NIS2-Anforderungen in OT und Produktion umsetzen.
NIS2 verpflichtet Industriebetriebe, die zehn Maßnahmen aus Artikel 21 in der OT umzusetzen und erhebliche Vorfälle binnen 24 Stunden zu melden. Access Gate steuert und protokolliert jeden Maschinenzugriff vor Ort.
Zuletzt aktualisiert:
Das Problem
Artikel 21 gilt für alle betroffenen Assets, auch für SPS, HMI, CNC-Maschinen, SCADA-Server und Sensoren in der Produktion. Viele davon laufen mit proprietärer Firmware oder einem abgekündigten Betriebssystem, auf dem sich kein Endpoint-Agent installieren lässt. Die Richtlinie sieht für diese Maschinen keine Ausnahme vor.
Was verlangt NIS2 für OT und industrielle Steuerungssysteme?
NIS2 unterscheidet nicht zwischen IT und OT. Ein betroffener Industriebetrieb muss Cyberrisiken mit den zehn Maßnahmen aus Artikel 21 beherrschen und erhebliche Sicherheitsvorfälle nach Artikel 23 melden. Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen, in Deutschland nach § 38 BSIG. SPS, HMI, SCADA-Server und Engineering-Workstations sind Netz- und Informationssysteme im Sinne der Richtlinie, deshalb gelten die Pflichten auch für sie.
Wer betroffen ist
NIS2 erfasst die 11 Sektoren aus Anhang I der Richtlinie (im BSIG: Anlage 1) mit Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitaler Infrastruktur, Verwaltung von IKT-Diensten, öffentlicher Verwaltung und Weltraum. Dazu kommen die 7 Sektoren aus Anhang II (im BSIG: Anlage 2) mit Post- und Kurierdiensten, Abfallbewirtschaftung, Chemie, Lebensmitteln, verarbeitendem Gewerbe, Anbietern digitaler Dienste und Forschung. Zum verarbeitenden Gewerbe zählen Medizinprodukte, Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und sonstiger Fahrzeugbau.
Die Größenregel erfasst mittlere und große Unternehmen: ab 50 Beschäftigten oder mit mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Manche Einrichtungen sind unabhängig von ihrer Größe betroffen, etwa Anbieter öffentlicher elektronischer Kommunikationsdienste, Vertrauensdiensteanbieter, DNS-Diensteanbieter und Einrichtungen, die in ihrem Mitgliedstaat als einzige einen für die Gesellschaft wesentlichen Dienst erbringen.
Große Unternehmen in Sektoren aus Anhang I heißen in der Richtlinie wesentliche Einrichtungen, im BSIG besonders wichtige Einrichtungen. Die meisten übrigen betroffenen Unternehmen sind wichtige Einrichtungen. Betreiber kritischer Anlagen (KRITIS) gelten nach § 28 BSIG unabhängig von ihrer Größe als besonders wichtige Einrichtungen. Beide Gruppen müssen dieselben Maßnahmen umsetzen. Für besonders wichtige Einrichtungen gelten eine proaktive Aufsicht und höhere Bußgelder.
Die zehn Maßnahmen aus Artikel 21 Absatz 2
Artikel 21 Absatz 2 nennt die Mindestmaßnahmen, die jede betroffene Einrichtung angemessen zu ihrem Risiko umsetzen muss. In Deutschland stehen sie in § 30 Abs. 2 BSIG.
- a) Konzepte für die Risikoanalyse und die Sicherheit von Informationssystemen
- b) Bewältigung von Sicherheitsvorfällen
- c) Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
- d) Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
- e) Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Umgang mit und Offenlegung von Schwachstellen
- f) Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
- g) Grundlegende Verfahren der Cyberhygiene und Schulungen zur Cybersicherheit
- h) Konzepte und Verfahren für Kryptografie und gegebenenfalls Verschlüsselung
- i) Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Asset-Management (in der Richtlinie: „Management von Anlagen“)
- j) Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikation, soweit angemessen
Meldepflichten nach Artikel 23 und § 32 BSIG
Einen erheblichen Sicherheitsvorfall meldet die Einrichtung in drei Stufen an das BSI: eine frühe Erstmeldung binnen 24 Stunden nach Kenntniserlangung (in der Richtlinie „Frühwarnung“), eine Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung. Die Sitzungsprotokolle von Access Gate halten fest, wer wann auf welche Maschine zugegriffen hat. Ihr Team entnimmt ihnen die Fakten für jede Meldung.
