Zurück zur Übersicht
NIS2 & Compliance02. Juli 2026ca. 9 Min.Von Felix Wanner

NIS2 im Maschinenbau: Was Fertigungsunternehmen jetzt umsetzen müssen

Maschinen- und Anlagenbau sowie weite Teile des verarbeitenden Gewerbes gehören zu den Sektoren der NIS2-Richtlinie: Wer die Größenkriterien erfüllt, in der Regel ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz, ist als „wichtige Einrichtung" reguliert. Für Fertigungsunternehmen kommt eine Besonderheit hinzu: Die Produktionsumgebung (OT) ist zugleich das wertvollste und das am schwersten zu schützende Terrain. Dieser Beitrag zeigt, worauf es bei der Umsetzung ankommt.

Warum der Maschinenbau betroffen ist

NIS2 erfasst 18 Sektoren, darunter ausdrücklich das verarbeitende Gewerbe mit Maschinenbau, Fahrzeugbau sowie der Herstellung elektrischer und optischer Erzeugnisse. Anders als frühere Regelungen zielt die Richtlinie damit nicht mehr nur auf klassische kritische Infrastrukturen, sondern auf die industrielle Breite des Mittelstands.

Hinzu kommt die Lieferketten-Wirkung: Auch wer selbst unter den Schwellenwerten bleibt, bekommt die Anforderungen zunehmend über Kundenverträge weitergereicht. Große Auftraggeber müssen die Sicherheit ihrer Zulieferer bewerten und fragen entsprechende Nachweise ab. Die Grundlagen der Betroffenheitsprüfung erklärt unser Beitrag NIS2: Welche Unternehmen sind betroffen?.

Die Besonderheit der Fertigung: IT trifft OT

In der Büro-IT lassen sich Systeme patchen, neu starten und im Zweifel isolieren. In der Produktion gelten andere Gesetze: Eine Maschinensteuerung läuft oft Jahrzehnte, ein ungeplanter Stillstand kostet je nach Linie fünf- bis sechsstellige Beträge pro Tag, und viele Steuerungen vertragen weder Updates noch klassische Schutzsoftware.

Typische Risikopunkte, die wir in Fertigungsumgebungen immer wieder sehen:

  • Fernwartungszugänge von Maschinenherstellern, die dauerhaft offen stehen und an der zentralen IT vorbei ins Produktionsnetz führen
  • Veraltete Betriebssysteme auf Steuerungsrechnern, für die es keine Sicherheitsupdates mehr gibt
  • Fehlende Trennung zwischen Büro-Netz und Produktionsnetz: Ein verschlüsselter Büro-Rechner erreicht im schlimmsten Fall die Anlagensteuerung
  • USB-Sticks und Servicelaptops externer Techniker als unkontrollierter Übertragungsweg
  • Keine Sichtbarkeit: Niemand weiß vollständig, welche Geräte im Produktionsnetz überhaupt kommunizieren

Was NIS2 konkret verlangt, übersetzt für die Fertigung

  • Risikomanagement, das die Produktion einschließt: Die Risikoanalyse muss OT-Systeme, Fernwartung und Lieferkette abdecken, nicht nur die Büro-IT.
  • Angriffserkennung und Bewältigung: Sicherheitsvorfälle müssen erkannt, bewertet und strukturiert behandelt werden, dafür braucht es kontinuierliche Überwachung auch an der Schnittstelle zum Produktionsnetz.
  • Meldefähigkeit: Erhebliche Vorfälle sind binnen 24 Stunden als Erstmeldung an das BSI zu melden. Das setzt voraus, dass Sie einen Vorfall überhaupt so schnell erkennen und bewerten können.
  • Verantwortung der Geschäftsleitung: Die Umsetzung ist Leitungsaufgabe, mit persönlicher Verantwortung. Delegieren lässt sich die Arbeit, nicht die Verantwortung.
  • Business Continuity: Backup-, Wiederanlauf- und Krisenkonzepte müssen auch den Produktionsstillstand denken: Wie lange können Sie liefern, wenn die Linie steht?

Ein praxistauglicher Fahrplan in vier Schritten

  • Schritt 1, Betroffenheit und Bestandsaufnahme: Betroffenheit dokumentieren, Asset-Inventar über IT und OT aufbauen, Fernwartungszugänge vollständig erfassen. Ohne Sichtbarkeit keine Sicherheit.
  • Schritt 2, Netztrennung und Zugänge: Produktionsnetz segmentieren, Fernwartung auf kontrollierte, protokollierte Zugänge umstellen, Mehrfaktor-Authentifizierung für alle administrativen Wege.
  • Schritt 3, Überwachung aufschalten: Kontinuierliche Angriffserkennung zunächst für Büro-IT und die Übergänge zum Produktionsnetz, passive Netzwerk-Sensorik für die OT, ohne Eingriff in laufende Anlagen. Wie das organisatorisch funktioniert, zeigt Was macht ein Security Operations Center?.
  • Schritt 4, Melde- und Notfallprozesse üben: Meldewege definieren, Verantwortliche benennen, den Ernstfall einmal durchspielen, inklusive der Frage, wer nachts um drei entscheidet, ob eine Linie vom Netz geht.

