Verarbeitendes Gewerbe: Häufig gestellte Fragen

Das ist hier die entscheidende Frage, denn NIS2 gilt im verarbeitenden Gewerbe nicht flächendeckend. Anhang II nennt bestimmte Wirtschaftszweige: Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte und Elektronik, elektrische Ausrüstungen, Maschinenbau sowie Kraftwagen und sonstiger Fahrzeugbau. Ordnen Sie Ihre Tätigkeit der einschlägigen Wirtschaftszweigklassifikation zu und halten Sie das Ergebnis schriftlich fest — bei mehreren Geschäftsfeldern je Bereich getrennt.

Flache Netze, in denen Maschinen, Prüfstände und Bürorechner im selben Adressbereich liegen, sind in der Fertigung der Normalfall — und genau der Grund, warum ein Vorfall in der Verwaltung die Produktion stoppt. Beginnen Sie mit einem Zonen- und Conduit-Modell nach IEC 62443 und suchen Sie gezielt nach den typischen Querverbindungen: Datenexporte in die Warenwirtschaft, Qualitätsschnittstellen und Testrechner mit zwei Netzwerkkarten.

Werkzeugmaschinen laufen zwanzig Jahre und länger, und ein Update kostet häufig die Fertigungsfreigabe. NIS2 verlangt keine Erneuerung, sondern angemessene Maßnahmen: Dokumentieren Sie je Maschine, warum ein Update ausscheidet, und belegen Sie die kompensierenden Maßnahmen — eigene Netzzone, Zugriff nur über kontrollierte Übergänge, Überwachung des Datenverkehrs. Entscheidend für die Prüfung ist, dass diese Herleitung nachvollziehbar aufgeschrieben ist.

Wartungsverträge sehen häufig dauerhafte Fernzugänge vor, teils über einen eigenen Mobilfunkrouter direkt an der Maschine — solche Wege umgehen Ihre gesamte Netzarchitektur. Erfassen Sie zunächst jeden dieser Zugänge, auch die, die niemand mehr auf dem Schirm hat. Vereinbaren Sie danach im Wartungsvertrag, dass Zugänge nur während eines Serviceeinsatzes geöffnet und vollständig protokolliert werden. Das halbiert das Risiko ohne Komfortverlust.

CAD-Modelle, NC-Programme und Prüfvorschriften sind das Kapital eines Fertigers, und der typische Angriff darauf verschlüsselt nichts — er liest über Jahre unauffällig mit. Eine Erkennung, die nur auf Verschlüsselungsereignisse ausgelegt ist, übersieht ihn vollständig. Richten Sie Protokollierung und Auswertung stattdessen auf ungewöhnliche Abflussmengen und Zugriffe außerhalb üblicher Zeiten aus und beschränken Sie den schreibenden Zugriff auf benannte Personen.

Für viele Zulieferer ist der Kunde der eigentliche Auslöser, nicht die Behörde: Automobil- und Medizintechnikkunden verlangen Nachweise vertraglich, meist kurzfristig im Vergabeverfahren. Legen Sie eine gepflegte Nachweismappe an — Netztrennung, Maschinenverzeichnis, Umgang mit Altsteuerungen, Fernwartungsregeln, Notbetrieb und Meldewege. Damit lässt sich der Großteil der Fragebögen aus dem Bestand beantworten, statt jedes Mal neu zu recherchieren.