Pflichten der Geschäftsleitung nach Artikel 20 und § 38 BSIG
Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Verletzt sie diese Pflichten, haftet sie der Einrichtung für schuldhaft verursachte Schäden. Ihre Mitglieder müssen regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG). Mehr dazu im Beitrag zur Haftung der Geschäftsleitung unter NIS2.
Bußgelder nach Artikel 34 und § 65 BSIG
Die Richtlinie verpflichtet die Mitgliedstaaten zu Höchstbeträgen von mindestens 10 Mio. Euro oder 2 % des weltweiten Vorjahresumsatzes für wesentliche und mindestens 7 Mio. Euro oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist. In Deutschland sieht § 65 BSIG bis zu 10 Mio. Euro für besonders wichtige und bis zu 7 Mio. Euro für wichtige Einrichtungen vor, bei einem Gesamtumsatz über 500 Mio. Euro bis zu 2 % beziehungsweise 1,4 % des weltweiten Vorjahresumsatzes.
Was Access Gate am Netzwerk durchsetzt
Diese Teile von Artikel 21 hängen davon ab, wer und was Ihre Maschinen erreicht. Den Netzwerkteil setzt Access Gate vor Ort durch.
- Sicherheit der Lieferkette (d). Lieferanten und Integratoren erreichen nur die freigegebenen Maschinen, zeitlich begrenzt und mit MFA, und jede Sitzung wird aufgezeichnet. Mehr zum sicheren Fernzugriff für die OT.
- Zugriffskontrolle und MFA (i, j). Jeder Benutzer meldet sich mit MFA am Access Gate an, bevor eine Sitzung eine SPS oder ein HMI erreicht. Die Maschine selbst muss MFA nicht unterstützen.
- Asset-Management (i). Das Asset-Inventar erfasst jede Maschine aus dem Datenverkehr, der ohnehin in Ihrem Netz läuft. Auf den Maschinen wird nichts installiert.
- Zonen zwischen OT und IT (a, g, i). Access Gate teilt die OT in Zonen auf und blockiert jede Verbindung, die Sie nicht freigegeben haben, nach dem Zonen- und Conduit-Modell der IEC 62443. Erwägungsgrund 89 nennt die Netzsegmentierung als Verfahren der Cyberhygiene.
- Protokollierung für die Vorfallbewältigung (b). Jede Verbindung wird mit Benutzer, Maschine und Uhrzeit protokolliert. Ihr Team nutzt dieses Protokoll für die Frühwarnung binnen 24 Stunden.
Was bei Ihnen bleibt
Access Gate allein macht kein Unternehmen NIS2-konform. Ihr Team erstellt Risikoanalyse und Sicherheitskonzepte, bewältigt und meldet Vorfälle, plant die Betriebskontinuität, spielt Patches ein, regelt die Sicherheit in Lieferantenverträgen und schult die Belegschaft. Access Gate liefert die Durchsetzung und die Nachweise für den Netzwerkteil der Maßnahmen.
Drei NIS2-Kennzahlen mit Quellen.
Jede Zahl verweist auf den Originaltext.
- 24 Std., 72 Std., 1 Monat
- Frühwarnung, Meldung und Abschlussbericht nach einem erheblichen Sicherheitsvorfall.
- Richtlinie (EU) 2022/2555, Artikel 23 Absatz 4
- 18 Sektoren
- 11 Sektoren mit hoher Kritikalität in Anhang I und 7 sonstige kritische Sektoren in Anhang II.
- Richtlinie (EU) 2022/2555, Anhänge I und II
- rund 29.500
- Einrichtungen beaufsichtigt das BSI nach dem NIS2UmsuCG, gegenüber rund 4.500 zuvor nach dem BSI-Gesetz regulierten Organisationen.
