Automotive: Der vollständige NIS2-Leitfaden

Unternehmen in der Automobilbranche - von OEMs bis zu Tier-1- und Tier-2-Zulieferern - sind nach NIS2-Anhang II Nr. 5 (Verarbeitendes Gewerbe) betroffen, wenn sie 50 Mitarbeitende oder 10 Mio. EUR Jahresumsatz überschreiten. Wer bereits TISAX-Pflichten erfüllt, hat einen erheblichen Vorsprung bei NIS2 - aber nicht alle TISAX-Anforderungen decken NIS2 ab. Dieser Leitfaden richtet sich an IT-Sicherheitsverantwortliche, CISOs und Compliance-Manager im Automotive-Umfeld.

Wer ist betroffen?

Automobilhersteller (OEMs), Tier-1- und Tier-2-Zulieferer, Softwareentwickler für Fahrzeugsysteme und Fahrzeugprüfdienstleister fallen unter NIS2-Anhang II Nr. 5 (Verarbeitendes Gewerbe, NACE C.29) bei Überschreitung der KMU-Schwellen: mindestens 50 Mitarbeitende oder mindestens 10 Mio. EUR Jahresumsatz (EU-Empfehlung 2003/361/EG Art. 2).

Große OEMs (VW, BMW, Mercedes, Stellantis) sind mit mehr als 250 Mitarbeitenden und >50 Mio. EUR Umsatz Wesentliche Einrichtung nach NIS2-Anhang I, sofern ihre Fertigungskapazität eine kritische nationale Wirtschaftsfunktion darstellt.

Ein Tier-1-Zulieferer mit 200 Mitarbeitenden und 50 Mio. EUR Umsatz, der Steuergeräte für mehrere OEMs produziert, ist Wichtige Einrichtung nach NIS2-Anhang II.

Die Pflichten nach § 30 BSIG-neu

§ 30 BSIG-neu listet sieben Pflichtbereiche, die für die Automobilbranche durch die enge Vernetzung von Entwicklungs-IT, Fertigungs-OT und OEM-Anforderungen besonders relevant sind:

1. Risikoanalyse und -management: Entwicklungs-IT (CAD, PLM, Testinfrastruktur), Fertigungs-OT (MES, Robotik-Steuerung) und die Anbindung an OEM-Portale müssen bewertet werden.
2. Incident Handling: Ein Angriff auf das PLM-System kann die gesamte Modellentwicklung gefährden. Eskalation und Krisenkommunikation müssen OEM-Meldepflichten berücksichtigen.
3. Business Continuity: Automobilzulieferer sind JIT-/JIS-Zulieferer. Ein IT-Ausfall von mehr als 4 Stunden kann Bandstillstände beim OEM auslösen.
4. Supply-Chain-Sicherheit: OEMs verlangen bereits nach § 30 Abs. 2 Nr. 4 BSIG-neu entsprechende Sicherheitsnachweise von Zulieferern. Vertragsanpassungen sind zu erwarten.
5. Zugangskontrolle und MFA: Zugang zu Entwicklungsumgebungen, OEM-Portalen und Fertigungssystemen muss durch MFA gesichert sein.
6. Verschlüsselung: Entwicklungsdaten, Fahrzeugentwicklungspläne (NDA-geschützt) und Kundendaten müssen verschlüsselt gespeichert und übertragen werden.
7. Schulung und Awareness: Ingenieure, Fertigungsmitarbeitende und Verwaltung müssen regelmäßig zu Cybersicherheit geschult werden.

Fristen und Meldepflichten

BSI-Registrierung nach § 33 BSIG-neu binnen drei Monaten. Für Sicherheitsvorfälle nach § 32 BSIG-neu: Erstmeldung 24 Stunden, vollständige Meldung 72 Stunden, Abschlussbericht 30 Tage.

Ein Vorfall, der die Lieferfähigkeit für einen OEM-Kunden beeinträchtigt, ist gleichzeitig NIS2-meldepflichtig (an BSI) und meldepflichtig gegenüber dem OEM nach Liefervertragsklauseln.

Bußgelder und persönliche Haftung

Wichtige Einrichtung (Anhang II): bis 7 Mio. EUR oder 1,4 % Umsatz. Wesentliche Einrichtung (Anhang I): bis 10 Mio. EUR oder 2 % Umsatz.

