Maschinenbau: Der vollständige NIS2-Leitfaden
Maschinenbauunternehmen ab 50 Mitarbeitenden oder 10 Mio. EUR Jahresumsatz sind nach NIS2-Anhang II Nr. 5 (Verarbeitendes Gewerbe) betroffen. Die besondere Herausforderung für den Maschinenbau liegt in der wachsenden Digitalisierung von Maschinen: Remote Service, Predictive Maintenance und digitale Zwillinge schaffen neue Angriffsvektoren, die NIS2 direkt adressiert. Dieser Leitfaden richtet sich an Geschäftsführer, Produktverantwortliche und IT-Leiter im Maschinenbau.
Wer ist betroffen?
Maschinenbauunternehmen (NACE C.28 Maschinenbau) fallen unter NIS2-Anhang II Nr. 5 bei Überschreitung der KMU-Schwellen: mindestens 50 Mitarbeitende oder mindestens 10 Mio. EUR Jahresumsatz (EU-Empfehlung 2003/361/EG Art. 2).
Unternehmen mit mehr als 250 Mitarbeitenden und mehr als 50 Mio. EUR Umsatz sind Wichtige Einrichtung der zweithöchsten Kategorie nach Anhang II. Wesentliche Einrichtung (Anhang I) ist im Maschinenbau selten, außer wenn Unternehmen auch Betreiber kritischer Infrastruktur sind.
Ein Maschinenbauer mit 300 Mitarbeitenden, einer eigenen Remote-Service-Plattform und Kunden in der Energie- und Pharmabranche ist klar NIS2-pflichtig und hat erhöhte Risiko-Exposition durch seine vernetzten Produkte.
Die Pflichten nach § 30 BSIG-neu
§ 30 BSIG-neu definiert sieben Pflichtbereiche, die für Maschinenbauer durch die Verbindung von Unternehmens-IT und Produkt-IT besonders relevant sind:
- Risikoanalyse und -management: ERP, CAD/PLM, Remote-Service-Plattformen und die Netzwerkanbindung zu Kundensystemen müssen bewertet werden.
- Incident Handling: Ein Sicherheitsvorfall auf der Remote-Service-Plattform kann simultan viele Kundenmaschinen betreffen. Der IR-Plan muss Kunden-Notifizierung vorsehen.
- Business Continuity: Ausfälle der Remote-Service-Infrastruktur können vertragliche SLAs mit Kunden verletzen. BCP muss Eskalation und manuelle Serviceprozesse definieren.
- Supply-Chain-Sicherheit: Komponentenlieferanten, Softwareanbieter für Steuerungssysteme und Cloud-Dienstleister müssen auf Sicherheitsstandards bewertet werden.
- Zugangskontrolle und MFA: Zugang zu Remote-Service-Systemen, Entwicklungsumgebungen und ERP muss durch MFA gesichert sein.
- Verschlüsselung: Maschinendaten, Diagnosedaten und Entwicklungsunterlagen müssen verschlüsselt übertragen und gespeichert werden.
- Schulung und Awareness: Service-Ingenieure, Entwickler und Verwaltung müssen regelmäßig zu Cybersicherheit geschult werden.
Fristen und Meldepflichten
BSI-Registrierung nach § 33 BSIG-neu binnen drei Monaten nach Betroffenheit. Für Sicherheitsvorfälle nach § 32 BSIG-neu: Erstmeldung 24 Stunden, vollständige Meldung 72 Stunden, Abschlussbericht 30 Tage.
Ein Angriff auf die Remote-Service-Plattform, der Maschinendaten von Kunden kompromittiert oder Maschinensteuerungen manipuliert hat, ist ein meldepflichtiger Vorfall. Die Meldepflicht gilt auch, wenn der Schaden beim Kunden liegt.
Bußgelder und persönliche Haftung
Wichtige Einrichtung (Anhang II): bis 7 Mio. EUR oder 1,4 % Umsatz. § 38 BSIG-neu begründet persönliche Haftung der Geschäftsleitung. Hinzu kommt Produkthaftung, wenn NIS2-Pflichtverletzungen zur Kompromittierung von Kundensystemen führen.