- BSI, Pressemitteilung vom 5. Dezember 2025
Wie Deutschland und Frankreich NIS2 umsetzen
NIS2 ist eine Richtlinie. Jeder Mitgliedstaat überführt sie in nationales Recht und benennt eine eigene Behörde. Die Umsetzungsfrist endete am 17. Oktober 2024.
Deutschland: NIS2UmsuCG und Registrierung beim BSI
Deutschland hat NIS2 mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, das das BSI-Gesetz (BSIG) neu fasst. Das Gesetz wurde am 5. Dezember 2025 verkündet und ist am 6. Dezember 2025 in Kraft getreten. Das BSI beaufsichtigt rund 29.500 besonders wichtige und wichtige Einrichtungen. Jede betroffene Einrichtung muss sich beim BSI registrieren, spätestens drei Monate, nachdem sie erstmals betroffen ist, zuerst über „Mein Unternehmenskonto“ und dann im BSI-Portal. Die zehn Mindestmaßnahmen stehen in § 30 Abs. 2 BSIG.
Frankreich: ANSSI und der Gesetzentwurf Résilience
Frankreich setzt NIS2 mit dem Gesetzentwurf zur Resilienz kritischer Infrastrukturen und zur Stärkung der Cybersicherheit um, dem sogenannten projet de loi Résilience. Der Senat hat ihn im März 2025 angenommen. Die für Oktober 2026 geplante Beratung in der Nationalversammlung wurde von der Tagesordnung genommen. Ab dem 9. November 2026 steht der Entwurf wieder auf der Tagesordnung. Zuständige Behörde ist die ANSSI. Nach ihren Angaben gelten die NIS2-Pflichten in Frankreich erst, wenn das Gesetz verkündet und seine Durchführungsbestimmungen veröffentlicht sind. Den Stand verfolgt die ANSSI auf ihrer Seite zur Umsetzung. Bis dahin sieht ihr ReCyF 15 Sicherheitsziele für wichtige und 20 für wesentliche Einrichtungen vor.
Wie Access Gate Artikel 21 auf Maschinen ohne Agenten anwendet.
Access Gate setzt die Maßnahmen am Netzwerk durch, vor den Maschinen. Sie verbinden es mit Ihrer bestehenden Firewall oder Ihrem Router und legen eine Regel an, die den Maschinenverkehr dorthin weiterleitet. Auf den Maschinen wird nichts installiert, und die Firmware bleibt unverändert.
Betreiber mit mehreren Werken setzen pro Werk ein Access Gate ein, ohne Abhängigkeit zwischen den Werken. Jedes Werk erhält eigene IEC-62443-Zonen, und Sie verwalten die Regeln aller Werke zentral.
Segmentierung ohne Neuverkabelung
Access Gate trennt OT-Zonen vom IT-Netz und voneinander. VLANs und Switches bleiben, wie sie sind.
MFA vor jeder Maschine
Access Gate prüft die MFA, bevor eine Sitzung die Maschine erreicht. Die SPS muss MFA nicht unterstützen. Das deckt die Maßnahmen zu Zugriffskontrolle und MFA unter den Buchstaben i und j ab.
Hash-verkettetes Protokoll jeder OT-Sitzung
Jede Verbindung zu einem OT-Asset wird mit Benutzer, Uhrzeit und Protokoll erfasst, und Sitzungen lassen sich wiedergeben. Das Protokoll ist hash-verkettet, jede Änderung daran ist erkennbar.
Verlangt NIS2 eine OT-Segmentierung?
Ja, in der Praxis. Artikel 21 Absatz 2 der Richtlinie verwendet das Wort nicht. Er verlangt Konzepte für die Risikoanalyse und die Sicherheit von Informationssystemen (Buchstabe a), grundlegende Verfahren der Cyberhygiene (Buchstabe g) und Zugriffskontrolle (Buchstabe i). Erwägungsgrund 89 nennt die Netzsegmentierung als eines dieser Verfahren der Cyberhygiene.
Die Durchführungsvorschriften sind eindeutig. Nummer 6.8 im Anhang der Durchführungsverordnung (EU) 2024/2690 verpflichtet Einrichtungen des digitalen Sektors, ihre Systeme in Zonen aufzuteilen und sicherheitskritische Systeme in geschützten Zonen zu halten. Der technische Umsetzungsleitfaden der ENISA (Juni 2025, auf Englisch) erklärt, wie Sie die Segmentierung umsetzen und prüfen.
