Welche Maschinen fallen unter die NIS2-Richtlinie?

Nicht Maschinen als solche fallen unter die NIS2-Richtlinie, sondern die Unternehmen und Einrichtungen, die diese Maschinen betreiben. Entscheidend ist, ob ein Betreiber einer kritischen oder wichtigen Branche angehört und bestimmte Größenschwellen überschreitet. Wer unter NIS2 fällt, muss auch die Cybersicherheit seiner vernetzten Anlagen und Steuerungssysteme gewährleisten. Die folgenden Fragen klären, wen das konkret betrifft, welche Anlagen relevant sind und was zu tun ist.

Welche Branchen und Betreiber sind von NIS2 betroffen?

Von der NIS2-Richtlinie betroffen sind Unternehmen aus insgesamt 18 Sektoren, die als kritisch oder wichtig eingestuft werden. Dazu zählen unter anderem Energie, Trinkwasser, Abwasser, Transport, Gesundheitswesen, digitale Infrastruktur, Lebensmittelproduktion, chemische Industrie sowie die verarbeitende Industrie. Mittlere Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz können bereits in den Anwendungsbereich fallen.

Die Richtlinie unterscheidet zwischen zwei Kategorien: wesentliche Einrichtungen und wichtige Einrichtungen. Wesentliche Einrichtungen umfassen besonders kritische Sektoren wie Energie, Wasser und Gesundheit. Wichtige Einrichtungen schließen Branchen wie Maschinenbau, Lebensmittelverarbeitung und Chemieindustrie ein. Für beide Kategorien gelten Cybersicherheitspflichten, allerdings mit unterschiedlicher Überwachungsintensität.

Besonders relevant für produzierende Unternehmen: Seit der Erweiterung gegenüber der Vorgängerrichtlinie NIS1 erfasst NIS2 erstmals auch große Teile der verarbeitenden Industrie. Wer also Fertigungsanlagen betreibt und zu einem der genannten Sektoren gehört, sollte prüfen, ob die eigene Organisation unter die Richtlinie fällt.

Was macht eine Maschine oder Anlage NIS2-relevant?

Eine Maschine oder Anlage wird NIS2-relevant, wenn sie in einem betroffenen Unternehmen vernetzt betrieben wird und ein Ausfall oder eine Kompromittierung erhebliche Auswirkungen auf kritische Prozesse hätte. Nicht die Maschine selbst steht im Mittelpunkt, sondern ihre Rolle im Gesamtsystem und die Risiken, die von ihrer Vernetzung ausgehen.

Konkret spielen folgende Merkmale eine Rolle:

Vernetzung: Maschinen, die über Netzwerke mit anderen Systemen, dem Internet oder Cloud-Diensten verbunden sind, erzeugen Angriffsflächen.
Prozessrelevanz: Anlagen, die direkt in die Steuerung kritischer Produktions- oder Versorgungsprozesse eingebunden sind, tragen ein höheres Risiko.
Fernzugriff: Systeme mit Fernwartungszugang oder Remote-Monitoring-Funktionen müssen besonders abgesichert werden.
Datenaustausch: Maschinen, die Prozessdaten in Echtzeit übertragen oder empfangen, sind potenziell angreifbar.

Ältere Maschinen ohne ursprüngliche Netzwerkfähigkeit können durch nachträgliche Integration in IT-Netzwerke ebenfalls NIS2-relevant werden. Ein Retrofit, das eine Anlage mit modernen Kommunikationsschnittstellen ausstattet, schafft damit gleichzeitig neue Sicherheitsanforderungen.

Fallen Steuerungsanlagen und SPS unter NIS2?

Ja, speicherprogrammierbare Steuerungen (SPS), SCADA-Systeme, Prozessleitsysteme und andere industrielle Steuerungsanlagen fallen unter die NIS2-Anforderungen, wenn der Betreiber in den Anwendungsbereich der Richtlinie fällt. Diese Systeme gelten als besonders schützenswert, weil ein erfolgreicher Angriff auf sie direkte physische Folgen haben kann.

Industrielle Steuerungssysteme waren lange Zeit von klassischen IT-Sicherheitsmaßnahmen ausgenommen, weil sie in abgeschlossenen Netzwerken betrieben wurden. Durch die zunehmende Vernetzung von OT (Operational Technology) und IT sind diese Grenzen jedoch gefallen. SPS-Systeme kommunizieren heute häufig mit übergeordneten MES- oder ERP-Systemen, mit Cloud-Plattformen oder ermöglichen Fernwartungszugriffe. Genau hier entstehen die Schwachstellen, die NIS2 adressiert.

Für industrielle Automatisierungstechnik bedeutet das konkret: Steuerungssysteme müssen auf bekannte Schwachstellen geprüft, Zugriffsrechte klar geregelt und Netzwerksegmentierungen konsequent umgesetzt werden. Auch die Dokumentation von Systemarchitekturen und Kommunikationswegen gehört zu den Grundvoraussetzungen für eine NIS2-konforme Betriebsumgebung.

Welche Sicherheitspflichten gelten für betroffene Anlagen?

Unternehmen, die unter NIS2 fallen, müssen geeignete technische und organisatorische Maßnahmen ergreifen, um die Sicherheit ihrer Netzwerk- und Informationssysteme zu gewährleisten. Für vernetzte Maschinen und Steuerungsanlagen bedeutet das einen strukturierten Ansatz zur Risikobeherrschung, der sowohl präventive als auch reaktive Maßnahmen umfasst.