Remote Service und Predictive Maintenance als Angriffsvektor: MITRE ATT&CK für ICS
Der Remote-Zugriff auf Kundenmaschinen ist einer der größten Sicherheitsrisiken im modernen Maschinenbau. Über Remote-Service-Plattformen können Techniker Diagnosen durchführen, Software-Updates einspielen und Parameter ändern. Diese Verbindungen sind direkte Zugänge zu industriellen Steuerungssystemen beim Kunden.
Das MITRE ATT&CK for ICS-Framework beschreibt konkrete Angriffstechniken auf industrielle Systeme. Für Maschinenbauer relevant: "Remote Services" (T0886), "Lateral Movement via Remote Services" (T0812) und "Modify Parameter" (T0836). Ein Angreifer, der die Remote-Service-Plattform des Maschinenbauers kompromittiert, kann über legitime Zugangswege in die Steuerungssysteme von Dutzenden Kunden gelangen.
§ 30 BSIG-neu verlangt dafür: Dedizierte Sicherheitsarchitektur für Remote-Service-Zugänge (Sprungserver, Session-Recording), Zugriff nur auf Abruf mit zeitlicher Begrenzung, vollständige Protokollierung aller Remote-Aktionen und regelmäßige Überprüfung der Zugriffsberechtigungen.
Erste Schritte
- Kläre Mitarbeiterzahl und Umsatz. Über 50 MA oder 10 Mio. EUR: Wichtige Einrichtung.
- Inventarisiere alle vernetzten Produkte und die zugehörigen Remote-Service-Infrastrukturen.
- Führe eine Risikoanalyse für Remote-Service-Zugänge durch: Wer hat Zugang zu welchen Kundenmaschinen?
- Prüfe: Werden Remote-Aktionen vollständig protokolliert? Gibt es Session-Recording?
- Identifiziere Kunden in NIS2-relevanten Sektoren (Energie, Gesundheit, Wasser): Diese werden Sicherheitsanforderungen stellen.
- Erstelle einen Incident-Response-Plan mit Kunden-Notifizierungsprozess.
- Registriere dich beim BSI.
Typische Fehler vermeiden
Remote-Service-Plattform als "Produkt" nicht als eigenes IT-Sicherheitsobjekt: Die Remote-Service-Infrastruktur ist Unternehmens-IT im NIS2-Sinne. Ihre Sicherheit ist deine Verantwortung.
Keine Protokollierung von Remote-Aktionen: Was ein Techniker remote an einer Kundenmaschine tut, muss lückenlos protokolliert sein. Fehlende Protokolle sind ein Compliance-Problem und ein forensisches Problem.
Software-Updates ohne signierte Übertragung: Firmware- und Software-Updates, die remote eingespielt werden, müssen signiert und integer übertragen werden.
Kundenmeldung bei Sicherheitsvorfällen vergessen: Wenn die Remote-Service-Plattform kompromittiert wird, müssen betroffene Kunden sofort informiert werden - unabhängig von der BSI-Meldepflicht.
Software-Patches für Maschinensteuerungen nicht in den Update-Prozess integriert: Steuersoftware, die seit Jahren keine Sicherheits-Patches erhalten hat, ist ein reales Risiko. Für NIS2-Konformität braucht es einen dokumentierten Patch-Management-Prozess auch für OT-Komponenten.
Besondere Situation: EU Machinery Regulation und Cybersicherheit
Die neue EU-Maschinenverordnung (EU) 2023/1230, gültig ab 20. Januar 2027, bringt erstmals explizite Cybersicherheitsanforderungen für Maschinen. Sicherheitsrelevante Steuerungssysteme müssen gegen unbefugte Eingriffe geschützt werden. Diese Anforderungen überschneiden sich erheblich mit NIS2 § 30 BSIG-neu für Maschinenbauer.
Konkreter Handlungsbedarf: Wer heute Maschinen für den EU-Markt entwickelt, muss Cybersicherheit in den Entwicklungsprozess integrieren (Security by Design). Risikoanalysen nach EU-Maschinenverordnung sollten Cybersecurity-Risiken einschließen - das deckt sich mit der NIS2-Risikoanalyse-Pflicht.
Nutze den branchengenauen NIS2-Rechner für Maschinenbau, um deine Betroffenheit zu ermitteln.