Auch die französischen Vorgaben verlangen Segmentierung. Ziel 7 des von der ANSSI veröffentlichten ReCyF verpflichtet wesentliche Einrichtungen, ihre Systeme in Sicherheitszonen aufzuteilen und den Datenverkehr zwischen diesen Zonen zu filtern. Das gilt auch für den Verkehr von Dienstleistern und Lieferanten.
Access Gate segmentiert die OT ohne Neuverkabelung. Sie verbinden es mit Ihrer bestehenden Firewall oder Ihrem Router und legen eine Regel an. Es setzt Zonenregeln auf Netzwerkebene durch, auf den Maschinen wird nichts installiert.
Access Gate wird neben Ihrem Netz angebunden.
Verbinden Sie es mit Ihrer bestehenden Firewall oder Ihrem Router und legen Sie eine Regel an. Eine Neuverkabelung ist nicht nötig.
Zugriffsregeln zwischen OT und IT.
Legen Sie fest, wie Server, SPS und HMI sich mit Unternehmenssystemen verbinden. Die Regeln gelten auf Netzwerkebene, auf den Maschinen wird nichts installiert.
Nachweise für jede Maßnahme nach Artikel 21.
Zugriffsprotokolle und Regelberichte liegen bereit, wenn der Prüfer danach fragt.
Wie Access Gate jede Maßnahme nach Artikel 21 Absatz 2 abbildet.
Für jede der zehn Maßnahmen sehen Sie, was die Richtlinie verlangt, was Access Gate am Netzwerk leistet und was bei Ihnen bleibt. Durchgesetzt heißt: Access Gate wendet die technische Kontrolle an. Unterstützt heißt: Access Gate deckt einen Teil der Maßnahme ab oder liefert Nachweise dafür.
| Artikel | Maßnahme | Access-Gate-Kontrolle | Abdeckung |
|---|---|---|---|
| Art. 21(2)(a) | Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme | Asset-Inventar und Deny-by-Default-Regeln liefern die Grundlage für Ihre Risikoanalyse. Das Konzept selbst schreiben Sie. | Unterstützt |
| Art. 21(2)(b) | Bewältigung von Sicherheitsvorfällen | Sitzungsprotokolle, Alarme und Sitzungswiedergabe für die frühe Erstmeldung binnen 24 Stunden. Die Meldung bleibt bei Ihnen. | Unterstützt |
| Art. 21(2)(c) | Betriebskontinuität und Krisenmanagement | Access Gate ist seitlich an Ihr Netzwerk angebunden, daher läuft die Produktion weiter, wenn das Gerät ausfällt. Die Wiederherstellung nach einem Notfall bleibt bei Ihnen. | Unterstützt |
| Art. 21(2)(d) | Lieferkettensicherheit | Dienstleisterzugriff pro Sitzung, mit MFA, Aufzeichnung und automatischem Entzug. Lieferantenverträge bleiben bei Ihnen. | Durchgesetzt |
| Art. 21(2)(e) | Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen | Passive Erkennung nicht verwalteter Maschinen und Deny-by-Default-Regeln um ungepatchte Maschinen. Das Schwachstellenmanagement bleibt bei Ihnen. | Unterstützt |
| Art. 21(2)(f) | Wirksamkeitsbewertung | Audits der Zugriffsregeln und Nachweispakete auf Abruf. | Unterstützt |
| Art. 21(2)(g) | Cyberhygiene und Schulungen | MFA, Least Privilege und Sitzungs-Timeouts per Regel. Schulungsinhalte und Schulungen bleiben bei Ihnen. | Unterstützt |
| Art. 21(2)(h) | Kryptografie und Verschlüsselung | Jeder Zugriffspfad ist mit TLS verschlüsselt. Das Konzept bleibt bei Ihnen. | Durchgesetzt |
| Art. 21(2)(i) | Zugriffskontrolle und Asset-Management | Passives Asset-Inventar und identitätsbasierter Zugriff pro Benutzer, Maschine und Protokoll. Die Personalsicherheit bleibt bei Ihnen. | Durchgesetzt |
| Art. 21(2)(j) | Multi-Faktor-Authentifizierung | MFA am Gate, bevor eine Sitzung die Maschine erreicht, mit Offline-TOTP. Gesicherte Sprach- und Videokommunikation bleibt bei Ihnen. | Durchgesetzt |
Konzepte für Risikoanalyse und Informationssicherheit erstellen und pflegen.
