NIS2 in Produktionsnetzen: Was jetzt konkret zu tun ist

Der rechtliche Stand in einem Absatz (ohne Gewähr)

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft und reformiert das BSI-Gesetz grundlegend. Es gibt keine Schonfrist für die technischen und organisatorischen Maßnahmen, wer betroffen ist, muss die Anforderungen seit dem ersten Tag erfüllen. Rund 29.500 Einrichtungen fallen darunter, in der Regel ab 50 Beschäftigten oder 10 Mio. Euro Umsatz. Unter anderem in Fertigung und Maschinenbau, Lebensmittelproduktion, Pharma, Energie, Wasser und Logistik. Die Registrierungspflicht beim BSI lief am 6. März 2026 ab. Wer sie versäumt hat, ist in Verzug, aber weiterhin verpflichtet. Für kritische Infrastrukturen kommt seit dem 17. März 2026 das KRITIS-Dachgesetz mit Anforderungen an die physische Resilienz hinzu. Bei Verstößen drohen Bußgelder von bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes und die Geschäftsleitung haftet persönlich.

Warum NIS2 für OT-Netze schwerer wiegt als für die Office-IT

In der klassischen Büro-IT sind die geforderten Maßnahmen (Patchen, Segmentieren, Zugriffe kontrollieren, protokollieren) seit Jahren Routine. In der Produktion sieht die Realität anders aus. Steuerungen laufen über Jahre unangetastet, weil jeder Eingriff die Linie stoppen kann. Anlagen sprechen Protokolle, die nie für eine feindliche Umgebung entworfen wurden. Und über die Zeit ist häufig ein flaches Netz entstanden, in dem Fertigung, Leitstand und Bürowelt technisch kaum getrennt sind.

Das kollidiert direkt mit dem Kern von §30 BSIG: dem Stand der Technik im Risikomanagement. NIS2 verlangt nicht abstrakt „mehr Sicherheit", sondern nachweisbar wirksame Maßnahmen und in einem flachen Produktionsnetz lässt sich Wirksamkeit schlicht nicht belegen. Der Hebel liegt deshalb weniger im Einkauf neuer Produkte als in der Netzarchitektur.

§30 übersetzt in Netzwerkarchitektur

Die gesetzlichen Risikomanagement-Anforderungen lassen sich für die OT auf vier architektonische Grundpfeiler herunterbrechen:

1. Segmentierung und Zonierung

Die Trennung von IT und OT ist die Basis. Ein bewährtes Ordnungsmodell dafür ist das Purdue-Referenzmodell in Verbindung mit dem Zonen- und Conduit-Konzept der IEC 62443. Anlagen werden nach Schutzbedarf in Zonen gruppiert, und jede Verbindung zwischen zwei Zonen (ein Conduit) wird bewusst definiert, kontrolliert und überwacht. Entscheidend ist, dass die Segmentierung fachlich begründet ist und nicht an der Stelle endet, wo das Verlegen eines weiteren Kabels unbequem wurde. Und ein Conduit it es nur, wenn strikt auf der Verbindung gefiltert wird.

2. Kontrollierte Übergänge statt einer Firewall „am Rand"

Eine einzelne Firewall zwischen Büro und Fertigung erfüllt nicht den Zweck. Sobald ein Angreifer diese eine Grenze überwindet, steht ihm das gesamte Produktionsnetz offen. Wirksam wird die Architektur erst, wenn die Übergänge zwischen den Zonen einzeln abgesichert sind und der Datenverkehr dem Prinzip der minimalen Rechte folgt: erlaubt ist nur, was für den Betrieb nachweislich nötig ist.

3. Fernwartung als eigenes Risikokapitel

Fernzugänge von Maschinen- und Anlagenlieferanten sind in der Praxis das häufigste ungesteuerte Einfallstor. Dauerhaft offene VPN-Tunnel oder herstellereigene Wartungszugänge, die niemand mehr überblickt, widersprechen dem NIS2-Risikomanagement direkt. Moderne Ansätze ersetzen den pauschalen Netzzugang durch identitätsbasierten Zugriff auf genau eine Anlage, zeitlich begrenzt und lückenlos protokolliert – der Gedanke hinter Zero-Trust-Zugängen. Weiterhin gilt in der OT das Prinzip "Safety vor Security". Somit sollte am Standort vor Ort eine weitere Kontrollinstanz verhindern, daß Gesundheit und Menschenleben sowie das Produkt selbst nicht gefährdet werden, wenn jemand die Fernwartung durchführt.

4. Sichtbarkeit und Protokollierung

Die verschärften Meldepflichten aus §32 – eine frühe Erstmeldung binnen 24 Stunden, eine Folgemeldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats – lassen sich nur erfüllen, wenn man überhaupt sieht, was im Netz passiert. Wer den OT-Datenverkehr nicht sichtbar macht, kann einen Vorfall weder fristgerecht melden noch eingrenzen. Ein passives Monitoring der Produktionszonen ist damit keine Kür, sondern Voraussetzung für die Meldefähigkeit geworden.

Die typischen Lücken in gewachsenen Netzen

In der Projektpraxis wiederholen sich einige Muster: Ein historisch flaches Netz ohne echte IT/OT-Trennung. Fernwartungszugänge, deren Zahl und Umfang niemand vollständig kennt. Identische Standard-Passwörter quer über Anlagen sowie eine Dokumentation, die den tatsächlichen Netzzustand seit Jahren nicht mehr abbildet. Keine dieser Lücken ist für sich spektakulär. In Summe machen sie ein Produktionsnetz aber prüfungsunfähig im Sinne von NIS2.

Erste Schritte, ohne die Produktion zu stoppen

Die berechtigte Sorge in jedem Werk lautet: Sicherheit gegen Verfügbarkeit. Beides ist vereinbar, wenn man schrittweise und messbar vorgeht statt mit dem großen Wurf. Ein pragmatischer Einstieg:

1. Bestandsaufnahme statt Bauchgefühl. Erst den realen Netzzustand und alle Zonenübergänge sichtbar machen. Wichitg: inklusive aller Fernwartungszugänge. Ohne belastbares Bild ist jede Maßnahme geraten.
2. Zielarchitektur definieren. Eine Soll-Segmentierung nach Schutzbedarf entwerfen, an der sich alle weiteren Schritte ausrichten, auditfähig und dokumentiert.
3. Fernwartung zuerst absichern. Das größte Risiko mit dem besten Aufwand-Nutzen-Verhältnis. Ungesteuerte Zugänge durch kontrollierten, protokollierten Zugriff ersetzen.
4. Zonen im laufenden Betrieb einziehen. Segment für Segment, beginnend an den Übergängen mit dem höchsten Risiko, jeweils mit Rückfallmöglichkeit.
5. Monitoring und Meldeprozess verankern. Sichtbarkeit herstellen und die 24- dann 72-Stunden-Meldekette organisatorisch durchspielen, bevor der Ernstfall sie erzwingt.

Warum das Chefsache ist

NIS2 macht die Geschäftsleitung ausdrücklich verantwortlich. Sie muss die Risikomaßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Sie haftet bei Verstößen persönlich. Damit ist die OT-Netzarchitektur keine rein technische Frage mehr, sondern eine der Unternehmensführung. Die gute Nachricht: Eine sauber segmentierte, dokumentierte Architektur erfüllt nicht nur die Auflage, sie erhöht zugleich die Verfügbarkeit und Stabilität der Produktion. Compliance und Betriebssicherheit ziehen hier in die selbe Richtung.