Cybersecurity in der Produktion: Ausweitung des Geltungsbereichs der NIS-2-Richtlinie

Anbieter zum Thema

Phoenix Contact GmbH & Co. KG

NTT DATA

PSI Software SE | Business Unit Discrete Manufacturing

IGZ Ingenieurgesellschaft für logistische Informationssysteme mbH

Am 16. Januar 2023 trat die NIS-2-Richtlinie (EU) 2022/2555 in Kraft. Sie fordert Unternehmen und Behörden auf, umfassende Cybersicherheitsmaßnahmen umzusetzen und erweitert den Kreis der Betroffenen.

Die NIS-2-Richtlinie zur Netzwerk- und Informationssicherheit regelt auch die Organisation der Zusammenarbeit zwischen den Mitgliedsstaaten. Sie hat keine unmittelbare Wirkung, sondern muss in den Mitgliedsstaaten jeweils in nationales Recht überführt werden. Als Umsetzung war der 18. Oktober 2024 verpflichtend. Artikel 21 zur Cybersicherheit verlangt von den betroffenen Einrichtungen Maßnahmen, die einem Informationssicherheits-Managementsystem (ISMS) entsprechen. Diese müssen gemäß Artikel 20 in der Geschäftsleitung verankert sein. Die Maßnahmen werden um Meldepflichten an die nationalen und europäischen Behörden ergänzt (Artikel 23). Die NIS-2-Richtlinie geht Hand in Hand mit der Regulierung der Produktsicherheit im EU Cyber Resilience Act (CRA). Ziel ist die erhebliche Verbesserung der Cybersicherheit in Europa.

Potenziell betroffene Einrichtungen sollten sich auf die Erfüllung der NIS-2-Richtlinie vorbereiten. Hierzu gehört die vollständige Erfassung der angebotenen Produkte und Leistungen. Danach ist die Einstufung der Einrichtung vorzunehmen und die entsprechende Umsetzung zu planen. 

Länderspezifische Besonderheiten der NIS-2-Richtlinie kennen und beachten

Die NIS-2-Richtlinie enthält viele grundsätzliche Vorgaben, wobei ihre Implementierung in nationales Recht den Mitgliedsstaaten in Detailfragen einen Spielraum lässt. Dies bezieht sich sowohl auf die inhaltliche Realisierung der Cybersicherheits-Maßnahmen ebenso wie die organisatorischen Aspekte, zum Beispiel die Registrierung und Umsetzungsfristen. In der Konsequenz bedeutet das für Unternehmen, die in mehreren Ländern der NIS-2-Richtlinie unterliegen, dass sie die jeweiligen nationalen Besonderheiten kennen und beachten müssen.
 Die Überführung von NIS-2 in nationales Recht bleibt in zahlreichen Mitgliedsstaaten deutlich hinter der Vorgabe der Richtlinie zurück. Entsprechende Gesetze wurden unter anderem in Italien und Belgien verabschiedet. Im Kern wird dort jeweils die Umsetzung der ISO 27001 erwartet. In Deutschland gab es mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz bereits einen Gesetzentwurf, der vor den vorgezogenen Neuwahlen der Bundesregierung nicht final abgestimmt und in Kraft gesetzt werden konnte. Das NIS-2-Umsetzungsgesetz, das auch eine Novellierung des IT-Sicherheitsgesetzes zur Folge hat, wurde im November 2025 vom Bundestag verabschiedet. Allerdings sieht die NIS-2-Richtlinie keine Umsetzungsfristen für die jeweiligen Einrichtungen vor. Daher empfiehlt es sich nicht, hier untätig zu bleiben. Dies insbesondere deshalb, weil die Einhaltung der Gesetze lediglich einen Aspekt darstellt. Gleichzeitig tragen die Maßnahmen zu einer Erhöhung der Cybersicherheit bei.

Beachtung durch Anbieter digitaler Dienste

Die erste Version der NIS-Richtlinie sowie nationale Gesetze, wie das IT-Sicherheitsgesetz, fokussierten sich auf die kritische Infrastruktur, beispielsweise die Energieversorgung. Mit der NIS-2-Richtlinie weitet sich der Anwendungsbereich erheblich aus. Anbieter digitaler Dienste sind ebenso betroffen wie die industrielle Wertschöpfung. Schätzungen zufolge erweitert sich der Geltungsbereich allein in Deutschland um rund 40.000 Einrichtungen.