Access Gate erkennt Assets laufend, kartiert das Netzwerk und setzt Zugriffsregeln durch. Mikrosegmentierung und Deny-by-Default-Regeln senken das Risiko. Regeländerungen werden versioniert. Risikoanalyse und Sicherheitskonzept erstellt Ihr Team selbst.
Erhebliche Sicherheitsvorfälle bewältigen und spätestens 24 Stunden nach Kenntnis eine Erstmeldung an das BSI abgeben.
Access Gate erkennt Sitzungsanomalien, verschickt Alarme und zeichnet Sitzungen für die Forensik auf. Jede Verbindung wird mit Benutzeridentität, Zeitstempel, Quelle und Ziel protokolliert. Nachweise zu Vorfällen entstehen laufend und lassen sich jederzeit exportieren. Die Reaktion auf Vorfälle und die Meldung an das BSI bleiben bei Ihrem Team.
Den Betrieb während und nach Sicherheitsvorfällen aufrechterhalten. Backups verwalten und den Betrieb nach einem Notfall wiederherstellen.
Access Gate wird seitlich an das Netzwerk angebunden. Ist das Gerät nicht verfügbar, läuft der Produktionsverkehr weiter. Regelkonfigurationen lassen sich für Backups exportieren. Die Planung der Wiederherstellung nach einem Notfall bleibt bei Ihnen.
Cybersicherheitsrisiken in Lieferanten- und Dienstleisterbeziehungen managen.
Der Zugriff von Lieferanten wird pro Sitzung auf bestimmte Assets, Protokolle und Zeitfenster begrenzt, mit MFA. Jede Lieferantensitzung wird mit vollständigem Prüfpfad aufgezeichnet. Das VPN endet am Gate, und es bleibt kein dauerhafter Zugriff bestehen. Der Zugriff endet automatisch mit der Sitzung. Lieferantenverträge und Lieferantenbewertungen bleiben bei Ihnen.
Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen absichern. Schwachstellen behandeln und offenlegen.
Access Gate behandelt keine Schwachstellen. Die passive Asset-Erkennung findet nicht verwaltete Geräte, die Ihr Schwachstellenmanagement abdecken muss. Sie verzichtet auf aktives Scanning, das den OT-Betrieb stören könnte. Deny-by-Default-Regeln begrenzen, welche Verbindungen eine Maschine erreichen, die noch auf einen Patch wartet. Sichere Entwicklung, Patches und die Offenlegung von Schwachstellen bleiben bei Ihrem Team.
Die Wirksamkeit von Cybersicherheits-Risikomanagementmaßnahmen bewerten.
Segmentierungs-Baselines, Prüfungen der Zugriffsregeln und die Auswertung der Sitzungsprotokolle liefern Daten für die Bewertung der Maßnahmen. Nachweispakete entstehen auf Abruf für Prüfer und Behörden. Die Bewertung selbst führt Ihr Team durch.
Grundlegende Verfahren der Cyberhygiene anwenden und Mitarbeitende zur Cybersicherheit schulen.
Die Regeln von Access Gate verlangen MFA, Zugriffe nach dem Least-Privilege-Prinzip und Sitzungs-Timeouts. Schulungsinhalte und Schulungen bleiben bei Ihnen.
Konzepte und Verfahren für Kryptografie und gegebenenfalls Verschlüsselung festlegen.
Alle Zugriffspfade nutzen TLS, mit AES-128/256 GCM und ECDHE-Schlüsselaustausch. Die Verschlüsselung erfolgt am Proxy, ohne Änderung an den Produktionsgeräten. Ihr Kryptografiekonzept bleibt bei Ihnen.
