Wesentliche Erkenntnisse
Es ändert drei konkrete Dinge. Erstens werden Ihre Softwareanbieter Teil einer dokumentierten Lieferkettenrisikobewertung nach Artikel 21 Absatz 2 Buchstabe d, sodass Sie zu jedem Anbieter belastbare Nachweise in der Akte benötigen, nicht nur einen Verkaufseindruck. Zweitens läuft Ihre Incident‑Response nun auf einer gesetzlichen Uhr: eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden eines signifikanten Vorfalls, eine vollständige Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats, was bedeutet, dass ein Anbieter Sie schnell genug benachrichtigen muss, damit Sie diese Fristen einhalten können. Drittens macht die Billigung durch die Geschäftsleitung nach Artikel 20 die Nachweise prüfbar, sodass Anbieterangaben dokumentiert sein müssen.
Praktisch bedeutet das, von jedem in die engere Auswahl genommenen Anbieter zu verlangen: eine Informationssicherheitszertifizierung mit Geltungsbereichserklärung, eine benannte Hosting‑Region, eine Subprozessorenliste, eine vertragliche Frist zur Vorfallmeldung und Recovery‑Ziele in Stunden. Fabricos Angaben sind ISO 27001, ISO 9001 und ISO/IEC 20000‑1, Hosting in einer AWS‑EU‑Region, ein DSGVO‑Auftragsverarbeitungsvertrag und ein 4‑stündiges Wiederherstellungszeit‑Ziel und ein 4‑stündiges Wiederherstellungspunkt‑Ziel sowie tägliche Backups.
NIS2 hat die ursprüngliche NIS‑Richtlinie von 2016 ersetzt und gilt ab dem 18. Oktober 2024, nach einer Umsetzungsfrist bis zum 17. Oktober 2024. Die Umsetzung in nationales Recht war in den Mitgliedstaaten uneinheitlich, daher ist für Sie die jeweils nationale Umsetzungsregelung bindend, nicht der Richtlinientext. Prüfen Sie das nationale Recht und stimmen Sie sich vor Maßnahmen mit juristischem Rat ab, auch bei Zusammenfassungen wie dieser.
Der Anwendungsbereich wird durch zwei Dinge zusammen bestimmt: den Sektor und die Größe des Unternehmens.
Anhang I, wesentliche Einrichtungen. Energie, Verkehr, Kredit‑ und Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, ICT‑Dienstleistungsmanagement, öffentliche Verwaltung und Weltraum.
Anhang II, wichtige Einrichtungen. Dies ist der Anhang, der für die meisten Leser dieser Seite relevant ist. Er umfasst Post‑ und Kurierdienste, Abfallwirtschaft, die Herstellung, Produktion und Verteilung von Chemikalien, die Herstellung, Verarbeitung und Verteilung von Lebensmitteln sowie einen Produktionsblock, der Medizinprodukte, Computer‑, Elektronik‑ und optische Produkte, elektrische Geräte, Maschinen und Ausrüstungen, Kraftfahrzeuge, Anhänger und Sattelanhänger sowie sonstige Verkehrsausrüstung abdeckt. Forschungsorganisationen und mehrere digitale Anbieter sind ebenfalls gelistet.
Größe. Die allgemeine Regel lautet, dass mittelgroße und große Unternehmen in diesen Sektoren erfasst sind. Mittelgroß bedeutet im Wesentlichen rund 50 oder mehr Beschäftigte oder einen Jahresumsatz über EUR 10 Millionen. Große Einrichtungen in Anhang I werden als wesentlich behandelt; mittelgroße Einrichtungen in Anhang I sowie mittelgroße und große Einrichtungen in Anhang II werden als wichtig eingestuft. Wesentliche und wichtige Einrichtungen unterliegen denselben Sicherheitsanforderungen; Unterschiede bestehen bei der Aufsicht und der Sanktionsobergrenze.
