NIS2 und OT-Sicherheit: Was Industrieunternehmen jetzt umsetzen müssen

OT-Systeme steuern Kraftwerke, Produktionslinien und Wasserwerke. Viele dieser Systeme laufen seit Jahrzehnten ohne Sicherheitsupdates, weil sie für Verfügbarkeit gebaut wurden, nicht für Vertraulichkeit. Mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) müssen Betreiber diese Systeme nachweislich schützen. Dieser Artikel zeigt, welche Anforderungen NIS2 an OT-Umgebungen stellt, wo sich IT- und OT-Sicherheit unterscheiden und wie Industrieunternehmen die Umsetzung angehen.

OT-Umgebungen unter NIS2: Warum Industrieanlagen besonders betroffen sind

NIS2 gilt für Unternehmen in 18 Sektoren, darunter Energie, Fertigung, Chemie, Wasser und Transport. Die meisten dieser Sektoren betreiben OT-Umgebungen: Leittechnik in Kraftwerken, SCADA-Systeme in der Wasserversorgung, SPS-gesteuerte Fertigungslinien in der Industrie. Wer als "besonders wichtige Einrichtung" nach §28 NIS2UmsuCG eingestuft wird, unterliegt strengeren Anforderungen und der proaktiven Aufsicht durch das BSI.

Das Problem: OT-Systeme waren historisch nicht für Cyberangriffe ausgelegt. Sie wurden in geschlossenen Netzwerken betrieben, ohne Verbindung zur IT oder zum Internet. Diese Isolation existiert heute in den wenigsten Industrieunternehmen. Predictive Maintenance, Remote-Zugriffe und IoT-Sensoren haben die Grenzen zwischen IT und OT aufgelöst. Damit sind OT-Systeme angreifbar geworden, ohne dass die Schutzmaßnahmen mitgewachsen sind.

Besonders betroffen sind Unternehmen, die unter §28 Abs. 1 als "besonders wichtige Einrichtungen" gelten: Energieerzeuger und -verteiler, Wasserversorgung und Abwasserentsorgung, Verkehr und Transport. Aber auch Fertigungsunternehmen ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz fallen als "wichtige Einrichtungen" in den Anwendungsbereich, wenn sie in den vom BSI definierten Sektoren tätig sind.

IT vs. OT: Unterschiedliche Sicherheitsanforderungen

Wer OT-Sicherheit wie IT-Sicherheit behandelt, scheitert. Die Grundannahmen sind verschieden. In der IT steht Vertraulichkeit an erster Stelle (CIA-Triade: Confidentiality first). In der OT dominiert Verfügbarkeit: Ein stillstehender Hochofen oder eine unterbrochene Wasserversorgung verursacht physische Schäden und Millionenverluste. Patching, in der IT eine Routineaufgabe, ist in OT-Umgebungen oft unmöglich, weil ein Neustart der Steuerung den Produktionsprozess unterbricht.

Welche technischen Maßnahmen §30 NIS2 im Detail fordert, zeigt unser Überblicksartikel. Für OT-Umgebungen bedeuten diese Maßnahmen aber einen grundlegend anderen Umsetzungsansatz als in der klassischen IT.

ICS/SCADA-Sicherheit: Segmentierung und Monitoring

NIS2 fordert "technische und organisatorische Maßnahmen" nach dem Stand der Technik. Für OT-Umgebungen ist der Referenzstandard die IEC 62443, die speziell für industrielle Automatisierungssysteme entwickelt wurde. Sie definiert Sicherheitszonen (Zones) und kontrollierte Übergänge (Conduits), die sich direkt auf NIS2-Anforderungen mappen lassen.

Der Vorteil der IEC 62443 gegenüber einer rein IT-getriebenen Sicherheitsstrategie: Sie berücksichtigt die Realität von OT-Umgebungen, in denen Systeme nicht einfach abgeschaltet, gepatcht oder ersetzt werden können. NIS2 verlangt "Stand der Technik". Für OT-Umgebungen ist IEC 62443 dieser Stand der Technik.