Personalsicherheit gewährleisten, Zugriffskontrollkonzepte festlegen und Assets verwalten.
Artikel 21 Abs. 2 Buchst. i nennt das Asset-Management. Das Asset-Inventar erfasst jede Maschine aus dem vorhandenen Datenverkehr in Ihrem Netzwerk, mit dem Verlauf ihrer Änderungen. Der Zugriff ist identitätsbasiert, mit MFA und RBAC pro Benutzer, pro Asset und pro Protokoll. Zugriffsregeln werden auf Netzwerkebene durchgesetzt.
Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung und gesicherte Kommunikation einsetzen, soweit angemessen.
MFA wird am Proxy erzwungen, bevor eine Sitzung das Asset erreicht. TOTP-Token funktionieren offline, auch in Umgebungen mit Air Gap. Jeder Zugriffspfad ist mit TLS verschlüsselt. Gesicherte Sprach-, Video- und Notfallkommunikation bleibt bei Ihnen.
Wie Guichon Valves OT und IT für NIS2 abgesichert hat.
der OT-IT-Datenflüsse segmentiert und für die NIS2-Compliance auditierbar. Die Einführung lief ohne Produktionsunterbrechung.
Vertraut von führenden Unternehmen
Access Gate läuft vor Ort, unter Ihrer Kontrolle.
Access Gate läuft vollständig innerhalb Ihres Perimeters, ohne Cloud und ohne entfernte Steuerungsebene. Protokolle und Regeln bleiben in Ihrem Netz. Die OT-Zugriffsdaten bleiben damit außerhalb der Reichweite ausländischer Gesetze wie des US CLOUD Act. KRITIS-Betreiber müssen dafür nichts zusätzlich konfigurieren.
Laden Sie das Access Gate Datenblatt herunter.
Erhalten Sie die vollständige Produktübersicht mit technischen Funktionen, Bereitstellungsmodell, Compliance-Ausrichtung und Kundenreferenzen.
Inhalt
Produktarchitektur, Bereitstellungsmodell, wichtige Funktionen (Proxy-Durchsetzung, Mikro-DMZs, identitätsbasierter Zugriff), Compliance-Ausrichtung und reale Kundenimplementierungen.
In der Praxis erleben
Fordern Sie eine Live-Demo an, um zu sehen, wie der Access Gate in Ihrem Netzwerk bereitgestellt wird, ohne Umverkabelung oder Ausfallzeiten.
Häufige Fragen zu NIS2 in der OT.
Maßnahmen nennt Artikel 21 Absatz 2. Access Gate setzt den Netzwerkteil jeder Maßnahme vor Ort durch oder unterstützt ihn.
Betroffen sind mittlere und große Einrichtungen in den 18 Sektoren der Anhänge I und II (im BSIG: Anlagen 1 und 2): ab 50 Beschäftigten oder mit mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Das verarbeitende Gewerbe umfasst Medizinprodukte, Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und sonstigen Fahrzeugbau. Chemie und Lebensmittel sind eigene Sektoren. Große Unternehmen in Sektoren wie Energie und Wasser sind besonders wichtige Einrichtungen, die meisten übrigen sind wichtige Einrichtungen. Betreiber kritischer Anlagen gelten nach § 28 BSIG unabhängig von ihrer Größe als besonders wichtige Einrichtungen.
Artikel 21 Absatz 2 verlangt (a) Konzepte für Risikoanalyse und Sicherheit der Informationssysteme, (b) die Bewältigung von Sicherheitsvorfällen, (c) Betriebskontinuität und Krisenmanagement, (d) Sicherheit der Lieferkette, (e) Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen samt Schwachstellenmanagement, (f) die Bewertung der Wirksamkeit, (g) Cyberhygiene und Schulungen, (h) Kryptografie und Verschlüsselung, (i) Personalsicherheit, Zugriffskontrolle und Asset-Management sowie (j) Multi-Faktor-Authentifizierung und gesicherte Kommunikation. In Deutschland stehen die Maßnahmen in § 30 Abs. 2 BSIG. Sie gelten für die OT genauso wie für die IT.