Die praktische Konsequenz ist deutlich. Ein einwerksiger Maschinenbauer mit 120 Beschäftigten, der sich nie als kritische Infrastruktur verstanden hat, ist nach NIS2 eine wichtige Einrichtung. Ein Lebensmittelverarbeiter gleicher Größe ebenfalls.
Artikel 21: Risikomanagementmaßnahmen. Einrichtungen müssen angemessene und verhältnismäßige technische, operationelle und organisatorische Maßnahmen ergreifen. Zu den aufgelisteten Maßnahmen gehören Vorfallbearbeitung, Geschäftskontinuität und Backup‑Management, Sicherheit der Lieferkette, Sicherheit beim Erwerb und bei der Entwicklung von Netz‑ und Informationssystemen, Richtlinien zu Kryptografie, Zugriffskontrolle, Asset‑Management sowie die Verwendung von Multi‑Faktor‑Authentifizierung oder kontinuierlicher Authentifizierung, wo dies angemessen ist.
Lesen Sie diese Liste an einer Wartungsplattform entlang. Backup‑Management, Lieferkettensicherheit, sichere Beschaffung, Kryptografie und Zugriffskontrolle beschreiben allesamt Dinge, zu denen Sie Aussagen über Ihr CMMS liefern können müssen. Sie sind keine optionalen Fragen mehr.
Artikel 23: Meldungen. Bei einem signifikanten Vorfall geht eine Frühwarnung an das CSIRT oder die zuständige Behörde innerhalb von 24 Stunden, eine Vorfallmeldung mit einer Erstbewertung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von einem Monat. Sie können eine 24‑Stunden‑Frist nicht einhalten, wenn der Vertrag Ihres Anbieters lediglich „ohne unangemessene Verzögerung“ als Benachrichtigungsobligation vorsieht. Fordern Sie eine Stundenanzahl und bringen Sie diese in den Vertrag.
Artikel 20: Governance. Leitungsorgane müssen die Cybersicherheits‑Risikomanagementmaßnahmen genehmigen, deren Umsetzung überwachen und können für Verstöße haftbar gemacht werden. Mitglieder der Geschäftsleitung müssen zudem Schulungen absolvieren. Dies ist der Artikel, der den Ton der Anbieter‑Gespräche ändert, denn ein Werkleiter, der eine Plattform absegnet, bestätigt damit nun etwas, das persönliche Risiken beinhaltet.
Zu Sanktionen: Die Richtlinie sieht für wesentliche Einrichtungen maximale Verwaltungsstrafen von mindestens EUR 10 Millionen oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, und für wichtige Einrichtungen von mindestens EUR 7 Millionen oder 1,4 Prozent vor, je nachdem, welcher Betrag höher ist.
Frage 1 ist die wirklich neue. Die meisten Softwareverträge vor 2024 enthalten überhaupt keine Frist zur Vorfallmeldung, und ein Anbieter, der sich nicht auf Stunden festlegen will, verlangt von Ihnen, eine gesetzliche Frist zu tragen, die Sie nicht einhalten können.
Ein häufiger Einwand an dieser Stelle ist, dass Wartungssoftware kein Leitsystem sei und daher nicht viel ausmachen könne. Das ist halb richtig, und die falsche Hälfte ist die teure.
Ein CMMS enthält Ihr Anlagenverzeichnis, Ihre Wartungshistorie, Ihre Lieferanten‑ und Ersatzteilaufzeichnungen sowie die Namen und Schichtpläne der Personen, die an Ihren Linien arbeiten. Eine OEE‑Plattform enthält Echtzeit‑Produktionsraten und Stillstandsgründe, die Ihre Kapazität und Ihre Probleme detaillierter beschreiben, als ein externer Dritter sehen sollte. Beide sind in der Regel mit etwas anderem verbunden: einem ERP, einer SAP‑PM‑Instanz, manchmal einem Historian oder einem SPS‑(PLC)‑Netzwerk.
