Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
NIS2 Checkliste für Maschinenbau und Fertigung: Zählweise im Konzern, der Maßnahmenkatalog des § 30 BSIG, IEC 62443 und die Funkanlagen-Vorschrift.
In der Fertigung wird NIS2 meist als IT-Projekt gestartet und als Produktthema fortgesetzt. Beides ist richtig, aber die Reihenfolge stimmt selten, und eine der drei Produktvorschriften gilt bereits, während die beiden bekannteren erst kommen.
Mehr als die eigene Gesellschaft. Der Sektor selbst ist eng gefasst: Die Anlage 2 des BSIG knüpft an die Abteilungen 26 bis 30 der NACE Rev. 2 an, also Elektronik, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und sonstigen Fahrzeugbau. Ein Zerspanungs- oder Blechbetrieb liegt in Abteilung 25 und kommt über den Sektor nicht hinein.
Die Zählweise ist die eigentliche Überraschung. § 28 Absatz 4 BSIG verweist für Beschäftigte, Umsatz und Bilanzsumme auf die Empfehlung 2003/361/EG, wonach Partnerunternehmen zwischen 25 und 50 Prozent anteilig und verbundene Unternehmen bei Kontrolle über 50 Prozent vollständig hinzugerechnet werden. Dann folgt der Satz, der über die Konzernfrage entscheidet: Die Daten sind nicht hinzuzurechnen, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig ist. Maßstab ist also die IT und nicht das Organigramm. Ein Tochterwerk am zentralen ERP, im gemeinsamen Verzeichnisdienst und hinter der Konzern-Firewall ist nicht unabhängig, ein zugekaufter Lohnfertiger auf eigenem Stack kann es sein.
Zehn, und sie stehen als Mindestkatalog im Gesetz. § 30 Absatz 2 BSIG nennt Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik, die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs einschließlich Backup-Management, Wiederherstellung und Krisenmanagement, die Sicherheit der Lieferkette, Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung samt Schwachstellenmanagement, Konzepte zur Bewertung der Wirksamkeit, Schulungen und Sensibilisierung, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Mehrfaktor-Authentifizierung und gesicherte Kommunikation.
Vier davon sind in der Produktion unbequem. Die Wiederherstellung nach Nummer 3 muss die Steuerungsebene einschließen, und ein Backup der Büro-IT hilft beim Wiederanlauf einer Linie nicht. Die Wirksamkeitsbewertung nach Nummer 6 setzt Messpunkte voraus, die es in OT-Netzen oft nicht gibt. Kryptografie nach Nummer 8 kollidiert mit Feldbusprotokollen ohne Verschlüsselung, was dann nur über Segmentierung kompensierbar ist. Und Mehrfaktor-Authentifizierung nach Nummer 10 trifft genau die Wartungszugänge, die aus Verfügbarkeitsgründen offen bleiben. Der Vorsatz des Absatzes gibt dabei den Bewertungsmaßstab: Stand der Technik, einschlägige europäische und internationale Normen, gefahrenübergreifender Ansatz.
Sie liefert genau die Normen, die der Gesetzestext meint. Die Reihe ist nach Rollen sortiert, und das erleichtert die Zuordnung. IEC 62443-2-1 beschreibt das Sicherheitsprogramm des Betreibers und ist damit das Gegenstück zum Managementsystem. IEC 62443-2-4 richtet sich an Dienstleister bei Integration und Wartung und ist der passende Anker für Verträge über Fernwartung. IEC 62443-3-2 regelt die Aufteilung in Zonen und Conduits und die Zuweisung von Sicherheitsniveaus, IEC 62443-3-3 die technischen Systemanforderungen.
Für Hersteller sind die Teile 4-1 und 4-2 entscheidend: sichere Produktentwicklung über den Lebenszyklus und technische Anforderungen an Komponenten. Damit lässt sich die Pflicht aus § 30 Absatz 2 Nummer 5 BSIG mit einem anerkannten Prozess belegen, statt sie zu beschreiben. Die vier Security Level reichen von Schutz gegen unbeabsichtigte Vorfälle bis zu Schutz gegen hochprofessionelle Angreifer, und weil je Zone ein Level festgelegt wird, wird aus der Verhältnismäßigkeit des § 30 Absatz 1 BSIG eine begründbare Entscheidung.
Die unbekannteste von drei. Die Delegierte Verordnung (EU) 2022/30 zur Funkanlagenrichtlinie ist seit dem 1. August 2025 anwendbar und aktiviert die Anforderungen des Artikels 3 Absatz 3 Buchstaben d, e und f: Schutz des Netzes vor Beeinträchtigung und Missbrauch von Ressourcen, Schutz personenbezogener Daten und der Privatsphäre sowie Schutz vor Betrug. Betroffen ist internetfähige Funkanlagentechnik, und damit praktisch jede Maschine oder Komponente mit WLAN, Bluetooth oder Mobilfunkmodul. Operationalisiert wird sie über die harmonisierte Normenreihe EN 18031.
Die beiden bekannteren Termine liegen dagegen noch vor uns: die Meldepflichten des Cyber Resilience Act ab dem 11. September 2026 und die Maschinenverordnung (EU) 2023/1230 ab dem 20. Januar 2027. Wer heute eine Maschine mit Funkmodul in Verkehr bringt, ist also bereits im Anwendungsbereich einer Cybersicherheitsvorschrift, unabhängig von NIS2 und von der Unternehmensgröße.
Drei. Erstens der Firmware-Stand im Inventar. Ein Verzeichnis der Anlagen ohne Software- und Firmware-Version beantwortet nicht die einzige Frage, die im Ernstfall zählt, nämlich ob eine bekannt gewordene Schwachstelle die eigenen Linien betrifft.
Zweitens der geprobte Wiederanlauf. Ein Backup der Steuerungsprojekte ist nicht dasselbe wie ein getesteter Wiederanlauf, und die Reihenfolge, in der Zellen und Linien hochgefahren werden, steht selten geschrieben. Drittens die zeitliche Begrenzung der Wartungszugänge. Ein Zugang je Hersteller, protokolliert, auf Anforderung geöffnet und danach geschlossen, kostet kein Budget, sondern eine Entscheidung.
Die Checkliste richtet sich an Geschäftsführungen, IT- und Produktionsverantwortliche sowie Qualitäts- und Sicherheitsverantwortliche in Maschinenbau, Automotive, Elektroindustrie und Fertigung. Laden Sie sie kostenfrei herunter.
Sprechen Sie mit unseren Expert:innen und erfahren Sie, wie das Digital Compliance Office Ihre Compliance automatisiert.
Gespräch vereinbaren