NIS2 im Maschinenbau
Anlagenbau, Sondermaschinen und Fernwartung unter NIS2
Sind Sie betroffen?
Der Maschinenbau fällt als Teil des verarbeitenden Gewerbes unter Anhang II der NIS2-Richtlinie. Betroffen ist ein Unternehmen, wenn es mindestens 50 Beschäftigte hat oder mehr als 10 Mio. EUR Jahresumsatz erzielt — das trifft einen großen Teil des deutschen Mittelstands in dieser Branche. Die Einstufung erfolgt in aller Regel als wichtige Einrichtung, bei größeren Häusern als besonders wichtige Einrichtung.
- Zuordnung zum verarbeitenden Gewerbe nach Anhang II der NIS2-Richtlinie
- Ab 50 Beschäftigten oder mehr als 10 Mio. EUR Jahresumsatz
- Unabhängig davon mittelbar betroffen als Lieferant regulierter Kunden — über deren Pflicht zur Lieferkettensicherheit nach § 30 Abs. 2 Nr. 4 BSIG
- Zusätzlich als Hersteller von Produkten mit digitalen Elementen über den Cyber Resilience Act
Diese Seite vertieft eine Teilbranche des Sektors Verarbeitendes Gewerbe. Die gesetzliche Sektorzuordnung nach Anhang II erfolgt dort — Maschinenbau ist keine eigene NIS2-Kategorie.
Was im Maschinenbau anders ist
Fernwartung ist der Normalfall, nicht die Ausnahme
Maschinenbauer warten ihre Anlagen beim Kunden aus der Ferne — und lassen umgekehrt ihre eigenen Anlagen von Lieferanten warten. Jeder dieser Zugänge ist ein dauerhafter Pfad in ein Produktionsnetz. Die Zugänge sind meist historisch gewachsen, selten inventarisiert und fast nie zeitlich begrenzt.
Sie sind gleichzeitig Betroffener und Lieferant
Ein Maschinenbauer muss NIS2 für sich erfüllen und zugleich die Sicherheitsanforderungen seiner regulierten Kunden bedienen. Beide Rollen verlangen unterschiedliche Nachweise: nach innen die eigene Umsetzung, nach außen belastbare Antworten auf Sicherheitsfragebögen — oft in wachsender Zahl.
Die Anlage überlebt die Software
Werkzeugmaschinen laufen zwanzig Jahre und länger, die Steuerungssoftware darauf oft unverändert. Patches sind an Herstellerfreigaben gebunden, Betriebssysteme nicht selten abgekündigt. Das verschiebt den Schwerpunkt von Patchen auf Segmentieren und Überwachen.
Konstruktionsdaten sind das eigentliche Kapital
CAD-Modelle, Fertigungsparameter und Prüfvorschriften sind das Ergebnis jahrzehntelanger Entwicklung. Sie liegen in PLM- und ERP-Systemen, oft mit weiten Berechtigungen und ohne Klassifizierung — und sie sind ein Ziel, das keinen Produktionsstillstand verursacht und deshalb lange unbemerkt bleibt.
Regelwerke, die neben dem BSIG greifen
| Regelwerk | Bezug |
|---|---|
| Cyber Resilience Act, Verordnung (EU) 2024/2847 | Gilt für Produkte mit digitalen Elementen. Seit dem 11.09.2026 greift die Meldepflicht für Hersteller bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Vorfällen; die übrigen Pflichten gelten ab dem 11.12.2027. Betrifft Maschinen mit vernetzter Steuerung unmittelbar. |
| IEC 62443 | Normenreihe für industrielle Automatisierungs- und Steuerungssysteme. Liefert die Struktur für Zonen und Conduits, die im OT-Netz die Netzsegmentierung nach § 30 BSIG praktisch umsetzbar macht. |
| ISO/IEC 27001 | Deckt einen großen Teil der zehn Maßnahmenbereiche ab. Für OT-Umgebungen ergänzungsbedürftig, weil der Anhang A auf Büro-IT zugeschnitten ist. |
Bedrohungslage
Verschlüsselung über den Fernwartungszugang
Der klassische Weg führt nicht über die Firewall, sondern über den Wartungszugang eines Zulieferers, dessen Zugangsdaten kompromittiert wurden. Von dort aus ist das Produktionsnetz oft flach erreichbar.
Produktionsstillstand als Hauptschaden
Anders als in der Verwaltung ist der Schaden nicht der Datenverlust, sondern die stehende Fertigung. Bei Auftragsfertigung mit Terminzusagen entstehen Vertragsstrafen, bevor die IT wiederhergestellt ist.
