Maschinenbauer müssen ihre Kunden NIS-2-ready machen NIS-2 gilt für vernetzte Industrie­anlagen ohne Übergangsfrist

NIS-2 ist seit Dezember 2025 in Kraft und betrifft statt bisher 4.500 nun rund 29.500 Einrichtungen in Deutschland, darunter auch Hersteller vernetzter Maschinen und Anlagen. Wer als Maschinenbauer seine Kunden nicht bei der Compliance unterstützen kann, riskiert sie zu verlieren. Denn Melde- und Risikomanagementpflichten gelten für alle vernetzten Komponenten.

Nach monatelanger Verzögerung war es am 5. Dezember 2025 soweit. Das Gesetz zur Um­setzung der NIS-2-Richtlinie wurde im Bundesgesetzblatt veröffentlicht und trat am 6. Dezember 2025 in Kraft. Deutschland hatte die ursprüngliche EU-Frist vom 17. Oktober 2024 deutlich überschritten. Nun aber gilt das Gesetz ohne weitere Übergangsfristen. Am 6. Januar 2026 wurde dann das BSI-Portal freigeschaltet und dient unter anderem als Meldestelle für erhebliche Sicherheitsvorfälle. Betroffene Unternehmen mussten sich bis Anfang März registrieren und im Ernstfall binnen 24 Stunden melden.

Kurz vor Fristende am 6. März 2026

Run auf BSI-Registrierungsportal

Die neue Network and Information Systems Directive 2 (NIS-2) ist keine bloße Aktualisierung bestehender Vorschriften. Mit ihr wird Cybersecurity zur Chefsache. Statt der bisher rund 4.500 durch das BSI-Gesetz regulierten Organisationen gehören nun etwa 29.500 Einrichtungen zum Kreis der beaufsichtigten Unternehmen. Betroffen sind längst nicht mehr nur klassische KRITIS-Betreiber, sondern auch Hersteller vernetzter Maschinen und Anlagen.

Doch was ändert sich konkret mit dem neuen Gesetz? Die 24-Stunden-Meldefrist für signifikante Cybersecurity-Vorfälle ist deutlich schärfer als die 72-Stunden-Frist der DSGVO. Zudem haftet das Management persönlich für Versäumnisse. Das bedeutet, die Geschäftsführung ist gesetzlich verpflichtet, sich zu Fragen der Bewertung und des Managements von Cyberrisiken schulen zu lassen. Eine reine Delegation an die IT-Abteilung reicht nicht mehr aus. Die Richtlinie fordert zudem ein umfassendes Risikomanagement entlang der gesamten Lieferkette – vom Sensor bis zur Cloud, vom Zulieferer bis zum Integrator.

Für Maschinenbauer bedeutet das, dass auch wenn sie selbst nicht direkt unter NIS-2 fallen, müssen sie ihre Kunden dabei unterstützen, compliant zu bleiben. Denn deren Risiko- und Meldepflichten erstrecken sich auf alle vernetzten Komponenten und Services, die sie einsetzen. Wer als Hersteller hier nicht liefert, verliert Aufträge.

Security-Insider Podcast – Folge 110

Wer haftet bei Verstößen gegen NIS2?

Die Lücken in der Praxis: ISMS, Rollen, Prozesse

In vielen Unternehmen fehlen heute noch die organisatorischen Grundlagen, um NIS-2-Anforderungen zu erfüllen. Drei Bereiche stechen hervor:

• 1. Fehlendes oder lückenhaftes Informationssicherheits-Managementsystem (ISMS)
  Ein ISMS nach ISO 27001 ist zwar nicht explizit vorgeschrieben, bildet aber faktisch die Basis für NIS-2-Compliance. Es definiert Prozesse für Risikoanalyse, Incident Response, Audits und kontinuierliche Verbesserung. Viele mittelständische Maschinenbauer haben jedoch kein strukturiertes ISMS oder es existiert nur auf dem Papier, ohne echte Prozesse.

• 2. Unklare Verantwortlichkeiten und fehlende Executive Accountability
  NIS-2 verlangt, dass die Geschäftsführung persönlich für Cybersecurity verantwortlich ist. Das bedeutet, dass das Thema nicht mehr an die IT delegiert werden kann. In der Praxis fehlt oft die Brücke zwischen technischen Teams und Führungsebene. Wer ist zuständig für die Bewertung von Incidents? Wer entscheidet über Investitionen in Sicherheitsmaßnahmen? Wer meldet an die Behörden?

• 3. Keine etablierten Meldewege und Incident-Response-Pläne
  Die 24-Stunden-Frist lässt keinen Raum für Improvisation. Unternehmen brauchen klare Workflows: Wer erkennt einen Vorfall? Wie wird er bewertet? Wer kommuniziert intern und extern? In vielen Betrieben existieren solche Ablaufpläne nicht oder sie decken nur IT-Systeme ab, nicht aber OT (Operational Technology) und IIoT-Infrastrukturen.

NIS2 als Chance

Mehr Cybersicherheit in der Produktion durch NIS-2

Die vier Säulen für NIS-2

Für Hersteller und Betreiber vernetzter Anlagen gibt es vier zentrale Handlungsfelder, um NIS-2-konform zu werden:

• 1. Asset-Transparenz
  Vollständige Transparenz über alle vernetzten Geräte, deren Firmware-Versionen, Konfigurationen und Kommunikationsbeziehungen ist der Ausgangspunkt. Eine moderne IIoT-Plattform bietet dafür Echtzeit-Inventarisierung und kontinuierliches Monitoring. Jedes Assete, jede vernetzte Komponente, jede Steuerung muss erfasst und über den gesamten Lebenszyklus hinweg überwacht werden. Automatisierte Discovery-Mechanismen erkennen neue Geräte im Netzwerk sofort und nehmen sie in ein zentrales Asset-Register auf. Manuelle Inventarlisten sind in dynamischen IIoT-Umgebungen unzureichend.

