Chemie: Der vollständige NIS2-Leitfaden

Chemieunternehmen ab 50 Mitarbeitenden oder 10 Mio. EUR Jahresumsatz sind nach NIS2-Anhang II Nr. 5 (Verarbeitendes Gewerbe) betroffen. Betreiber von Anlagen mit gefährlichen Stoffen nach Seveso-III-Richtlinie unterliegen dabei einer Regulierungs-Überschneidung, die eine koordinierte Compliance-Strategie erfordert. Dieser Leitfaden richtet sich an Betriebsleiter, Sicherheitsbeauftragte und IT-Verantwortliche in der Chemieindustrie.

Wer ist betroffen?

Chemieunternehmen (NACE C.20) fallen unter NIS2-Anhang II Nr. 5 bei Überschreitung der KMU-Schwellen: mindestens 50 Mitarbeitende oder mindestens 10 Mio. EUR Jahresumsatz (EU-Empfehlung 2003/361/EG Art. 2).

Große Chemiekonzerne (BASF, Bayer, Evonik etc.) sind in der Regel Wesentliche Einrichtung nach Anhang I, sofern ihre Produktionskapazität kritische Versorgungsfunktionen erfüllt. Betreiber von Seveso-III-Anlagen (obere Klasse) sind darüber hinaus nach § 3 der 12. BImSchV zur Sicherheitsanalyse verpflichtet.

Ein Spezialchemie-Unternehmen mit 200 Mitarbeitenden, einer Produktionsanlage mit gefährlichen Stoffen und einem Labornetzwerk ist klar NIS2-pflichtig und Wichtige Einrichtung.

Die Pflichten nach § 30 BSIG-neu

§ 30 BSIG-neu fordert sieben Pflichtkategorien, die für Chemieunternehmen durch die Kombination von IT und Prozesssteuerung sowie die Seveso-Sicherheitsanforderungen besonders relevant sind:

1. Risikoanalyse und -management: Prozessleitsysteme (DCS/PLC), Laborinformationssysteme (LIMS), ERP und die Anbindung zu Kundenportalen müssen bewertet werden. Störfall-relevante IT-Systeme sind mit besonderer Priorität zu behandeln.
2. Incident Handling: Ein Cyberangriff auf das Prozessleitsystem ist gleichzeitig ein IT-Sicherheitsvorfall (NIS2) und potenziell ein Störfall nach BImSchG. Beide Eskalationswege müssen koordiniert sein.
3. Business Continuity: Anlagenabschaltungen aus IT-Gründen können gefährlich sein (exotherme Prozesse, Druckaufbau). BCPs müssen sichere Abschaltverfahren und manuelle Steuerungsoptionen beschreiben.
4. Supply-Chain-Sicherheit: Lieferanten von Prozessleittechnik, LIMS-Software und Logistikdienstleister müssen auf Sicherheitsstandards bewertet werden.
5. Zugangskontrolle und MFA: Zugang zu Prozessleitsystemen und Unternehmensnetzen muss durch MFA gesichert sein. Insbesondere Wartungszugänge von Anlagenherstellern sind kritisch.
6. Verschlüsselung: Rezepturdaten, Forschungsdaten und Kundendaten müssen verschlüsselt sein. Patent-kritische Forschungsergebnisse genießen besonderen Schutzstatus.
7. Schulung und Awareness: Betriebspersonal, Labormitarbeitende und Verwaltung müssen regelmäßig zu Cybersicherheit geschult werden.

Fristen und Meldepflichten

BSI-Registrierung nach § 33 BSIG-neu binnen drei Monaten. Für Sicherheitsvorfälle nach § 32 BSIG-neu: Erstmeldung 24 Stunden, vollständige Meldung 72 Stunden, Abschlussbericht 30 Tage.

Ein Cyberangriff auf das Prozessleitsystem einer Chemieanlage muss innerhalb von 24 Stunden an das BSI gemeldet werden. Gleichzeitig können Meldepflichten nach § 19 BImSchG (erhebliche Störfälle) ausgelöst werden.

Bußgelder und persönliche Haftung

Wichtige Einrichtung (Anhang II): bis 7 Mio. EUR oder 1,4 % Umsatz. Wesentliche Einrichtung (Anhang I): bis 10 Mio. EUR oder 2 % Umsatz.

