Die NIS2-Richtlinie, Richtlinie (EU) 2022/2555, ist die EU-Cybersicherheitsrichtlinie für „wesentliche“ und „wichtige“ Einrichtungen in 18 Sektoren. Sie verlangt zehn Mindestmaßnahmen (Artikel 21), die Meldung erheblicher Sicherheitsvorfälle binnen 24 Stunden (Artikel 23) und die Verantwortung der Geschäftsleitung (Artikel 20), mit Bußgeldern bis zu 10 Mio. Euro oder 2 % des weltweiten Umsatzes. Sie ersetzt die NIS-Richtlinie von 2016 und erweitert sowohl die erfassten Sektoren als auch die Pflichten jeder Einrichtung.
Wenn Sie Werke betreiben, liegt die Schwierigkeit darin, diese Maßnahmen auf Maschinen anzuwenden, die keine Sicherheitssoftware ausführen können. Unsere Seite NIS2-Konformität für die OT ordnet jeder Maßnahme aus Artikel 21 die passende Kontrolle zu und sagt offen, was bei Ihrem Team bleibt.
Was ist die NIS2-Richtlinie?
NIS2 ist die zweite Richtlinie zur Sicherheit von Netz- und Informationssystemen. Den vollständigen Text finden Sie auf EUR-Lex. Sie trat im Januar 2023 in Kraft. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen, und jedes nationale Gesetz legt eigene Anwendungsfristen fest.
Die Richtlinie verfolgt vier Ziele:
- Harmonisierung der Cybersicherheitsregeln zwischen den Mitgliedstaaten.
- Erweiterung des Geltungsbereichs auf mehr Sektoren und auf mittlere Unternehmen.
- Konkrete Sicherheitsmaßnahmen statt nationaler Auslegung.
- Schnellere Meldung von Sicherheitsvorfällen und engere Zusammenarbeit der Behörden.
Wer muss NIS2 einhalten?
NIS2 gilt für mittlere und große Organisationen in den Sektoren der beiden Anhänge. Manche Einrichtungen sind unabhängig von ihrer Größe betroffen, etwa DNS-Anbieter oder der einzige Anbieter eines kritischen Dienstes in einem Mitgliedstaat.
| Kategorie | Sektoren | Typische Größe | Höchstes Bußgeld |
|---|---|---|---|
| Wesentliche Einrichtung | Große Organisationen aus Anhang I: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum | 250 Beschäftigte oder mehr, oder über 50 Mio. Euro Umsatz | 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes |
| Wichtige Einrichtung | Mittlere Organisationen aus Anhang I sowie mittlere und große aus Anhang II: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (Medizinprodukte, Elektronik, elektrische Ausrüstung, Maschinenbau, Fahrzeuge), digitale Anbieter, Forschung | 50 Beschäftigte oder mehr, oder über 10 Mio. Euro Umsatz | 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes |
Anhang I umfasst 11 Sektoren mit hoher Kritikalität, Anhang II 7 sonstige kritische Sektoren. Daher stammt die Zahl „18 Sektoren“. Einrichtungen, die schon unter die erste NIS-Richtlinie fielen, bleiben erfasst. Viele Hersteller, Lebensmittelbetriebe und Chemiestandorte sind erstmals betroffen.
Die Pflichten sind für beide Kategorien fast gleich. Der Unterschied liegt in der Aufsicht: Wesentliche Einrichtungen beaufsichtigt die Behörde proaktiv (ex ante), wichtige nur anlassbezogen (ex post).
Welche Anforderungen stellt NIS2?
Die zehn Sicherheitsmaßnahmen aus Artikel 21
Artikel 21 Absatz 2 nennt zehn Mindestmaßnahmen. Sie müssen Ihrem Risiko, Ihrer Größe und den wahrscheinlichen Folgen eines Vorfalls angemessen sein. Die rechte Spalte zeigt, was jede Maßnahme in einem Werk bedeutet.