• 2. Update- und Patch-Management
  Ungepatchte Schwachstellen sind Einfallstore für Angreifer. NIS-2 fordert eine strukturierte Vulnerability-Management-Strategie. Das bedeutet: regelmäßige Scans, Priorisierung kritischer Patches und – wo möglich – automatisierte Over-the-Air-Updates (OTA).

• 3. Kontinuierliches Monitoring und Anomalie-Erkennung
  Incidents müssen innerhalb 24 Stunden erkannt und gemeldet werden. Das erfordert fortlaufendes Monitoring, das neben Netzwerkverbindungen, sondern auch das Geräteverhalten miteinschließt. Anomalie-Erkennung auf Basis von KI kann dabei helfen, ungewöhnliche Kommunikationsmuster, verdächtige Zugriffe oder Performance-Einbrüche frühzeitig zu identifizieren.

• 4. Incident Response
  Ein dokumentierter Incident-Response-Plan ist Pflicht. Er muss IT- und OT-Systeme gleichermaßen abdecken und die gesamte Lieferkette einbeziehen. Wer ist im Incident-Team? Wie wird kommuniziert? Welche externen Partner (z. B. Forensik-Dienstleister) werden eingebunden? Wie erfolgt die Meldung an Behörden?

Security-Insider Podcast – Folge 108

Das Jahr der NIS-2-Richtlinie beginnt

Die Lieferkette im Blick: Supply Chain Risk Management

NIS-2 macht Hersteller nicht nur für ihre eigenen Systeme verantwortlich, sondern auch für die Cybersecurity-Praktiken ihrer Zulieferer und Partner. Das bedeutet:

• Due Diligence bei der Auswahl von Lieferanten: Bewertung ihrer Sicherheitsreife, Zertifizierungen (z. B. ISO 27001), Incident-Historie.

• Vertragliche Absicherung: Festlegung von Sicherheitsstandards, Meldepflichten und Haftungsregelungen in Lieferantenverträgen.

• Kontinuierliches Monitoring: Regelmäßige Audits und Überprüfungen, ob Partner ihre Verpflichtungen einhalten.

Weckruf für Unternehmen

NIS-2 – Nicht warten, machen!

Die nächsten Schritte: Registrierung und Umsetzung

Das BSI sieht einen zweistufigen Registrierungsprozess vor: Zunächst erfolgt die Anmeldung beim digitalen Dienst "Mein Unternehmenskonto" (MUK). Das BSI empfiehlt, diesen Account bis spätestens zum Jahresende 2025 anzulegen. Im zweiten Schritt folgt die Registrierung im BSI-Portal, das seit 6. Januar 2026 für NIS-2-Zwecke freigeschaltet ist

Darüber hinaus sollten Maschinenbauer und Anlagenbetreiber systematisch vorgehen:

• 1. Risiko- und Readiness-Assessment durchführen: Kritische Assets, vernetzte Geräte und bestehende Sicherheitsmaßnahmen identifizieren. Wo sind die größten Lücken? Wie schnell können Incidents erkannt und gemeldet werden?

• 2. Lieferkette kartieren und bewerten: Alle Zulieferer und Partner dokumentieren, deren Sicherheitsreife bewerten und sicherstellen, dass auch sie CRA-compliant sind.

• 3. IIoT- und Device-Management modernisieren: Plattformen einsetzen, die Echtzeit-Monitoring, sicheres Patching, granulare Zugriffskontrolle und volle Transparenz bieten – idealerweise als integrierte Lösung, die alle sicherheitsrelevanten Aspekte abdeckt.

• 4. Führungsebene einbinden: Cybersecurity in der Unternehmensführung verankern. Klare Verantwortlichkeiten, Audit-Prozesse und Reporting-Strukturen definieren.

• 5. Incident-Response- und Kontinuitätspläne erarbeiten: Workflows für schnelle Erkennung, Meldung und Recovery definieren – abgestimmt auf NIS-2-Fristen.

Security-Insider Podcast – Folge 112

NIS 2 braucht im Mittelstand pragmatische Ansätze

Compliance als Wettbewerbsvorteil

NIS-2 erhöht den Druck auf Maschinenbauer und Anlagenbetreiber – aber wer die Herausforderung annimmt, wird belohnt. Unternehmen, die jetzt in Transparenz, Risikomanagement und sichere IIoT-Infrastrukturen investieren, erfüllen nicht nur regulatorische Vorgaben. Sie schaffen Vertrauen bei Kunden, reduzieren Geschäftsrisiken und positionieren sich als zuverlässige Partner in einem zunehmend sicherheitsbewussten Markt.

Über den Autor: Dr. Jürgen Krämer ist Chief Product Officer und Geschäftsführer bei Cumulocity und verantwortet damit das gesamte Produkt- und Service-Portfolio der Marke. Er leitet die Teams für Produktmanagement und -marketing, Professional Services und das Partner-Ökosystem. Mit über 20 Jahren Erfahrung in der Softwareentwicklung und einem Doktor in Informatik war Jürgen Krämer unter anderem CEO und Mitgründer eines preis­ge­krön­ten Spin-offs der Universität Marburg, das 2010 von der Software AG übernommen wurde. Bereits zweimal wurde er vom Magazin Capital zu einem der „Top 40 unter 40“ in Deutschland gewählt und ist Mitglied des BITKOM Management Clubs.

Security-Insider Podcast – Folge 114

So schaffen Sie Synergien zwischen CRA und NIS 2

(ID:50823734)