Verarbeitendes Gewerbe
Cybersicherheitspflichten für Hersteller von Medizinprodukten, Elektronik, Maschinen und Fahrzeugen
Ist Ihr Unternehmen betroffen?
- Herstellung von Medizinprodukten und In-vitro-Diagnostika ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz (NIS2UmsuCG Anhang II, Nr. 5)
- Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen
- Herstellung von elektrischen Ausrüstungen sowie von Maschinen und Ausrüstungen a. n. g.
- Herstellung von Kraftwagen, Kraftwagenteilen sowie sonstigem Fahrzeugbau
- Nicht jedes produzierende Unternehmen ist erfasst — maßgeblich sind die im Gesetz genannten WZ-Abteilungen, nicht der Begriff „Industrie" allgemein
NIS2-Anforderungen nach Art. 21
- 01.
Präzise Prüfung der eigenen Einordnung
Anders als bei Energie oder Wasser gilt NIS2 im verarbeitenden Gewerbe nicht flächendeckend, sondern nur für bestimmte Wirtschaftszweige. Der erste Schritt ist deshalb die Zuordnung der eigenen Tätigkeit zur einschlägigen WZ-Klassifikation — daran hängt, ob überhaupt Pflichten bestehen.
- 02.
Trennung von Produktionsnetz und Büro-IT
Historisch gewachsene Fertigungsnetze sind selten segmentiert: Maschinen, Prüfstände und Bürorechner liegen im selben Adressbereich. Genau diese Durchlässigkeit macht aus einem Vorfall in der Verwaltung einen Produktionsstillstand.
- 03.
Umgang mit langlebiger Maschinensteuerung
Werkzeugmaschinen laufen zwanzig Jahre und länger, ihre Steuerung ist meist nicht aktualisierbar, ohne die Fertigungsfreigabe zu verlieren. Gefordert ist keine Erneuerung, sondern eine dokumentierte Begründung samt kompensierender Maßnahmen.
- 04.
Absicherung der Fernwartung durch Maschinenhersteller
Wartungsverträge sehen häufig dauerhafte Fernzugänge des Herstellers vor, teils über eigene Mobilfunkrouter an der Maschine. Diese Zugänge sind zu erfassen, zeitlich zu begrenzen und zu protokollieren — sie umgehen sonst jede Netzarchitektur.
- 05.
Lieferkettensicherheit in beide Richtungen
Zulieferer bringen Risiken herein, Kunden geben Anforderungen weiter. Automobil- und Medizintechnikkunden verlangen Sicherheitsnachweise vertraglich, unabhängig von der eigenen NIS2-Betroffenheit — das ist für viele Zulieferer der eigentliche Auslöser.
- 06.
Schutz von Konstruktions- und Fertigungsdaten
CAD-Modelle, NC-Programme und Prüfvorschriften sind das Kapital eines Fertigers. Der typische Angriff zielt hier auf unbemerkten Abfluss über lange Zeiträume, nicht auf Verschlüsselung — Erkennung und Protokollierung müssen darauf ausgelegt sein.
- 07.
Meldepflicht neben produktrechtlichen Vorgaben
Erhebliche Sicherheitsvorfälle gehen binnen 24 und 72 Stunden an das BSI. Bei Medizinprodukten können zusätzlich Vorgaben der Medizinprodukteverordnung greifen, wenn die Produktsicherheit berührt ist. Beide Wege gehören vorab beschrieben.
Typische Bedrohungsszenarien
Konzernweiter Produktionsstillstand nach Ransomware
Ein deutscher Automobilzulieferer musste nach einem Ransomware-Angriff die Produktion an Standorten weltweit anhalten. Die Wiederaufnahme zog sich über Wochen, der Schaden lag im dreistelligen Millionenbereich — der wohl bekannteste Fall in der deutschen Industrie.
Ransomware-Angriff auf Eberspächer (Deutschland, 2021)Angriff über den Maschinen- und Anlagenbau
Ein Ransomware-Angriff auf einen großen Landmaschinenhersteller legte Produktion und Ersatzteilversorgung während der Erntesaison lahm. Der Fall zeigt, wie stark die Zeitkritikalität in der Fertigung vom Abnehmermarkt abhängt.
BlackByte-Ransomware bei AGCO (2022)Langfristige Spionage in der Fertigungsindustrie
Angreifer der Winnti-Gruppe hielten sich über Jahre unentdeckt in Netzen deutscher Industrieunternehmen auf. Ziel war nicht Erpressung, sondern der stille Abfluss von Konstruktions- und Verfahrenswissen.
Winnti-Kampagne gegen deutsche Industrieunternehmen (bekannt geworden 2019)Maßnahmen-Checkliste
- Dokumentierte Zuordnung der eigenen Tätigkeit zur einschlägigen WZ-Klassifikation als Grundlage der Betroffenheit
- Zonen- und Conduit-Modell nach IEC 62443 zwischen Fertigung, Prüffeld und Verwaltungsnetz
- Vollständiges Maschinenverzeichnis mit Steuerungstyp, Softwarestand und Herstellerunterstützung
- Dokumentierte kompensierende Maßnahmen für jede nicht aktualisierbare Steuerung
- Erfassung und zeitliche Begrenzung aller Herstellerfernzugänge, einschließlich eigenständiger Mobilfunkrouter
- Erkennung, die auf langfristigen unauffälligen Abfluss von Konstruktionsdaten ausgelegt ist
- Zugriffsbeschränkung und Versionierung für CAD-Modelle, NC-Programme und Prüfvorschriften
- Vorbereitete Nachweismappe für Sicherheitsanforderungen von Automobil- und Medizintechnikkunden
- Geübter Notbetrieb je Fertigungslinie mit ermittelter maximaler Stillstandsdauer
- Sicherheitsanforderungen an Zulieferer vertraglich verankert und in der Lieferantenbewertung abgefragt
Verwandte Inhalte
NIS2-Compliance für Verarbeitendes Gewerbe?
Kontaktieren Sie uns für eine branchenspezifische Erstberatung. Wir kennen die Anforderungen Ihres Sektors.
Beratung anfragen