NIS2 Industrie 2026: Die vollständige Checkliste zur Einhaltung der Vorschriften (30 Punkte)

· 14 Minuten Lesezeit
14 min read
Eziwan-Team
Eziwan-Team
IoT-Infrastruktur

Die NIS2-Richtlinie (Network and Information Security 2) ist seit Oktober 2024 in französisches Recht umgesetzt. Im Jahr 2026 bewegen sich Industrieunternehmen, die noch nicht mit der Umsetzung der Richtlinie begonnen haben, auf riskantem Terrain: Die ersten Sanktionen durch die ANSSI werden erwartet, und Cyberangriffe auf industrielle Infrastrukturen nehmen weiter zu – laut CERT-FR stiegen die OT-Vorfälle zwischen 2023 und 2025 um 38 %.

Dieser Artikel vermittelt Ihnen einen klaren Überblick darüber, welche Anforderungen NIS2 an die Branche stellt, und enthält eine strukturierte 30-Punkte-Checkliste zur Bewertung Ihres Konformitätsgrades.

NIS2 im Überblick: Was sich für die französische Industrie ändert​

NIS2 ist der Nachfolger von NIS1 (2016) und weist einen erheblich erweiterten Anwendungsbereich auf. Die EU-Richtlinie 2022/2555 wurde in Frankreich durch ein spezielles Gesetz umgesetzt, das der ANSSI Befugnisse in den Bereichen Aufsicht, Prüfung und Sanktionen einräumt.

Was sich im Vergleich zu NIS1 grundlegend ändert:

  • Der Geltungsbereich wird massiv erweitert: NIS1 betraf hauptsächlich Betreiber von kritischer Bedeutung (OIV) und einige wenige kritische Dienstleister. NIS2 umfasst nun Zehntausende weiterer Unternehmen, insbesondere in der verarbeitenden Industrie, der Herstellung medizinischer Geräte, der chemischen Industrie und der Herstellung kritischer Materialien.

  • Die Verantwortung reicht bis in die Führungsetage: Führungskräfte können bei schwerwiegenden Verstößen persönlich zur Verantwortung gezogen werden. Sie müssen die Sicherheitsmaßnahmen genehmigen und eine Grundschulung zum Thema Cybersicherheit absolvieren.

  • Die Meldefristen sind kurz: 24 Stunden für die Erstmeldung bei einem schwerwiegenden Vorfall, 72 Stunden für den Zwischenbericht, ein Monat für den Abschlussbericht.

  • Die Verpflichtungen erstrecken sich auf die gesamte Lieferkette: Sie müssen die Sicherheit Ihrer kritischen Lieferanten und der Dienstleister, die Zugriff auf Ihre Systeme haben, bewerten.

Die Richtlinie unterscheidet zwei Kategorien von Unternehmen nach ihrer Größe und ihrem Tätigkeitsbereich, für die jeweils leicht unterschiedliche Verpflichtungen gelten.

Wer ist betroffen: systemrelevante Unternehmen vs. bedeutende Unternehmen​

Wesentliche Einheiten (EE)

Als systemrelevante Einrichtungen gelten große Organisationen (> 250 Mitarbeiter ODER > 50 Mio. € Umsatz ODER > 43 Mio. € Bilanzsumme) in folgenden Sektoren:

  • Energie (Strom, Gas, Erdöl, Wasserstoff)
  • Verkehr (Luftfahrt, Schienenverkehr, Seeverkehr, Straßenverkehr)
  • Bankwesen und Finanzmarktinfrastruktur
  • Gesundheitswesen
  • Trinkwasser und Abwasser
  • Digitale Infrastruktur
  • Verwaltung von IKT-Diensten
  • Öffentliche Verwaltung
  • Raumfahrt

Wesentliche Stellen unterliegen einer proaktiven Aufsicht durch die ANSSI: geplante Audits, Vor-Ort-Kontrollen, Meldepflicht bei Unsicherheiten.

Wichtige Einheiten (WE)

Als bedeutende Unternehmen gelten mittelgroße Organisationen (> 50 Mitarbeiter ODER > 10 Mio. € Umsatz) in folgenden Branchen:

  • Post- und Versanddienstleistungen
  • Abfallwirtschaft
  • Herstellung, Produktion und Vertrieb von Chemikalien
  • Herstellung, Verarbeitung und Vertrieb von Lebensmitteln
  • Verarbeitendes Gewerbe (einschließlich Herstellung von Medizinprodukten, Computern, Elektronik, elektrischen Geräten, Maschinen, Fahrzeugen und Transportausrüstung)
  • Digitale Dienstleister
  • Forschung

Wichtige Einrichtungen unterliegen einer reaktiven Aufsicht: Die ANSSI führt keine unangekündigten Prüfungen durch, kann jedoch nach Meldung eines Vorfalls oder aufgrund eines Hinweises eine Prüfung einleiten.