§ 38 BSIG-neu: Persönliche Haftung der Geschäftsleitung. Bei OEM-Verträgen kommen Vertragsstrafen bei Bandstillstand hinzu - NIS2-Bußgeld plus OEM-Vertragsstrafe können sich summieren.

TISAX Level 3 und NIS2: Doppelregulierung klug managen

TISAX (Trusted Information Security Assessment Exchange) ist der Branchenstandard der Automobilbranche für Informationssicherheit. TISAX basiert auf VDA ISA (Information Security Assessment), das wiederum stark an ISO 27001 angelehnt ist.

TISAX Level 3 (Schutz von Prototypen und hochsensiblen Daten) deckt viele Anforderungen ab, die auch § 30 BSIG-neu fordert: Risikoanalyse, Zugangskontrolle, Verschlüsselung, Incident Management. Wer TISAX Level 3 zertifiziert ist, erfüllt damit bereits Kernteile von NIS2.

Was NIS2 zusätzlich erfordert: BSI-Meldepflichten (TISAX-Assessments melden nicht an Behörden), persönliche Geschäftsführerhaftung und die explizite Supply-Chain-Pflicht. Eine Gap-Analyse zwischen TISAX-Konformität und NIS2 ist empfehlenswert, um Doppelarbeit zu vermeiden.

Erste Schritte

1. Prüfe Mitarbeiterzahl und Umsatz. Über 50 MA oder 10 Mio. EUR: Wichtige Einrichtung.
2. Führe eine Gap-Analyse zwischen bestehendem TISAX-Status und NIS2-Anforderungen durch.
3. Überprüfe alle OEM-Portalzugänge und Anbindungen an Entwicklungsplattformen.
4. Kartiere die Abhängigkeiten zwischen Entwicklungs-IT und Fertigungs-OT.
5. Prüfe aktuelle Lieferantenverträge auf NIS2-spezifische Sicherheitsklauseln.
6. Entwickle einen BCP, der OEM-Bandstillstand als Szenarien abbildet.
7. Registriere dich beim BSI.

Typische Fehler vermeiden

TISAX = NIS2-Konformität: TISAX erfüllt viele NIS2-Anforderungen, aber nicht alle. Meldepflichten, Geschäftsführerhaftung und Lieferkettenpflichten sind NIS2-spezifisch.

OEM-Portalzugänge ohne MFA: Zugang zu OEM-Entwicklungsplattformen (z.B. VW Group Supplier Portal) mit Passwort allein ist nicht NIS2-konform.

PLM-System aus Risikoanalyse ausgeklammert: Das PLM-System enthält sensible Entwicklungsdaten. Ein Angriff darauf ist ein erheblicher Sicherheitsvorfall.

JIT/JIS-Abhängigkeiten im BCP nicht berücksichtigt: Ein IT-Ausfall von 8 Stunden kann mehrere OEM-Bänder stilllegen und zu Vertragsstrafen führen.

Cyberversicherung ohne NIS2-Compliance: Viele Cyberversicherungsverträge beinhalten seit 2024 Klauseln, die den Versicherungsschutz an die Einhaltung gesetzlicher Mindest-Standards koppeln. NIS2-Verstöße können zur Verweigerung von Schadensersatz führen.

Besondere Situation: Software-defined Vehicles und Cybersicherheit

Neuere OEM-Plattformen (z.B. VW Scalable Systems Platform, BMW New Class) setzen auf Software-defined Vehicles. Das bedeutet: Software-Updates über OTA (Over-the-Air) werden Standard. Zulieferer, die Software-Komponenten für Fahrzeugsysteme entwickeln, müssen ihre gesamte Software-Entwicklungsinfrastruktur absichern - von der Build-Pipeline bis zur Code-Signing-Infrastruktur.

§ 30 Abs. 2 Nr. 6 BSIG-neu verlangt explizit "Sicherheit bei der Entwicklung, Beschaffung und Wartung von Netz- und Informationssystemen". Für Automotive-Zulieferer heißt das: Secure Software Development Lifecycle (SSDLC) als NIS2-Pflicht, nicht als optionale Best Practice.

Nutze den branchengenauen NIS2-Rechner für Automotive, um deine Betroffenheit zu prüfen.