Wie RedCastle Fertigungsunternehmen unterstützt

Unser Managed SOC überwacht IT- und OT-Übergänge aus einer Hand: Endgeräte und Server über Software-Agents, das Produktionsnetz über passive Netzwerk-Sensorik, die den Datenverkehr beobachtet, ohne Anlagen zu beeinflussen. Spezialisierte OT-Plattformen großer Industrieumgebungen ersetzen wir dabei nicht, wir binden sie als Datenquelle ein und übernehmen den Teil, der ihnen fehlt: die durchgehende Auswertung und Reaktion.

Bei der Meldepflicht gilt eine klare Arbeitsteilung: Wir erkennen und bewerten den Vorfall, bereiten die meldefertige Vorlage für das BSI vor und überwachen die Fristen. Die Abgabe der Meldung bleibt gesetzliche Pflicht Ihres Unternehmens, wir sorgen dafür, dass Sie sie fristgerecht und fundiert erfüllen können.

Häufige Fragen zu NIS2 in der Fertigung

Ist unser Maschinenbau-Unternehmen mit 80 Mitarbeitern von NIS2 betroffen?

Sehr wahrscheinlich ja: Das verarbeitende Gewerbe inklusive Maschinenbau gehört zu den NIS2-Sektoren, und ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz greifen die Größenkriterien. Die Betroffenheit sollte formal geprüft und dokumentiert werden, die rechtliche Bewertung im Einzelfall gehört zu Ihrem Rechtsbeistand.

Müssen wir für NIS2 unsere alten Maschinensteuerungen austauschen?

Nein. NIS2 verlangt angemessene, risikobasierte Maßnahmen. Für Altsysteme, die sich nicht härten lassen, sind kompensierende Kontrollen der übliche Weg: Netztrennung, kontrollierte Zugänge und Überwachung des umgebenden Datenverkehrs.

Reicht unsere bestehende Firewall zwischen Büro und Produktion?

Sie ist ein wichtiger Baustein, beantwortet aber nicht die NIS2-Kernforderung nach Erkennung und Bewältigung von Vorfällen. Eine Firewall verhindert Verbindungen, sie bemerkt jedoch keinen Angreifer, der über einen legitimen Weg hineingelangt ist. Warum das so ist, erklärt Warum eine Firewall allein nicht ausreicht.

Meldet RedCastle Vorfälle für uns an das BSI?

Die Abgabe der Meldung ist gesetzlich Pflicht des betroffenen Unternehmens und lässt sich nicht auslagern. Wir liefern alles, was Sie dafür brauchen: die Erkennung, die Bewertung, die meldefertige Vorlage und die Fristenüberwachung.

Wie schnell lässt sich eine Überwachung in der Fertigung aufbauen?

Die Büro-IT und die IT/OT-Übergänge sind in der Regel innerhalb weniger Tage aufgeschaltet. Die passive OT-Sensorik planen wir gemeinsam mit Ihrer Produktionsleitung, ohne Stillstand und ohne Eingriff in laufende Anlagen.

Der nächste Schritt

Klären Sie zuerst Ihre Betroffenheit und den Status quo: In einem kostenlosen Analysegespräch gehen wir Betroffenheit, Produktionsrisiken und sinnvolle erste Schritte für Ihr Unternehmen durch. Einen Überblick über unsere NIS2-Unterstützung finden Sie auf der NIS2-Seite, die praktische Umsetzungsreihenfolge im Beitrag NIS2 in der Praxis.

Hinweis: Die Informationen stellen keine Rechtsberatung dar. Maßgeblich sind die jeweils geltenden gesetzlichen Regelungen und die individuelle Situation des Unternehmens.

Quellen und weiterführende Informationen
  • Bundesamt für Sicherheit in der Informationstechnik: NIS2-regulierte Unternehmen und NIS2-Betroffenheitsprüfung
  • Gesetz über das Bundesamt für Sicherheit in der Informationstechnik, insbesondere §§ 30 und 32 BSIG
  • IEC 62443: Security for industrial automation and control systems

Sie haben Fragen zu NIS2?

Wir unterstützen Sie bei der Einschätzung Ihrer Betroffenheit und bei der praktischen Umsetzung der Anforderungen.