Genau diese Verbindung ist der Punkt. Nach Artikel 21 bewerten Sie die Sicherheit von Netz‑ und Informationssystemen und deren Lieferkette. Eine Plattform, die von der SPS‑Ebene liest, gehört in die Bewertung, unabhängig davon, ob sie darauf schreiben kann, und Ihr Risikoregister muss das ausdrücklich angeben. Wenn Sie OEE auf Maschinen betreiben, die nie für die Vernetzung ausgelegt wurden, wird die Verbindungsmethode selbst Teil der Bewertung, was in unserem Leitfaden zur OEE‑Überwachung ohne SPS/PLC behandelt wird.
Fabrico ist eine kombinierte CMMS‑ und OEE‑Plattform, in der EU entwickelt und in einer AWS‑EU‑Region gehostet. Gegenüber der obenstehenden Nachweisliste: ISO 27001, ISO 9001 und ISO/IEC 20000‑1 Zertifizierung; ein DSGVO‑Auftragsverarbeitungsvertrag; Verschlüsselung ruhender und übertragener Daten; tägliche Backups mit einem 4‑stündigen Wiederherstellungszeit‑Ziel und einem 4‑stündigen Wiederherstellungspunkt‑Ziel; Cloudflare‑DDoS‑Schutz; rollenbasierte Zugriffskontrolle mit SSO und SAML für kundenspezifische Konfigurationen; sowie ein exportierbares Audit‑Log.
Die Datenerfassung umfasst Verfügbarkeit × Leistung × Qualität, berechnet aus SPS‑Daten, IoT‑Sensoren, wo keine SPS verfügbar ist, und KI‑Kameras für Maschinen ohne nutzbares Signal. Die Integration läuft über eine REST‑API, Webhooks, Excel‑Import und ‑Export sowie eine bidirektionale SAP‑PM‑Synchronisation einschließlich S/4HANA, sodass die Verbindungspunkte aufzählbar sind, was eine Risikobewertung braucht.
Zwei offene Ausnahmen, weil sie in Ihrer eigenen Gap‑Analyse auftauchen werden: Fabrico besitzt keinen SOC‑2‑Bericht und Multi‑Faktor‑Authentifizierung ist derzeit nicht Standard. Wenn Ihre NIS2‑Gap‑Analyse Multi‑Faktor‑Authentifizierung als erforderliche Kontrolle ausweist, sprechen Sie das im ersten Anbieter‑Gespräch an und nicht im letzten.
Nehmen Sie einen Hersteller von Spezialmaschinen: zwei EU‑Standorte, 180 Beschäftigte, Umsatz rund EUR 35 Millionen. Er ist eine wichtige Einrichtung nach Anhang II. Er betreibt ein tabellenbasiertes Wartungssystem und bewertet ein CMMS mit OEE.
Die Gap‑Analyse ergibt vier Befunde, die diesen Kauf betreffen. Es existiert kein Lieferkettenregister für Softwareanbieter, also muss eines erstellt werden und dieser Kauf wird der erste Eintrag sein. Es gibt keine Klausel zur Vorfallmeldung in bestehenden Softwareverträgen, also muss vor der Unterzeichnung eine Standardklausel formuliert werden. Backup‑ und Wiederherstellungsziele für Produktionsdaten sind nicht dokumentiert, daher werden die vom Anbieter angegebenen Werte zu den dokumentierten. Und niemand hat bestätigt, welche Gerichtsbarkeit die Daten hält.
Richtig sequenziert verzögert nichts davon das Projekt. Die vier Punkte gehen mit der ersten Anbieter‑Mail heraus, die Antworten liegen innerhalb einer Woche vor, und die Compliance‑Nachweise werden zusammengestellt, während die funktionale Evaluierung läuft. Schlecht sequenziert tauchen dieselben vier Punkte erst in der Vertragsphase auf und fügen sechs bis zehn Wochen hinzu, weil die Rechtsabteilung eine Benachrichtigungsklausel mit einem Anbieter verhandeln muss, dem bereits der Zuschlag erteilt wurde.
