NIS2-Checkliste Verarbeitendes Gewerbe

Im verarbeitenden Gewerbe steht eine Frage vor allen anderen, die andere Sektoren gar nicht haben: Gelten die Pflichten überhaupt? NIS2 erfasst hier nicht die Industrie als Ganzes, sondern bestimmte Wirtschaftszweige. Wer das überspringt, plant entweder umsonst oder wiegt sich falsch in Sicherheit. Danach folgt der Teil, an dem fast alle Fertiger gleich scheitern: das gewachsene, flache Werksnetz.

Ihre NIS2-Checkliste für Verarbeitendes Gewerbe

1. 1

   Prüfen Sie Ihre Zuordnung zur einschlägigen Wirtschaftszweigklassifikation

   Klären Sie schriftlich, ob Ihre Tätigkeit unter die im Gesetz genannten Abteilungen fällt. Bei mehreren Geschäftsfeldern ist das je Bereich zu bewerten.

2. 2

   Erstellen Sie ein vollständiges Verzeichnis Ihrer Maschinen

   Halten Sie je Maschine Steuerungstyp, Softwarestand und Herstellerunterstützung fest. Ohne dieses Verzeichnis bleibt jede Aussage über Ihre Angriffsfläche eine Schätzung.

3. 3

   Identifizieren Sie alle Verbindungen zwischen Werks- und Büronetz

   Flache, historisch gewachsene Netze sind hier der Normalfall. Suchen Sie gezielt nach Datenexporten, Qualitätsschnittstellen und Testrechnern mit zwei Netzwerkkarten.

4. 4

   Trennen Sie Fertigung, Prüffeld und Verwaltung voneinander

   Ein Vorfall in der Bürowelt darf die Fertigung nicht erreichen. Kontrollierte Übergänge ersetzen dabei gewachsene Direktverbindungen.

5. 5

   Erfassen Sie jeden Fernzugang Ihrer Maschinenlieferanten

   Wartungsverträge sehen oft dauerhafte Zugänge vor, teils über eigene Mobilfunkrouter an der Maschine. Solche Wege umgehen Ihre gesamte Netzarchitektur.

6. 6

   Begrenzen Sie diese Zugänge zeitlich und protokollieren Sie sie

   Ein Zugang, der nur während eines Serviceeinsatzes offen ist, halbiert das Risiko ohne Komfortverlust. Vereinbaren Sie das im Wartungsvertrag.

7. 7

   Dokumentieren Sie Schutzmaßnahmen für nicht aktualisierbare Steuerungen

   Ein Update kostet häufig die Fertigungsfreigabe. Beschreiben Sie je Maschine, warum ein Update ausscheidet und wie Sie das Risiko stattdessen begrenzen.

8. 8

   Sichern Sie Konstruktions- und Fertigungsdaten gegen stillen Abfluss

   Der typische Angriff auf Fertiger verschlüsselt nichts, sondern liest jahrelang mit. Richten Sie Ihre Auswertung auf ungewöhnliche Abflussmengen aus.

9. 9

   Ermitteln Sie je Linie die maximal tragbare Stillstandsdauer

   Aus dieser Zahl leitet sich ab, wie schnell welches System zurück sein muss. Ein allgemeiner Zielwert hilft dabei nicht weiter.

10. 10

    Entwickeln Sie einen Notbetrieb für Ihre wichtigsten Linien

    Beschreiben Sie, wie ohne zentrale Systeme gefertigt und dokumentiert wird. Üben Sie den Wechsel, bevor Sie ihn im Ernstfall brauchen.

11. 11

    Bereiten Sie eine Nachweismappe für Kundenanfragen vor

    Sicherheitsfragebögen kommen meist unter Zeitdruck im Vergabeverfahren. Eine gepflegte Mappe spart bei jeder Anfrage mehrere Tage.

12. 12

    Vereinbaren Sie Sicherheitsanforderungen mit Ihren Zulieferern

    Nehmen Sie sie in die Beschaffungsunterlagen auf und fragen Sie sie in der Lieferantenbewertung ab. Partner mit Systemzugang verdienen dabei die höchste Aufmerksamkeit.