| Artikel | Maßnahme | Was sie in einem Werk bedeutet |
|---|---|---|
| 21(2)(a) | Risikoanalyse und Sicherheit für Informationssysteme | Mit einem aktuellen Maschineninventar beginnen. In der OT den Datenverkehr passiv mitlesen, statt Geräte aktiv zu scannen. |
| 21(2)(b) | Bewältigung von Sicherheitsvorfällen | Zugriffe auf jede Maschine protokollieren, damit sich der Ablauf innerhalb der Meldefristen rekonstruieren lässt. |
| 21(2)(c) | Aufrechterhaltung des Betriebs, Backup-Management, Krisenmanagement | SPS-Programme und Konfigurationen sichern, nicht nur Server. Die Wiederherstellung testen. |
| 21(2)(d) | Sicherheit der Lieferkette | Den Zugriff von Integratoren, Instandhaltern und Maschinenbauern steuern, auch über vergessene 4G-Router im Schaltschrank. |
| 21(2)(e) | Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Umgang mit Schwachstellen | Sicherheitsklauseln in Lastenhefte für Maschinen aufnehmen. Geräte einplanen, die nie einen Patch bekommen. |
| 21(2)(f) | Bewertung der Wirksamkeit der Maßnahmen | Messen und die Zahlen vorlegen. Eine schriftliche Richtlinie allein ist kein Nachweis. |
| 21(2)(g) | Grundlegende Cyberhygiene und Schulungen | Die Produktionsteams einbeziehen. Sie stecken USB-Sticks ein und öffnen Dienstleisterzugänge. |
| 21(2)(h) | Kryptografie und Verschlüsselung | Modbus, S7 und DNP3 laufen im Klartext. Verschlüsseln muss deshalb das Netzwerk um die Maschinen herum. |
| 21(2)(i) | Personalsicherheit, Zugriffskontrolle, Asset-Management | Eine SPS kennt keine Benutzer. Ein geteiltes Werkstattpasswort hinterlässt keine namentliche Spur. |
| 21(2)(j) | Multi-Faktor-Authentifizierung und gesicherte Kommunikation | Ein altes HMI kann kein MFA. Die starke Authentifizierung gehört vor die Maschine. |
Wie Trout Access Gate jede Zeile abdeckt, mit einem ehrlichen „Teilweise“, wo ein Teil der Arbeit bei Ihnen bleibt, zeigt die Artikel-21-Zuordnung auf unserer NIS2-Seite.
Meldung von Sicherheitsvorfällen (Artikel 23)
Bei einem erheblichen Sicherheitsvorfall läuft die Frist ab dem Moment, in dem Sie davon Kenntnis erlangen.
- Binnen 24 Stunden: eine Frühwarnung an das CSIRT oder die zuständige Behörde.
- Binnen 72 Stunden: eine Meldung mit einer ersten Bewertung von Schwere und Auswirkungen.
- Binnen eines Monats: ein Abschlussbericht.
Ein Vorfall ist erheblich, wenn er schwere Betriebsstörungen oder finanzielle Verluste verursacht oder verursachen kann, oder Dritten erheblichen Schaden zufügt oder zufügen kann. Die 24-Stunden-Frist überrascht die meisten Organisationen.
Governance und Verantwortung (Artikel 20)
Die Leitungsorgane müssen die Sicherheitsmaßnahmen billigen, ihre Umsetzung überwachen und an Cybersicherheitsschulungen teilnehmen. Sie können für Verstöße haftbar gemacht werden. Bei wesentlichen Einrichtungen kann die Behörde einer Führungskraft vorübergehend Leitungsaufgaben untersagen (Artikel 32). Unser Beitrag zur Haftung der Geschäftsleitung unter NIS2 geht darauf im Detail ein.
Was bedeutet NIS2 für ICS- und OT-Netzwerke?
NIS2 nimmt industrielle Steuerungssysteme nicht aus. In Energie, Wasser, Verkehr und Fertigung treffen die Maßnahmen aus Artikel 21 auf SPS, HMIs, RTUs und SCADA-Server. Die meisten dieser Maschinen können keinen Agenten ausführen, und viele laufen auf Betriebssystemen ohne Support. Vier Bereiche brauchen OT-spezifische Arbeit.
Asset-Management
Führen Sie ein aktuelles Inventar jeder Maschine, ihrer Firmware und ihrer Datenflüsse. Bauen Sie es passiv aus dem Netzwerkverkehr auf, damit Sie nie einen laufenden Prozess stören. Unser Leitfaden zu den NIS2-Anforderungen an das Asset-Inventar zeigt, was zu erfassen ist.
Risikomanagement
Bewerten Sie Cyber- und physische Risiken gemeinsam, denn ein OT-Vorfall kann eine Linie stoppen oder Menschen verletzen. Ordnen Sie die Maschinen danach, was ihr Ausfall kosten würde. Überprüfen Sie die Analyse bei jeder Änderung im Werk.
Reaktion auf Sicherheitsvorfälle
Benennen Sie ein Team mit klaren Rollen. Schreiben Sie einen Plan für OT-Vorfälle und üben Sie ihn mit der Produktion. Legen Sie vorab fest, wer die Behörde informiert, damit die 24-Stunden-Frühwarnung nicht auf ein Meeting wartet.