§ 32 BSIG sieht für einen erheblichen Sicherheitsvorfall drei Stufen vor: eine frühe Erstmeldung an das BSI binnen 24 Stunden nach Kenntniserlangung (in der Richtlinie „Frühwarnung“), eine Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung. Access Gate protokolliert, wer wann auf welche Maschine zugegriffen hat. Ihr Team entnimmt diesem Protokoll die Fakten für jede Meldung. Die Meldung selbst bleibt bei Ihnen.
Artikel 21 Absatz 2 Buchstabe d verlangt die Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Die Buchstaben i und j ergänzen Zugriffskontrolle und MFA. Maschinenbauer und Integratoren, die sich aus der Ferne verbinden, erreichen über Access Gate nur die freigegebenen Maschinen, für eine festgelegte Zeit und mit MFA. Jede Sitzung wird aufgezeichnet. Mit dem Ende der Sitzung endet auch der Zugriff. Mehr zum sicheren Fernzugriff für die OT.
Es braucht eine einzige Änderung. Sie verbinden Access Gate mit Ihrer bestehenden Firewall oder Ihrem Router und legen eine Regel an, die den Maschinenverkehr dorthin weiterleitet. Wer die Regel entfernt, macht die Änderung rückgängig. Es gibt keine Neuverkabelung und keine IP-Änderung, und auf den Maschinen wird nichts installiert. Access Gate ist an einem Tag installiert.
Ja. NIS2 schreibt keinen Cloud-Dienst vor. Access Gate läuft vollständig innerhalb Ihres Perimeters, ohne SaaS-Abhängigkeit und ohne entfernte Steuerungsebene. Protokolle und Regeln bleiben in Ihrem Netz. So bleiben die Zugriffsdaten Ihrer OT unter Ihrer eigenen Kontrolle.
Ja, in der Praxis. Artikel 21 Absatz 2 verwendet das Wort nicht, verlangt aber Maßnahmen zur Sicherheit von Netz- und Informationssystemen, grundlegende Cyberhygiene und Zugriffskontrolle. Erwägungsgrund 89 nennt die Netzsegmentierung als eines dieser Verfahren. Die Durchführungsverordnung (EU) 2024/2690 schreibt die Segmentierung für Einrichtungen des digitalen Sektors ausdrücklich vor. Access Gate setzt Zonenregeln auf Netzwerkebene durch, auf den Maschinen wird nichts installiert.
Die Richtlinie verpflichtet die Mitgliedstaaten zu Höchstbeträgen von mindestens 10 Mio. Euro oder 2 % des weltweiten Vorjahresumsatzes für wesentliche und mindestens 7 Mio. Euro oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist. In Deutschland sieht § 65 BSIG bis zu 10 Mio. Euro für besonders wichtige und bis zu 7 Mio. Euro für wichtige Einrichtungen vor, bei einem Gesamtumsatz über 500 Mio. Euro bis zu 2 % beziehungsweise 1,4 % des weltweiten Vorjahresumsatzes. Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen umsetzen und überwachen, und sie haftet der Einrichtung für schuldhaft verursachte Schäden.
NIS2 legt die Pflichten fest, und IEC 62443 ist die Industrienorm, mit der viele OT-Teams sie erfüllen. Access Gate wendet das Zonen- und Conduit-Modell der IEC 62443 an. Dieselben Regeln und Protokolle dienen deshalb als Nachweis für Artikel 21 und für ein IEC-62443-Programm. Mehr zu IEC 62443 für die OT.
Das Gate ist der erste Dienst, den Sie betreiben, nicht der letzte.
Sichern Sie Ihre Werke heute. Steuern Sie Ihre Digitalisierung morgen.
Access Gate bringt Rechenleistung direkt ins Netz, neben Ihre Anlagen. Sobald das Gate steht, hostet dieselbe Box die Dienste, die OT sicher anbinden: Remote-Zugriff, Protokoll-Gateways, DNS und Zeit, Historian, Update-Server. Beschleunigen Sie Ihre Digitalisierung, unter Kontrolle.
NIS2-Leitfäden und weiterführende Ressourcen.
Weiterführende Lektüre für IT- und OT-Teams, die sich auf eine NIS2-Prüfung vorbereiten.