Die wichtigsten Pflichten im Überblick:

Risikoanalyse: Regelmäßige Bewertung der Cyberrisiken für alle relevanten Systeme und Prozesse.
Zugangskontrollen: Klare Regelung, wer auf welche Systeme zugreifen darf, inklusive sicherer Authentifizierungsverfahren.
Netzwerksegmentierung: Trennung von OT- und IT-Netzen, um die Ausbreitung von Angriffen zu begrenzen.
Patch- und Schwachstellenmanagement: Regelmäßige Aktualisierung von Firmware und Software, auch für industrielle Steuerungssysteme.
Incident Response: Etablierte Prozesse zur Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen.
Lieferkettensicherheit: Prüfung der Cybersicherheitsmaßnahmen bei Zulieferern und Dienstleistern.
Meldepflichten: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden an die zuständige Behörde gemeldet werden.

Besonders für Betreiber von Fertigungsanlagen mit vernetzten Steuerungssystemen ist die Kombination aus technischen Schutzmaßnahmen und organisatorischen Prozessen entscheidend. Eine sichere Anlage allein reicht nicht aus, wenn keine klaren Verantwortlichkeiten und Notfallpläne existieren.

Was passiert, wenn NIS2-Pflichten nicht erfüllt werden?

Bei Verstößen gegen die NIS2-Anforderungen drohen empfindliche Bußgelder. Wesentliche Einrichtungen können mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes sanktioniert werden, wichtige Einrichtungen mit bis zu 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes. Zusätzlich können Aufsichtsbehörden operative Einschränkungen anordnen.

Neben den finanziellen Sanktionen sind die Reputationsschäden und Haftungsrisiken für Geschäftsführer und Vorstände ein zunehmend ernst genommener Faktor. NIS2 sieht ausdrücklich vor, dass das Management persönlich für die Umsetzung der Sicherheitsmaßnahmen verantwortlich gemacht werden kann. In Deutschland wurde die Richtlinie durch das NIS2UmsuCG in nationales Recht überführt, das diese Haftungsregelungen konkretisiert.

Unternehmen, die noch keine Maßnahmen ergriffen haben, sollten nicht auf Einzelfallprüfungen warten. Die Aufsichtsbehörden haben angekündigt, die Einhaltung aktiv zu kontrollieren, insbesondere in Sektoren mit hoher gesellschaftlicher Relevanz.

Wie bereitet man vernetzte Maschinen auf NIS2 vor?

Die Vorbereitung vernetzter Maschinen auf NIS2 beginnt mit einer vollständigen Bestandsaufnahme aller vernetzten Systeme und einer Bewertung ihrer Risiken. Auf dieser Grundlage lassen sich gezielte technische Maßnahmen ableiten, die Anlagen schrittweise in einen NIS2-konformen Zustand bringen, ohne den laufenden Betrieb unnötig zu unterbrechen.

Ein bewährter Ansatz umfasst folgende Schritte:

Asset-Inventarisierung: Vollständige Erfassung aller vernetzten Maschinen, Steuerungen und Kommunikationsverbindungen.
Schwachstellenanalyse: Identifikation von veralteten Softwareständen, unsicheren Protokollen und ungeregelten Fernzugriffen.
Netzwerkarchitektur überprüfen: OT- und IT-Netze klar trennen und Kommunikationswege dokumentieren.
Zugriffsmanagement einrichten: Rollenbasierte Zugriffskontrollen für alle Steuerungssysteme implementieren.
Monitoring aktivieren: Systeme zur Erkennung von Anomalien und Sicherheitsvorfällen in der OT-Umgebung einsetzen.
Mitarbeiter schulen: Sensibilisierung für Cyberrisiken, insbesondere im Umgang mit Fernwartungszugängen und externen Schnittstellen.

Gerade ältere Anlagen, die durch Retrofit mit neuen Kommunikationsschnittstellen ausgestattet wurden, benötigen besondere Aufmerksamkeit. Die nachträgliche Integration in bestehende Netzwerke schafft Sicherheitslücken, die gezielt geschlossen werden müssen, bevor sie zum Angriffspunkt werden.

Wie KSV Sie bei der NIS2-Konformität Ihrer Anlagen unterstützt

Als erfahrener Partner für Steuerungs- und Automatisierungstechnik unterstützen wir Industrieunternehmen dabei, ihre vernetzten Maschinen und Steuerungsanlagen NIS2-konform aufzustellen. Unser Leistungsangebot deckt genau die Bereiche ab, die für eine sichere und regelkonforme OT-Umgebung entscheidend sind:

Analyse bestehender Steuerungsarchitekturen auf Schwachstellen und Kommunikationsrisiken
Planung und Umsetzung sicherer Netzwerksegmentierung zwischen OT und IT
Modernisierung und Retrofit veralteter Steuerungssysteme, inklusive sicherer Integration in bestehende Netzwerkstrukturen
Programmierung und Dokumentation von SPS-Systemen, Prozessleitsystemen und HMI-Lösungen nach aktuellen Sicherheitsstandards
Unterstützung bei Sicherheitskonzepten und Gefährdungsbeurteilungen für industrielle Steuerungssysteme
Inbetriebnahme und Schulung Ihrer Mitarbeiterinnen und Mitarbeiter im sicheren Umgang mit vernetzten Anlagen

Wir denken Automatisierungstechnik und Sicherheit zusammen, branchenübergreifend und aus einer Hand. Sprechen Sie uns an, wenn Sie wissen möchten, welche Ihrer Anlagen unter NIS2 fallen und welche Maßnahmen konkret erforderlich sind.