Elektronik: Der vollständige NIS2-Leitfaden

Elektronikunternehmen ab 50 Mitarbeitenden oder 10 Mio. EUR Jahresumsatz sind nach NIS2-Anhang II Nr. 5 (Verarbeitendes Gewerbe) betroffen. Die besondere Herausforderung in der Elektronikbranche liegt in den komplexen Contract-Manufacturing- und ODM-Lieferketten: NIS2 fordert, dass diese Lieferantenbeziehungen nach § 30 Abs. 2 Nr. 4 BSIG-neu gesichert werden. Dieser Leitfaden richtet sich an Geschäftsführer, Supply-Chain-Verantwortliche und IT-Sicherheitsleiter in der Elektronikbranche.

Wer ist betroffen?

Elektronikhersteller (NACE C.26 Herstellung von Datenverarbeitungsgeräten, C.27 Elektrische Ausrüstungen) fallen unter NIS2-Anhang II Nr. 5 bei Überschreitung der KMU-Schwellen: mindestens 50 Mitarbeitende oder mindestens 10 Mio. EUR Jahresumsatz (EU-Empfehlung 2003/361/EG Art. 2).

Unternehmen, die Elektronikkomponenten für kritische Infrastruktur herstellen (z.B. Steuergeräte für Energie, Medizintechnik oder Automotive), sind als Lieferanten nach § 30 Abs. 2 Nr. 4 BSIG-neu besonders gefordert.

Ein EMS/ODM-Dienstleister mit 200 Mitarbeitenden, der Leiterplatten und Baugruppen für Automobilkunden und Medizintechnikunternehmen produziert, ist Wichtige Einrichtung nach NIS2.

Die Pflichten nach § 30 BSIG-neu

§ 30 BSIG-neu definiert sieben Pflichtbereiche, die für Elektronikunternehmen durch die Lieferkettenkomplexität besonders relevant sind:

1. Risikoanalyse und -management: ERP, PLM, Fertigungsmanagementsysteme (MES), Prüfsysteme und Lieferantenportale müssen in die Risikoanalyse einbezogen werden.
2. Incident Handling: Ein Sicherheitsvorfall in der Entwicklungs-IT kann geistiges Eigentum (Schaltpläne, Layouts) kompromittieren und Kunden-IP gefährden. Kunden müssen informiert werden.
3. Business Continuity: Lieferausfälle in der Elektronikindustrie lösen bei Kunden in kritischen Industrien Produktionsstopps aus. BCPs müssen Lieferkettenunterbrechungen explizit adressieren.
4. Supply-Chain-Sicherheit: Kunden aus NIS2-relevanten Sektoren werden Sicherheitsanforderungen nach § 30 Abs. 2 Nr. 4 BSIG-neu stellen. Vertragsanpassungen sind vorzubereiten.
5. Zugangskontrolle und MFA: Zugang zu Entwicklungsumgebungen, Kunden-IP-Repositories und ERP muss durch MFA gesichert sein.
6. Verschlüsselung: Kunden-IP (Schaltpläne, Firmware, Layouts), Fertigungsdaten und Prüfberichte müssen verschlüsselt gespeichert sein.
7. Schulung und Awareness: Entwickler, Fertigungspersonal und Verwaltung müssen regelmäßig zu Cybersicherheit geschult werden.

Fristen und Meldepflichten

BSI-Registrierung nach § 33 BSIG-neu binnen drei Monaten. Für Sicherheitsvorfälle nach § 32 BSIG-neu: Erstmeldung 24 Stunden, vollständige Meldung 72 Stunden, Abschlussbericht 30 Tage.

Ein Datendiebstahl von Kunden-IP (Schaltpläne, Firmware) ist ein meldepflichtiger Sicherheitsvorfall. Die Meldung muss auch dann erfolgen, wenn der Schaden primär beim Kunden liegt.

Bußgelder und persönliche Haftung

Wichtige Einrichtung (Anhang II): bis 7 Mio. EUR oder 1,4 % Umsatz. § 38 BSIG-neu: Persönliche Haftung der Geschäftsleitung. Dazu kommt vertragliche Haftung gegenüber Kunden bei IP-Verlust.