§ 38 BSIG-neu: Persönliche Haftung der Geschäftsleitung. In Kombination mit Umwelthaftung (UmwHG) und Störfallverordnungs-Sanktionen ist das Risiko für Geschäftsführer von Chemieunternehmen erheblich.

Seveso-III und NIS2: Sicherheitskonzepte harmonisieren statt duplizieren

Die Seveso-III-Richtlinie (2012/18/EU, umgesetzt als 12. BImSchV) verpflichtet Betreiber von Anlagen mit gefährlichen Stoffen zu umfassenden Sicherheitsmanagementsystemen. Die Schnittmenge mit NIS2 ist erheblich:

Seveso-III Art. 8 verlangt ein "Konzept zur Verhütung schwerer Unfälle" (KVSU) mit systematischer Gefahrenanalyse. NIS2 § 30 BSIG-neu verlangt eine Risikoanalyse für IT-Systeme. Beide Pflichten greifen in Chemieunternehmen ineinander: IT-Ausfälle können Störfälle auslösen, und Störfälle können IT-Infrastruktur beschädigen.

Harmonisierungspotenzial: Das KVSU kann die IT-Sicherheitsrisikoanalyse nach NIS2 integrieren. Notfallpläne nach Seveso-III Art. 12 können NIS2-Notfallpläne umfassen. So lassen sich Doppelarbeiten vermeiden und ein integriertes Sicherheitsmanagementsystem aufbauen.

Erste Schritte

1. Kläre Mitarbeiterzahl und Umsatz. Wichtige oder Wesentliche Einrichtung?
2. Prüfe: Ist die Anlage Seveso-III-pflichtig? Wenn ja: Gap-Analyse zwischen KVSU und NIS2.
3. Kartiere alle IT-Systeme, die Einfluss auf Produktionsprozesse haben.
4. Identifiziere alle Fernwartungszugänge für Prozessleittechnik.
5. Stelle sicher, dass Netzwerksegmentierung OT-Netz und Office-IT trennt.
6. Entwickle einen Incident-Response-Plan, der NIS2-Meldung und BImSchG-Eskalation koordiniert.
7. Registriere dich beim BSI.

Typische Fehler vermeiden

NIS2 und Störfallverordnung separat behandelt: Beide Regelwerke betreffen die Sicherheit von Chemieanlagen. Ein integrierter Ansatz ist effizienter und reduziert Compliance-Kosten.

Prozessleitsystem als "Closed System" betrachtet: Moderne DCS und PLC sind über Netzwerke erreichbar. Der Angriffsweg "von Büronetz zu Prozessleitsystem" ist die häufigste Angriffstechnik auf Chemieunternehmen.

Patent-kritische Forschungsdaten nicht gesondert geschützt: Diebstahl von Rezepturen und Forschungsdaten durch Industrie-Espionage ist ein unterschätztes Risiko.

Wartungszugänge von Anlageherstellern nicht bewertet: Externe Dienstleister mit Zugang zur Prozessleittechnik sind kritische Lieferanten nach § 30 Abs. 2 Nr. 4 BSIG-neu.

Betriebliche Sicherheit und Cybersicherheit in Silos: In Chemieunternehmen gibt es oft einen Sicherheitsbeauftragten für den Anlagenbetrieb (HSE) und einen für IT-Sicherheit. Beide müssen für NIS2-Compliance zusammenarbeiten.

Besonderheit: REACH, CLP und Datenschutzverpflichtungen für Stoffdaten

Chemiebetriebe verarbeiten hochsensible Stoffdaten: Sicherheitsdatenblätter (SDS), Exposition-Szenarien und Rezepturdaten sind sowohl nach REACH als auch nach NIS2 schützenswert. Ein Datenverlust durch Cyberangriff kann REACH-Compliance-Konsequenzen haben, wenn Sicherheitsdaten für Lieferkettenkunden nicht mehr bereitgestellt werden können.

§ 30 BSIG-neu verlangt für solche Szenarien: Backup und Wiederherstellung kritischer Datenbanken (Stoffdatenmanagement), Zugriffskontrolle auf sensible Chemiedaten und Verschlüsselung von Formulierungsdaten (Rezepturen).

Praktisch: Klassifiziere deine Daten nach Schutzbedarf. REACH-relevante Sicherheitsdaten und patentierte Rezepturen gehören in die höchste Schutzklasse.

Nutze den branchengenauen NIS2-Rechner für Chemie, um deine Betroffenheit zu bestimmen.