Die NIS2-Richtlinie ist das ausgeweitete EU-Cybersicherheitsgesetz und für Hersteller wichtig, weil sie deutlich mehr Unternehmen in den Anwendungsbereich zieht als ihr Vorgänger und bis in die Operational Technology (OT) hineinreicht – die SPSen (PLC), SCADA-Systeme und Maschinennetzwerke, die die Produktion steuern. Die Herstellung kritischer Produkte und viele mittelgroße Hersteller, die zuvor nicht von Cybervorschriften betroffen waren, stehen nun konkreten Sicherheits- und Meldepflichten gegenüber. Allgemeine Übersicht, keine Rechtsberatung; für die Einhaltung sind Ihre Sicherheits- und Rechtsabteilungen verantwortlich.
IT-Sicherheit ist gut etabliert; OT-Sicherheit ist das Problemfeld, in dem Fabriken kämpfen und auf das NIS2 jetzt abzielt. Produktionsnetzwerke sind voll mit veralteten Controllern, flachen Netzwerken und Systemen, die nicht im IT-Takt gepatcht werden können. Die grundlegende Maßnahme ist Netzwerksegmentierung und Zugriffsdisziplin, das OT-Netzwerk zu isolieren, sodass ein Kompromiss nicht vom E-Mail-System bis zur SPS (PLC) „laufen“ kann — genau die Architektur hinter den IEC 62443 Zonen und Conduits. NIS2 verleiht dieser langjährigen OT-Sicherheitsplanung eine regulatorische Frist.
Ein Hersteller verbindet die OEE-Überwachung einer Produktionslinie mit einem Cloud-Dashboard — betriebswirtschaftlich sinnvoll. Unter NIS2 ist die Sicherheitsfrage nun verpflichtend: Wie verlassen Daten das OT-Netzwerk, welche Grenzkontrollen existieren und könnte dieser Weg umgekehrt werden, um in die Steuerungen zu gelangen? Eine gut gestaltete Verbindung beantwortet das klar: Daten fließen einseitig durch eine kontrollierte Grenze, Rohsteuerdaten verlassen nie die OT-Zone, und nur abgeleitete Produktionskennzahlen werden übertragen, womit die Segmentierung erfüllt ist, die die Richtlinie erwartet (das Modell im IEC‑62443‑Primer). Eine nachlässig gestaltete Verbindung führt zu Beanstandungen in Prüfungen und ist ein echter Angriffsvektor. Die Lehre lässt sich verallgemeinern: Jede OT-Datenverbindung, die eine Anlage hinzufügt, ist jetzt eine Sicherheitsentscheidung mit regulatorischer Dimension, nicht nur eine IT-Annehmlichkeit.
Cybersicherheit ist nicht augenscheinlich ein Wartungsthema, aber die Schnittstellen zeigen es: OT‑Asset‑Inventare (was nicht inventarisiert ist, lässt sich nicht sichern), Patch‑ und Firmware‑Management auf Controllern, Zugriffskontrolle bei Wartungsverbindungen und Vendor‑Laptops sowie die Disziplin, dass Änderungen an OT‑Systemen über das Änderungsmanagement und nicht ad hoc laufen. Die Wartungsfunktion hat oft das genaueste Bild darüber, welche OT tatsächlich auf dem Werksboden vorhanden ist, weshalb sie in die NIS2-Diskussion einbezogen werden sollte.
Fabrico ist keine Cybersicherheitsplattform und sichert weder Netzwerke noch verwaltet Patches; das ist Aufgabe der Sicherheitsteams und spezieller OT‑Sicherheitswerkzeuge. Dort, wo Fabrico beiträgt, ist der Beitrag enger und ehrlich: Es ist in der EU entwickelt und gewährleistet EU‑Datenresidenz, sodass die operativen Daten, die es speichert, unter europäischer Rechtsaufsicht bleiben, statt in Jurisdiktionen zu wandern, die die Compliance erschweren. Die Produktionsüberwachung ist so konzipiert, dass sie mit abgeleiteten Kennzahlen arbeitet, ohne dass Rohsteuerdaten ein gut segmentiertes OT‑Netzwerk verlassen müssen (einschließlich Computer‑Vision‑Erfassung an Maschinen, die überhaupt keine SPS‑Anbindung haben). Außerdem hält es die wartungsseitige OT‑Asset‑Historie, auf die Sicherheitsinventare zurückgreifen. Fabrico macht Sie nicht NIS2‑konform; es ist eine Datenbasis, die der Segmentierung, die die Richtlinie erwartet, nicht entgegenarbeitet. In der EU entwickelt, mit EU‑Datenresidenz.
Das hängt von Sektor und Größe ab: NIS2 hat den Anwendungsbereich auf viele mittelgroße und große Organisationen in Sektoren — darunter bestimmte Bereiche der Fertigung — als wesentliche oder wichtige Einrichtungen erweitert, und nationale Umsetzungsgesetze legen den genauen Umfang fest. Hersteller, die nahe an den Schwellenwerten liegen, sollten dies mit Rechts- und Sicherheitsberater:innen prüfen und nicht davon ausgehen, dass sie außerhalb des Geltungsbereichs liegen.
NIS2 legt rechtliche Pflichten fest; IEC 62443 ist der technische Normenrahmen zur Absicherung von industrieller Automatisierungs‑ und Leittechnik. Viele Organisationen nutzen IEC 62443 als ingenieurmäßiges Mittel, um die OT‑Sicherheitsanforderungen zu erfüllen, die NIS2 rechtlich vorschreibt: Die Verordnung sagt, was zu tun ist, die Norm hilft beim Wie.
Üblicherweise mit einem genauen OT‑Asset‑Inventar, Netzwerksegmentierung zwischen IT und OT, kontrollierten Grenzen für jede Datenverbindung, die das Werk verlässt, und Zugriffsdisziplin für Wartungs‑ und Lieferantenverbindungen. Diese Grundlagen schließen die größten Risikolücken und stehen im Einklang mit den Pflichten aus NIS2 sowie der IEC‑62443‑Architektur.
Suchen Sie eine Produktionsdatenbasis, die OT‑Segmentierung respektiert und Ihre Daten in der EU hält? Buchen Sie eine Fabrico‑Demo, um EU‑entwickelte OEE‑ und CMMS‑Lösungen zu sehen, die für gut segmentierte Anlagen konzipiert sind.
Anmeldung
Blog