Die Lehre gilt über NIS2 hinaus: Compliance‑Fragen sind billig, wenn sie in Woche eins gestellt werden, und teuer, wenn sie in Woche zwölf gestellt werden. Dasselbe Muster gilt für den Anbieter‑Sicherheitsfragebogen und für GDPR‑ und Datenresidenz‑Fragen.
Üblicherweise nicht allein aufgrund der Größenregel, aber es gibt Ausnahmen. Mitgliedstaaten können kleinere Einrichtungen erfassen, wenn sie der alleinige Anbieter einer kritischen Dienstleistung sind oder wenn eine Störung erhebliche Auswirkungen hätte. Einige nationale Umsetzungen gehen über die Mindestanforderungen der Richtlinie hinaus. Prüfen Sie Ihre nationale Umsetzung und verlassen Sie sich nicht nur auf den Personaltest.
Sie bleiben verantwortlich für Ihre eigenen Risikomanagementmaßnahmen, die nach Artikel 21 Absatz 2 Buchstabe d ausdrücklich die Sicherheit Ihrer Lieferkette und die Beziehungen zu direkten Lieferanten einschließen. Das macht Sie nicht automatisch haftbar für den Vorfall des Anbieters als solchen, aber eine Aufsichtsbehörde wird fragen, was Sie getan haben, um diesen Lieferanten zu bewerten und zu steuern. Genau darum geht es, die Nachweise in der Akte zu haben.
Es gibt keine NIS2‑Zertifizierung für Software. NIS2 knüpft Pflichten an Einrichtungen, nicht an Produkte, daher kann kein Anbieter Ihnen ein NIS2‑Zertifikat ausstellen. Was ein Anbieter geben kann, sind Nachweise, die Ihre Pflichten unterstützen: ein ISO‑27001‑Zertifikat mit relevantem Geltungsbereich, ein Auftragsverarbeitungsvertrag, eine Hosting‑Region, Wiederherstellungsziele und eine Verpflichtung zur Vorfallmeldung. Seien Sie vorsichtig mit Anbietern, die behaupten, NIS2‑zertifiziert zu sein.
Sie überschneiden sich, sind aber nicht identisch und haben unterschiedliche Fristen. Die DSGVO betrifft personenbezogene Daten und verlangt die Meldung einer Verletzung personenbezogener Daten an die Aufsichtsbehörde innerhalb von 72 Stunden. NIS2 betrifft die Sicherheit von Netz‑ und Informationssystemen und verlangt eine Frühwarnung innerhalb von 24 Stunden sowie eine Meldung innerhalb von 72 Stunden für einen signifikanten Vorfall. Ein Ereignis kann beide Pflichten auslösen, nach unterschiedlichen Gesetzen und an unterschiedliche Behörden.
Die Richtlinie trat im Januar 2023 in Kraft, die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen, und sie gilt ab dem 18. Oktober 2024. In der Praxis haben mehrere Mitgliedstaaten die Umsetzungsfrist verpasst, sodass das Datum, an dem einzelne Pflichten durchsetzbar wurden, je nach Land variiert. Klären Sie die Lage für jedes Land, in dem Sie tätig sind.
Dieser Artikel bietet allgemeine Informationen zu einem regulatorischen Rahmen und ersetzt keine Rechtsberatung. Klären Sie Ihre Pflichten mit qualifiziertem Rechtsbeistand und anhand Ihres nationalen Umsetzungsrechts.
Um zu sehen, wie Fabricos Nachweispaket zu Ihrer Gap‑Analyse passt, vereinbaren Sie eine Demo, oder beginnen Sie mit dem OEE‑Leitfaden für die Fertigung, wenn Sie noch definieren, was die Plattform messen muss.
Zuletzt aktualisiert: 7. August 2026.
Anmeldung
Blog
