleinere Einrichtungen fallen unabhängig von ihrer Größe darunter, wenn sie in ihrem Land der einzige Anbieter eines kritischen Dienstes sind. Die meisten Komponenten- und Anlagenhersteller, die diesen Text lesen, liegen irgendwo in diesem mittleren bis großen Bereich, sobald man die Beschäftigten der gesamten Gruppe zählt und nicht nur die der Gesellschaft, die die Verträge unterschreibt.

Die Fertigung gehört zur Stufe der „wichtigen Einrichtungen“, nicht der „wesentlichen Einrichtungen“ (das sind Energie, Verkehr, Gesundheit, digitale Infrastruktur und Bankwesen). Der praktische Unterschied liegt in der Aufsicht: Wichtige Einrichtungen werden reaktiv geprüft, in der Regel nach einem Vorfall oder einem konkreten Hinweis auf Verstöße, statt durch proaktive Audits. Das bedeutet eine geringere Wahrscheinlichkeit einer Prüfung, aber keine niedrigere Messlatte - die Pflichten selbst sind identisch.

2. Die zehn Maßnahmen des Risikomanagements

Artikel 21 legt einen Grundbestand an Maßnahmen fest, den jede betroffene Einrichtung umsetzen muss, „geeignet und verhältnismäßig“ zu ihrer Größe und ihrem Risiko. Kurz gesagt: Risikoanalyse und Sicherheitsrichtlinien, Verfahren zur Bewältigung von Sicherheitsvorfällen, Betriebskontinuität sowie Backup- und Wiederherstellungspläne, Sicherheit der Lieferkette, Sicherheit bei Erwerb und Wartung von Systemen (einschließlich des Umgangs mit Schwachstellen), Konzepte zur Bewertung der Wirksamkeit der Maßnahmen, grundlegende Cyberhygiene und Schulungen, Einsatz von Kryptografie und Verschlüsselung, Sicherheit des Personals und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Bei den meisten Herstellern liegen die Lücken nicht in der IT, sondern in der OT: SPS, SCADA und Maschinensteuerungen, die nie mit diesen Anforderungen im Blick entworfen wurden und seit einem Jahrzehnt ungepatcht in flachen Netzen laufen.

3. Meldung von Vorfällen nach der Uhr

Dieser Teil überrascht viele. Sobald Sie von einem erheblichen Sicherheitsvorfall Kenntnis erlangen, haben Sie 24 Stunden für eine Frühwarnung an das nationale CSIRT oder die zuständige Behörde, 72 Stunden für eine ausführlichere Meldung des Vorfalls und einen Monat für einen Abschlussbericht. Niemand hat zufällig einen internen Prozess, der eine 24-Stunden-Frist einhält - er muss entworfen und geübt werden. Jemand muss also bereits entschieden haben, was als „erheblich“ gilt, wer angerufen wird und wer befugt ist, die Meldung um zwei Uhr nachts abzugeben.

4. Ihre Lieferanten sind jetzt Ihr Problem

Die Sicherheit der Lieferkette ist eine ausdrückliche Anforderung, kein Bonus. Hat ein Maschinenbauer, ein CAD/CAM-Anbieter oder ein Dienstleister für Fernwartung Zugang zu Ihren Produktionssystemen, wird von Ihnen erwartet, dass Sie dessen Sicherheitsniveau bewertet haben und steuern - vertraglich und technisch. Bei Herstellern, die Software von Drittanbietern in der Produktion einsetzen (also den meisten), ist dies bei der ersten Analyse meist der unreifste Bereich.

5. Die Geschäftsleitung haftet persönlich

Artikel 20 macht das Leitungsorgan dafür verantwortlich, die Maßnahmen des Risikomanagements zu genehmigen und ihre Umsetzung zu überwachen - mit Haftung für Verstöße und einer Schulungspflicht. Das ist keine Richtlinie mehr, die der CISO allein abzeichnet - sie braucht die Unterschrift der Geschäftsleitung oder der Eigentümer, und die Unterzeichnenden müssen tatsächlich verstehen, wofür sie verantwortlich sind.

Was Fehler kosten

Wichtigen Einrichtungen drohen Bußgelder von bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist - neben den Reputations- und Betriebskosten des Vorfalls selbst. In der Praxis ist das Bußgeld selten die größte Zahl - meist ist es der ungeplante Stillstand einer Produktionslinie während eines laufenden Vorfalls.

Nichts davon erfordert, die Produktion herauszureißen und von vorn zu beginnen. Der realistische Ausgangspunkt ist eine Gap-Analyse gegen die zehn Maßnahmen aus Artikel 21, getrennt für IT und OT, gefolgt von einem priorisierten Behebungsplan - genau die Art von Auftrag, die wir für Fertigungskunden durchführen, bevor aus einem Prüfbefund ein Vorfallbericht wird.