Contract Manufacturing und ODM-Lieferketten nach § 30 Abs. 2 Nr. 4 BSIG-neu absichern

Die Elektronikbranche ist durch mehrstufige Lieferketten geprägt: OEM beauftragt EMS/ODM, der seinerseits Bestückungspartner, Komponentenlieferanten und Logistikdienstleister einsetzt. Jede Stufe dieser Kette ist ein potenzieller Angriffspunkt.

§ 30 Abs. 2 Nr. 4 BSIG-neu verpflichtet NIS2-Einrichtungen, Sicherheitsanforderungen in Lieferantenverträge aufzunehmen. Für Elektronikunternehmen, die NIS2-pflichtige Kunden haben, bedeutet das: Kunden werden vertragliche Sicherheitsnachweise (ISO 27001, SOC 2), Audit-Rechte und Incident-Notification fordern.

Konkrete Vertragsklauseln, die erwartet werden: Pflicht zur MFA bei Zugang zu Kundensystemen, Verschlüsselung von Kunden-IP, Meldepflicht bei Sicherheitsvorfällen binnen 24 Stunden, Recht auf Sicherheitsaudits und Nachweis einer Risikoanalyse.

Für ODM-Dienstleister, die viele kleine Kunden haben: Standardisierte Sicherheitsnachweise (Zertifikate) sind effizienter als individuelle Vertragsverhandlungen.

Erste Schritte

1. Kläre Mitarbeiterzahl und Umsatz. Über 50 MA oder 10 Mio. EUR: Wichtige Einrichtung.
2. Identifiziere NIS2-pflichtige Kunden: Automotive, Gesundheit, Energie, Wasser, IT-Dienstleister.
3. Inventarisiere alle Systeme, auf denen Kunden-IP gespeichert ist.
4. Prüfe bestehende Verträge auf fehlende Sicherheitsklauseln.
5. Führe eine Gap-Analyse zum ISO-27001-Standard durch, um Zertifizierungsaufwand abzuschätzen.
6. Erstelle einen Incident-Response-Plan mit Kunden-Notifizierungsprozess.
7. Registriere dich beim BSI.

Typische Fehler vermeiden

Kunden-IP nicht separat von Unternehmens-IT gesichert: Schaltpläne und Firmware-Repositories von Kunden müssen in getrennten, besonders gesicherten Umgebungen liegen.

EMS/ODM-Kette nicht als NIS2-relevant erkannt: Auch wer selbst "nur" Hersteller ist, ist kritischer Lieferant für NIS2-pflichtige Kunden und muss deren Anforderungen erfüllen.

Zertifizierung bis zum Kundendruck aufgeschoben: Wer wartet, bis Kunden Zertifikate fordern, hat keine Zeit für eine sorgfältige ISO-27001-Implementierung.

Prüfberichte und Testdaten nicht gesichert: Qualitätsprüfberichte und Testdaten sind Geschäftsgeheimnisse und müssen in die Sicherheitsarchitektur einbezogen werden.

Keine Trennung von Kunden-IP-Umgebungen: Wer Entwicklungsunterlagen mehrerer Kunden auf demselben System speichert, ohne Mandantentrennung, riskiert sowohl Datenleck als auch Vertragsbruch.

Besonderheit: Hardware-Trojaner und Supply-Chain-Integrität

Elektronikunternehmen stehen vor einer spezifischen Bedrohung, die in anderen Sektoren kaum existiert: Hardware-Trojaner und manipulierte Komponenten in der Lieferkette. Ein kompromittierter Chip in einem Steuergerät oder einem Medizinprodukt kann verheerende Folgen haben.

§ 30 Abs. 2 Nr. 4 BSIG-neu verlangt Sicherheitsanforderungen an "unmittelbare Zulieferer". Für Elektronikunternehmen bedeutet das: Komponentenlieferanten aus Hochrisikoregionen müssen besonderen Prüfverfahren unterzogen werden. Trusted-Platform-Module (TPM), Secure-Boot-Architekturen und Hardware-Attestierung sind technische Maßnahmen, die NIS2-konformes Lieferketten-Sicherheitsmanagement unterstützen.

Praktisch: Führe für kritische Komponenten (Chips, Mikrocontroller, FPGA) eine Lieferanten-Risikoklassifizierung durch. Dokumentiere, wie du die Echtheit und Integrität kritischer Bauteile verifizierst.

Nutze den branchengenauen NIS2-Rechner für Elektronik, um deine Betroffenheit zu prüfen.