Aufrechterhaltung des Betriebs
Planen Sie einen Notbetrieb für kritische Prozesse. Halten Sie Offline-Kopien von SPS-Programmen und HMI-Projekten bereit. Prüfen Sie nach jeder Änderung, ob der Plan noch zum Werk passt.
Zugriffskontrolle und Segmentierung
Das ist meist die schwierigste Lücke. Alte Maschinen können weder Benutzer authentifizieren noch Sitzungen aufzeichnen, und der riskanteste Zugang ist die Fernwartung durch Dienstleister. Erwägungsgrund 89 der Richtlinie nennt die Netzsegmentierung als grundlegende Cyberhygiene-Praxis, und nationale Vorgaben wie der französische ReCyF verpflichten wesentliche Einrichtungen, ihre Systeme in Sicherheitszonen aufzuteilen.
Trout Access Gate wird an Ihr bestehendes Netzwerk angebunden und setzt ein Gate vor diese Maschinen. Jede Sitzung, auch die Wartung durch Dritte, ist an einen namentlich bekannten Benutzer gebunden, auf die nötigen Maschinen beschränkt und aufgezeichnet. Auf den Maschinen wird nichts installiert. Siehe NIS2-Konformität für die OT und Sicherer Fernzugriff für OT und Dienstleister.
Welche Normen helfen bei der NIS2-Umsetzung?
Es gibt kein NIS2-Zertifikat. Die Einhaltung weisen Sie der nationalen Behörde mit Nachweisen nach. Bestehende Normen liefern diese Nachweise schneller.
- IEC 62443 liefert das technische Modell für Industrienetze: Zonen und Conduits, Security Level und Anforderungen an Lieferanten.
- ISO/IEC 27001 deckt das Managementsystem ab: Risikoprozess, Richtlinien und kontinuierliche Verbesserung.
- Nationale Rahmenwerke übersetzen Artikel 21 in prüfbare Ziele, etwa der ReCyF der französischen ANSSI.
Ordnen Sie jede Maßnahme aus Artikel 21 einer Kontrolle zu, die Sie bereits betreiben, damit Sie die Arbeit nicht doppelt machen. Wenn Sie auch an die US-Verteidigungsindustrie liefern, lesen Sie eine Architektur für CMMC und NIS2.
So bereiten Sie die NIS2-Umsetzung vor
- Kategorie klären. Prüfen Sie, ob Sie wesentliche oder wichtige Einrichtung sind, und registrieren Sie sich bei der nationalen Behörde.
- Gap-Analyse durchführen. Vergleichen Sie Ihre Kontrollen mit den zehn Maßnahmen aus Artikel 21, Werk für Werk.
- Roadmap erstellen. Geben Sie jeder Lücke einen Verantwortlichen, einen Termin und ein Budget. Beginnen Sie mit den größten Risiken.
- Meldefähigkeit testen. Prüfen Sie, ob Sie eine 24-Stunden-Frühwarnung senden können, auch am Wochenende.
- Lieferkette absichern. Nehmen Sie Sicherheitsklauseln in Lieferantenverträge auf und regeln Sie den Fernzugriff von Dienstleistern.
- Kontrollen vor die OT setzen. Segmentierung, personengebundener Zugriff, MFA und Sitzungsprotokolle, ohne die Maschinen zu verändern.
- Personal schulen. Beziehen Sie Bediener und Instandhaltung ein, nicht nur die Büros.
- Messen und verbessern. Überprüfen Sie die Maßnahmen regelmäßig und halten Sie die Nachweise für ein Audit bereit.
Drei Herausforderungen tauchen oft auf. Sicherheitskontrollen dürfen die Produktion nicht blockieren. Kleinere Einrichtungen sollten dort investieren, wo das Risiko am höchsten ist. Und die Sicherheit Ihrer Lieferanten wird zu Ihrer eigenen. Planen Sie deren Prüfung deshalb von Anfang an ein.
Ab wann gilt NIS2?
Die Umsetzungsfrist endete am 17. Oktober 2024. 2026 haben die meisten Mitgliedstaaten NIS2 in nationales Recht übernommen. Einige, darunter Frankreich, stellen ihre Umsetzung noch fertig, und die Aufsicht wird strenger, sobald das jeweilige Gesetz in Kraft tritt. Fragen Sie bei Ihrer nationalen Behörde nach dem für Sie geltenden Datum. Unser Beitrag zur Durchsetzung von NIS2 fasst zusammen, was sich geändert hat.
Wo Sie anfangen sollten
Klären Sie Ihre Kategorie, ordnen Sie Ihre Kontrollen Artikel 21 zu und testen Sie Ihre 24-Stunden-Meldung. In den Werken beginnen Sie mit der Zugriffskontrolle für Maschinen, die sich nicht selbst schützen können.