Vier Maßnahmen bilden das Fundament der OT-Absicherung:

Risikomanagement für OT nach NIS2

§30 NIS2UmsuCG fordert eine Risikoanalyse für alle Systeme, die für den Betrieb relevant sind. OT-Systeme fallen da klar darunter. Die Herausforderung: Eine OT-Risikoanalyse folgt anderen Kriterien als eine IT-Risikoanalyse. Das höchste Risiko ist nicht der Datenabfluss, sondern der Produktionsstillstand, die Beschädigung von Anlagen oder die Gefährdung von Menschenleben.

Ein OT-spezifischer Risikomanagement-Prozess umfasst vier Schritte: Zunächst ein OT-Asset-Inventar erstellen (welche Systeme, Firmware-Versionen und Netzwerkverbindungen existieren). Dann Bedrohungsszenarien bewerten, die für OT typisch sind: Ransomware auf dem HMI, Manipulation von SPS-Logik, Lateral Movement von der IT in die OT. Im dritten Schritt die Risiken nach Verfügbarkeits-Impact bewerten, nicht nach dem Vertraulichkeitsschaden. Und schließlich Maßnahmen priorisieren und dokumentieren, damit sie im Audit nachweisbar sind.

Der häufigste Fehler in der Praxis: IT- und OT-Risiken getrennt verwalten. Zwei separate Excel-Listen, zwei getrennte Verantwortlichkeiten, keine Übersicht. Das BSI prüft aber das Gesamtbild. Wer nachweisen will, dass Lateral-Movement-Risiken (IT-Angreifer bewegt sich in die OT) behandelt sind, braucht eine Risikoanalyse, die beide Welten abdeckt. Ein gemeinsames ISMS für IT und OT löst dieses Problem.

"OT-Sicherheit war lange ein blinder Fleck. Die Systeme liefen, also hat sich niemand drum gekümmert. NIS2 ändert das: Wer OT betreibt und nicht nachweisen kann, dass er Risiken systematisch bewertet und behandelt hat, haftet persönlich. Ein ISMS, das IT und OT gemeinsam abbildet, schafft diesen Nachweis."

Amin Abbaszadeh, Informationssicherheitsexperte bei SECJUR

ISMS-Plattformen wie SECJUR Digital Compliance Office helfen, IT- und OT-Risiken in einem zentralen System zu dokumentieren. Statt getrennte Excel-Listen für IT-Risiken und OT-Risiken zu pflegen, lässt sich der gesamte Risikomanagement-Prozess nach §30 auf einer Plattform abbilden: vom Risikoinventar über die Bewertungsmatrix bis zum dokumentierten Behandlungsplan. Das spart doppelte Dokumentation und macht die Nachweisführung im Audit einfacher.

Praxisbeispiele: NIS2-Umsetzung in der Industrie

Zwei typische Szenarien zeigen, wie Industrieunternehmen die OT-Absicherung nach NIS2 angehen:

Beide Szenarien zeigen dasselbe Muster: Die technischen Maßnahmen (Segmentierung, Monitoring, Zugriffskontrolle) greifen nur, wenn sie im Risikomanagement verankert und dokumentiert sind. SECJUR unterstützt Industrieunternehmen dabei, OT-Sicherheitsmaßnahmen systematisch zu dokumentieren und Krisenmanagement-Pläne für OT-Vorfälle aufzubauen.

Fazit

OT-Sicherheit ist mit NIS2 keine optionale Ergänzung mehr. Betreiber in regulierten Sektoren müssen nachweisen, dass sie ICS- und SCADA-Systeme systematisch geschützt haben. IEC 62443 liefert den technischen Rahmen. Ein ISMS, das IT- und OT-Risiken gemeinsam abbildet, liefert den organisatorischen Rahmen und die Nachweisfähigkeit für das BSI-Audit. Wer beides verbindet, erfüllt die NIS2-Anforderungen, ohne IT- und OT-Sicherheit doppelt aufbauen zu müssen.