Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
Wer fällt in Industrie und Fertigung unter NIS2? Das Whitepaper zeigt Anlage 2 BSIG, das Verhältnis zu TISAX und wie ein ISMS Betrieb und Produkt trägt.
Bei Industrie und Fertigung entscheidet über die Betroffenheit nicht das Selbstbild, sondern eine Ziffer im Statistikschlüssel. Und wer TISAX hat, ist weiter als er denkt, allerdings nicht an der Stelle, an der er es vermutet.
Der Sektor steht in der Anlage 2 des BSIG unter Nummer 5 und ist an die europäische Wirtschaftszweigklassifikation gebunden. Erfasst sind Unternehmen mit einer Wirtschaftstätigkeit nach Abschnitt C der NACE Rev. 2 in den Abteilungen 26 bis 30, also Datenverarbeitungsgeräte sowie elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile sowie sonstiger Fahrzeugbau. Dazu kommen Hersteller von Medizinprodukten nach Artikel 2 Nummer 1 der Verordnung (EU) 2017/745.
Der Zuschnitt ist enger als das Wort Industrie. Die klassische Metallverarbeitung liegt in Abteilung 25 und steht nicht in dieser Liste, Kunststoffverarbeitung ebenfalls nicht. Ein Zerspanungsbetrieb kommt über diesen Sektor also nicht hinein, sondern nur über die Lieferkette seiner Kunden. Wer dagegen in den Abteilungen 26 bis 30 liegt und die Schwellen des § 28 Absatz 2 BSIG erreicht, ist wichtige Einrichtung. Eine Ausnahme gilt für Medizinproduktehersteller: Gelten ihre Produkte in einer gesundheitlichen Krise als kritisch, stehen sie in der Anlage 1, und dort ist der Aufstieg zur besonders wichtigen Einrichtung möglich.
Weil die Pflicht in die Produktentwicklung reicht. § 30 Absatz 2 Nummer 5 BSIG verlangt Sicherheit in Beschaffung, Entwicklung und Wartung von IT-Systemen einschließlich des Managements und der Offenlegung von Schwachstellen. Bei einem Hersteller, dessen Maschine Steuerungssoftware enthält, ist damit der eigene Entwicklungsprozess Gegenstand der Pflicht, nicht nur die Büro-IT.
Dazu kommt die Rolle als Zulieferer. Nach § 30 Absatz 2 Nummer 4 BSIG muss jeder regulierte Kunde die Sicherheit seiner unmittelbaren Anbieter regeln, und der Maschinen- oder Komponentenhersteller ist genau dieser unmittelbare Anbieter. Gefragt wird deshalb nach Schwachstelleninformationen, nach Update-Wegen über die Lebensdauer und nach der Absicherung der Fernwartung. Wer das einmal belastbar aufschreibt, beantwortet damit Kundenfragebögen, statt sie jedes Mal neu zu bearbeiten.
Vier Daten, und drei davon betreffen das Produkt, nicht den Betrieb. Ab dem 11. September 2026 gilt für Hersteller vernetzter Produkte die Meldepflicht des Cyber Resilience Act für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, mit einer Frühwarnung binnen 24 Stunden über eine zentrale Plattform der ENISA. Ab dem 1. Januar 2027 ist bei TISAX für neu beauftragte Assessments der Katalog ISA 2027 verbindlich, maßgeblich ist die Beauftragung im ENX-Portal und nicht der Audittermin.
Ab dem 20. Januar 2027 ersetzt die Maschinenverordnung (EU) 2023/1230 die Maschinenrichtlinie 2006/42/EG. Sie enthält eigene Cybersicherheitsanforderungen, unter anderem in Anhang III Nummer 1.1.9 zum Schutz vor Korruption von Hardware, Software und sicherheitsrelevanten Daten und in Nummer 1.2.1 zur Widerstandsfähigkeit von Steuerungen gegen äußere Einflüsse. Ab dem 11. Dezember 2027 gelten alle Anforderungen des Cyber Resilience Act. Kurz gesagt: NIS2 regelt den Betrieb, der Cyber Resilience Act und die Maschinenverordnung regeln das Produkt. Wer beides in getrennten Projekten bearbeitet, baut dieselbe Grundlage zweimal.
Die inhaltliche Antwort ist überraschend gut, die formale nicht. ENX als Betreiber von TISAX hat die Abdeckung selbst analysiert und kommt zu dem Ergebnis, dass Unternehmen, die ihre betroffenen Standorte TISAX-konform aufgestellt haben, die Anforderungen aus NIS2 vollständig umsetzen.
Der Vergleich hat aber eine ausdrückliche Grenze: Die nationalen Umsetzungen bleiben außen vor, also zuständige Behörden, zentrale Anlaufstellen und die Anbindung an das Computer-Notfallteam. Registrierung nach § 33 BSIG, Meldekette nach § 32 BSIG und Leitungspflichten nach § 38 BSIG sind also eigenständig aufzubauen, und ENX schreibt selbst, dass die nationalen Meldepflichten parallel zu bedienen sind. Dazu kommt ein Unterschied im Zuschnitt: TISAX bewertet Standorte, NIS2 bindet die Einrichtung. Ein Unternehmen mit einem geprüften Werk und drei weiteren Standorten hat damit noch keinen Nachweis für das Ganze.
Drei. Erstens setzt der Meldefall keinen Datenabfluss voraus. Steht die Fertigung, ist die Schwelle in der Regel erreicht, und die 24-Stunden-Frist des § 32 BSIG läuft ab Kenntnis. In vielen Betrieben wird ein Stillstand aber zuerst als Produktionsthema behandelt.
Zweitens fällt der Abfluss von Konstruktionsdaten auf keiner Anzeige auf. Überwacht wird meist Verfügbarkeit, nicht Vertraulichkeit, und deshalb bleibt Industriespionage lange unbemerkt, obwohl sie die Meldeschwelle erfüllt. Drittens die eigenen Fernwartungszugänge in die Werke der Kunden. Sie machen den Hersteller zu einem möglichen Weg in fremde Netze, und regulierte Kunden werden dafür künftig Nachweise verlangen, nicht Zusicherungen.
Das Whitepaper richtet sich an Geschäftsführungen, IT- und Produktionsverantwortliche sowie Qualitäts- und Sicherheitsverantwortliche in Maschinenbau, Automotive, Elektroindustrie und Fertigung. Laden Sie es kostenfrei herunter.
Sprechen Sie mit unseren Expert:innen und erfahren Sie, wie das Digital Compliance Office Ihre Compliance automatisiert.
Gespräch vereinbaren