Stiller Abfluss von Konstruktionsdaten
Ein Angreifer, der nur Daten kopiert, löst keinen Alarm aus. Ohne Klassifizierung und ohne Überwachung der Datenabflüsse bleibt der Vorfall unentdeckt — bis der Wettbewerb ein auffällig ähnliches Produkt zeigt.
Maßnahmen mit Priorität
Die zehn Maßnahmenbereiche des § 30 BSIG gelten unverändert. Diese Punkte werden im Maschinenbau anders gewichtet als im Durchschnitt.
- Alle Fernwartungszugänge inventarisieren, je Dienstleister eigene Konten vergeben und Zugänge nur für vereinbarte Wartungsfenster freischalten
- Produktionsnetz in Zonen nach IEC 62443 segmentieren, statt auf flächendeckendes Patchen zu setzen
- Passive Netzüberwachung im OT-Bereich einsetzen, die den Anlagenbetrieb nicht stört
- Konstruktions- und Fertigungsdaten klassifizieren und Berechtigungen daran ausrichten
- Wiederanlaufreihenfolge je Fertigungslinie festlegen und mindestens einmal jährlich üben
- Sicherungen der Steuerungskonfigurationen anlegen und Rückspielung tatsächlich testen
- Sicherheitsanforderungen in Wartungs- und Lieferverträge aufnehmen, mit Melde- und Prüfrechten
- Antwortfähigkeit auf Kundensicherheitsfragebögen aufbauen, statt jeden Fragebogen einzeln zu bearbeiten
- Meldeprozess nach § 32 BSIG und die CRA-Meldepflicht als einen Prozess führen, nicht als zwei
Häufige Fragen
- Ist unser Maschinenbauunternehmen von NIS2 betroffen?
- Wenn Sie mindestens 50 Beschäftigte haben oder mehr als 10 Mio. EUR Jahresumsatz erzielen, fallen Sie als Teil des verarbeitenden Gewerbes unter Anhang II der NIS2-Richtlinie und sind unmittelbar betroffen. Liegen Sie darunter, greifen die Pflichten mittelbar über Ihre regulierten Kunden: Diese müssen die Sicherheit ihrer Lieferkette nach § 30 Abs. 2 Nr. 4 BSIG steuern und geben die Anforderungen vertraglich weiter.
- Was gilt für Maschinen, die wir ausliefern?
- Für Produkte mit digitalen Elementen greift der Cyber Resilience Act, Verordnung (EU) 2024/2847. Seit dem 11.09.2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden; die übrigen Pflichten wie Konformitätsbewertung und Bereitstellung von Sicherheitsupdates gelten ab dem 11.12.2027. Das ist ein eigenes Regelwerk neben NIS2 — es betrifft Ihr Produkt, während NIS2 Ihr Unternehmen betrifft.
- Müssen wir unsere Steuerungen patchen?
- Nicht um jeden Preis. § 30 BSIG verlangt geeignete und verhältnismäßige Maßnahmen, nicht ein bestimmtes Verfahren. Wo Herstellerfreigaben oder Verfügbarkeitsanforderungen ein zeitnahes Patchen ausschließen, sind kompensierende Maßnahmen der richtige Weg: Segmentierung, strenge Zugangskontrolle und Überwachung. Entscheidend ist, dass diese Abwägung dokumentiert ist — eine ungepatchte Anlage ohne begründete Alternative ist ein Auditbefund.
- Wie beantworten wir die Sicherheitsfragebögen unserer Kunden?
- Am wirtschaftlichsten mit einem gepflegten Nachweispaket, das die zehn Maßnahmenbereiche des § 30 BSIG abdeckt und aus dem sich einzelne Fragen beantworten lassen. Wer jeden Fragebogen neu bearbeitet, bindet dauerhaft Kapazität und riskiert widersprüchliche Antworten gegenüber verschiedenen Kunden.
Weiter zu
Stand: 23.08.2026 · Zuletzt geprüft: 23.08.2026. Fachliche Einordnung zur technischen und organisatorischen Umsetzung, keine Rechtsberatung.
NIS2 im Maschinenbau — wo stehen Sie?
Eine Gap-Analyse zeigt anhand Ihrer Nachweise, welche der zehn Maßnahmenbereiche offen sind und in welcher Reihenfolge sie geschlossen werden sollten.
Gap-Analyse ansehen