Beispiel: Französische KMU im Industriesektor

Ein industrielles KMU mit 75 Mitarbeitern und einem Umsatz von 12 Mio. € gilt im Sinne von NIS2 als bedeutendes Unternehmen. Es unterliegt allen technischen Verpflichtungen, auch wenn je nach Branche Übergangsfristen für die Umsetzung gewährt werden können.

Die ANSSI hat auf der Website anssi.fr ein Tool zur Selbstbewertung des Sicherheitsumfangs veröffentlicht. Falls Sie diese Überprüfung noch nicht durchgeführt haben, ist dies der erste Schritt.

Technische Checkliste – 30 Prüfpunkte​

A. Bestandsaufnahme der Vermögenswerte (5 Punkte)​

☐ A1. Vollständige Bestandsaufnahme der IT-Ressourcen Sie verfügen über eine aktuelle Bestandsliste aller IT-Geräte (Server, Endgeräte, Netzwerkgeräte), einschließlich der Version des Betriebssystems, der Versionen kritischer Software, des Verantwortlichen und der geschäftlichen Kritikalität. Diese wird mindestens alle 6 Monate aktualisiert.

☐ A2. Vollständige Bestandsaufnahme der OT-Anlagen Ihr Bestandsverzeichnis umfasst Steuerungen (SPS, RTU), HMIs, SCADA-Supervisoren, IoT-Gateways, industrielle Router sowie alle anderen an das OT-Netzwerk angeschlossenen Geräte. Die Firmware-Version und das Datum der letzten Aktualisierung sind dokumentiert.

☐ A3. Kartierung der Datenströme Die Kommunikationsströme zwischen den IT- und OT-Systemen werden in Form eines Datenflussdiagramms dokumentiert. Nicht dokumentierte Datenströme werden standardmäßig blockiert (Whitelist-Richtlinie).

☐ A4. Einstufung der Ressourcen nach Kritikalität Jede Ressource wird entsprechend ihrer Kritikalität für die Geschäftskontinuität eingestuft: kritisch (sofortiger Produktionsstillstand bei Beeinträchtigung), wichtig (erhebliche Beeinträchtigung), Standard. Diese Einstufung dient als Leitfaden für die Sicherheitsprioritäten.

☐ A5. Lebenszyklusmanagement Ein dokumentierter Prozess regelt das Ende des Lebenszyklus der Geräte: Entsorgung von Geräten, für die kein Support mehr angeboten wird, sichere Außerbetriebnahme (Datenlöschung, Löschung von Konten) sowie Recycling.

B. Zugriffsverwaltung und Authentifizierung (5 Punkte)​

☐ B1. MFA für Fernzugriffe Die Multi-Faktor-Authentifizierung (MFA) ist für jeden Fernzugriff auf Informationssysteme obligatorisch, einschließlich VPN-Zugriffen auf OT-Netzwerke. SMS-OTP-Lösungen werden von der ANSSI nicht empfohlen; bevorzugen Sie TOTP (Google Authenticator, Aegis) oder FIDO2-Schlüssel.

☐ B2. Prinzip der geringsten Berechtigungen Benutzerkonten verfügen nur über die für ihre Aufgaben erforderlichen Berechtigungen. Spezielle Administratorkonten sind von den Konten für die tägliche Arbeit getrennt. Die Berechtigungen werden mindestens einmal jährlich sowie bei jedem Stellenwechsel überprüft.

☐ B3. Verwaltung von gemeinsamen und Dienstkonten Gemeinsame Konten (allgemeine Konten wie „admin“ und „operator“) werden gelöscht oder durch namentlich zugeordnete Konten ersetzt. Anwendungskonten werden in einem Tresor (CyberArk, Hashicorp Vault, Bitwarden Business) mit automatischer Passwortrotation verwaltet.

☐ B4. Kontrolle des physischen Zugangs Der physische Zugang zu Serverräumen, Schaltschränken und Technikräumen wird mittels Ausweis oder Schlüssel kontrolliert und protokolliert. Die Zugänge externer Mitarbeiter werden nachverfolgt.

☐ B5. Entzug von Zugriffsrechten Ein formalisierter Prozess gewährleistet den sofortigen Entzug von Zugriffsrechten bei Ausscheiden aus dem Unternehmen oder bei einem Wechsel der Funktion. Die Frist für den Entzug wird dokumentiert und beträgt bei kritischen Zugriffsrechten weniger als 24 Stunden.