Bei wesentlichen Einrichtungen im Kontext der NIS-2-Richtlinie handelt es sich zum Beispiel um Anbieter in den Bereichen Energie, Verkehr, Bankwesen und Finanzen, digitale Infrastruktur und IKT-Dienste (Informations- und Kommunikationstechnik) ab einer Größe von 250 Mitarbeitenden respektive vorgegebenen Umsatzgrenzen. Je nach nationalem Recht können wesentliche Einrichtungen einer Ex-Ante-Überwachung unterliegen und beispielsweise gezwungen sein, zu einem Stichtag eine ISO-27001-Zertifizierung vorzulegen. Befindet sich der Wert der Einrichtungen unter der genannten Größe, haben sie aber mehr als 50 Mitarbeitende, gelten sie als wichtige Einrichtung. Im Entwurf zur deutschen nationalen Umsetzung wurden die wesentlichen Einrichtungen nochmals unterteilt in „Betreiber kritischer Anlagen“ und „besonders wichtige Einrichtungen“ mit einer Unterscheidung hinsichtlich der Anforderungen und Überwachung.Wichtige Einrichtungen umfassen weitere Branchen. Dazu zählen Produktion, Herstellung und Handel mit chemischen Stoffen sowie Produktion, Verarbeitung und Vertrieb von Lebensmitteln. Hinzu kommen große Bereiche des verarbeitenden Gewerbes und der Herstellung von Waren. Betroffen sind Unternehmen, die 50 Mitarbeitende und mehr beschäftigen oder die vorgegebenen Umsatzgrenzen überschreiten. Wichtige Unternehmen müssen den gleichen Anforderungen an ein Informationssicherheitsmanagement gerecht werden wie wesentliche Unternehmen. Allerdings wird in der Regel keine Zertifizierung gefordert, und die Maßnahmen sind lediglich auf Nachfrage nachzuweisen. Eine solche Nachfrage würde erfolgen, wenn die nationalen Behörden davon ausgehen müssten, dass eine Einrichtung die Auflagen nicht erfüllt.

Cybersecurity

Industrial Firewall: Sichere Segmentierung für die AdBlue-Produktion

Aufwendige Umsetzung der Durchführungsverordnung

Besonderheiten treten im Bereich der digitalen Infrastruktur, wie Cloud-Dienste und IKT-Dienstleistungen auf. Diese Angebote und Dienstleistungen wirken typischerweise grenzübergreifend. Die Vorgaben für die Cybersicherheits-Maßnahmen sind entsprechend EU-weit in der Durchführungsverordnung (EU) 2024/2690 vereinheitlicht. Die Bestimmungen in der Durchführungsverordnung dürften für kleinere Einrichtungen herausfordernd sein. Ihre Überwachung geschieht gemäß den Regeln des Hauptsitzes des Anbieters. Als besonders relevant erweist sich der Managed- Services-Bereich. Darunter werden im Kern alle Dienstleistungen erfasst, die ein Unternehmen mit Personal vor Ort oder aus der Ferne in Netzwerken und IT-Systemen einer anderen Einrichtung erbringt.
 Darunter fällt ebenfalls die typische Fernwartung im Maschinenbau. Dies trifft fachlich aufgrund der damit verbundenen Risiken zu. Die Realisierung der Durchführungsverordnung kann sich hier als aufwendig zeigen, wenn die Fernwartung nur einen kleinen Teil des Leistungsportfolios des Maschinenbauers ausmacht. Im deutschen Umsetzungsgesetz sollen deshalb Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind. Ob hierdurch wirklich eine Erleichterung entsteht, bleibt abzuwarten, da zum Beispiel Fernwartung ein wesentliches Element der Geschäftstätigkeit eines Maschinenbauers ausmachen dürfte. Zudem ist diese Ausnahme in der NIS-2 nicht vorgesehen.

Sofortige Vorbereitung auf die Richtlinie

Eine weitere Besonderheit resultiert daraus, dass es keine Ausnahmen für die Ausübung dieser Dienste und Dienstleistungen im Konzernumfeld gibt. Es kann beispielsweise vorkommen, dass die IT-Abteilung eines Konzerns oder einer Unternehmensgruppe zum Unternehmen A gehört. Die IT-Systeme und Netze werden vom verbundenen, aber rechtlich eigenständigen anderen Unternehmen B bereitgestellt. Dies gilt als IKT-Dienstleistung im Sinne der NIS-2-Richtlinie, will heißen, die oben genannten Anforderungen und Regeln treten in Kraft.
Potenziell betroffene Einrichtungen sollten sich auf die Erfüllung der NIS-2-Richtlinie vorbereiten. Hierzu gehört die vollständige Erfassung der angebotenen Produkte und Leistungen. Danach ist die Einstufung der Einrichtung vorzunehmen und die entsprechende Umsetzung zu planen. Dabei werden verschiedene Expertisen benötigt, um das Gesetz richtig anzuwenden und die inhaltlichen Anforderungen einzuhalten. Neben der Beachtung der gesetzlichen Rahmenbedingungen geht es jedoch zuerst um den Schutz der Einrichtung vor Angriffen.

Dr.-Ing. Lutz Jänicke ist Corporate Product & Solution Security Officer bei der Phoenix Contact GmbH & Co. KG in Blomberg.