C. VPN und Verschlüsselung der OT-Kommunikation (5 Punkte)​

☐ C1. VPN für alle Fernzugriffe auf OT-Systeme Jeder Fernzugriff auf ein OT-Netzwerk (SCADA, Überwachung, SPS) muss zwingend über ein verschlüsseltes VPN (IPsec, OpenVPN oder gegenseitiges TLS) erfolgen. Direkte Zugriffe aus dem Internet auf OT-Geräte sind verboten und technisch gesperrt.

☐ C2. IT/OT-Segmentierung Das OT-Netzwerk ist physisch oder logisch vom IT-Netzwerk (Büro, Unternehmen) getrennt. Die Kommunikation zwischen den Bereichen erfolgt über eine DMZ oder eine dedizierte Firewall mit expliziten Regeln. Die Standardrichtlinie lautet „deny all“.

☐ C3. Verschlüsselung der Cloud-Kommunikation Die gesamte Kommunikation zwischen den Feldgeräten und den Cloud-Plattformen (MQTT, HTTPS, REST-API) erfolgt mindestens über TLS 1.2 (TLS 1.3 empfohlen). Die Zertifikate sind gültig, nicht selbstsigniert, und ihr Ablauf wird überwacht.

☐ C4. Keine offenen eingehenden Ports im Internet Kein OT-Gerät, keine Benutzeroberfläche und kein Supervisor ist über einen eingehenden Port direkt über das Internet erreichbar. Jeder Fernzugriff wird vom Gerät aus zur Plattform initiiert (nach dem „Call-Home“-Prinzip oder über einen VPN-Client).

☐ C5. Verwaltung von Schlüsseln und Zertifikaten Es wird ein Verzeichnis der TLS-Zertifikate, VPN-Schlüssel und Anwendungsgeheimnisse geführt. Schlüssel und Zertifikate, deren Gültigkeit innerhalb von 30 Tagen abläuft, lösen eine Warnmeldung aus. Ein Rotationsverfahren ist dokumentiert.

D. Erkennung von und Reaktion auf Vorfälle (4 Punkte)​

☐ D1. Protokollierung von Sicherheitsereignissen Kritische Geräte (Firewall, VPN, HMI, SCADA-Server) erzeugen Sicherheitsprotokolle, die in einem zentralen System (SIEM, Syslog-Server) gesammelt werden. Die Aufbewahrungsfrist beträgt mindestens 12 Monate für wesentliche Einheiten und 6 Monate für wichtige Einheiten.

☐ D2. Überwachung auf Anomalien Für die OT-Netzwerkströme gelten Regeln zur Erkennung von Anomalien: Verbindungen zu unbekannten Zielen, ungewöhnliche Datenverkehrsvolumina, Verbindungen außerhalb der Produktionszeiten, wiederholte fehlgeschlagene Authentifizierungsversuche.

☐ D3. Dokumentiertes Verfahren zur Reaktion auf Vorfälle Ein Plan zur Reaktion auf Vorfälle (PRI) ist dokumentiert, von der Geschäftsleitung genehmigt und wird mindestens einmal jährlich getestet (Simulationsübung oder Tabletop-Test). Er umfasst die Phasen der Erkennung, Eindämmung, Beseitigung, Wiederherstellung und Kommunikation.

☐ D4. Aktuelle Kontaktdaten von CERT-FR und ANSSI Das Unternehmen hat seine Kontaktdaten über das NIS2-Portal bei der ANSSI registriert. Die Kontaktdaten des Sicherheitsbeauftragten und der Geschäftsleitung sind auf dem neuesten Stand. Die Kontaktdaten des CERT-FR (cert-fr.cert.gouv.fr, +33 3 51 14 17 41) sind den betroffenen Teams bekannt.

E. Geschäftskontinuität (4 Punkte)​

☐ E1. Dokumentierter Notfallplan (PCA) Ein BCP, der Szenarien von Cyberangriffen (Ransomware, SCADA-Kompromittierung) abdeckt, ist dokumentiert und getestet. Er definiert die Verfahren für den Notbetrieb (manueller Modus, Neustart anhand sauberer Backups).

☐ E2. Regelmäßige und getestete Sicherungen Die Konfigurationen von SPSen, SCADA-Systemen, HMI-Systemen und Servern werden gemäß einer dokumentierten Richtlinie gesichert. Die Sicherungen werden offline oder in einer isolierten Umgebung gespeichert. Ihre Wiederherstellung wird mindestens halbjährlich getestet.

☐ E3. Redundanz der Netzwerkverbindungen Kritische Standorte verfügen über redundante Verbindungen (Dual-SIM mit mehreren Anbietern, Glasfaser + 4G LTE), um den Fernzugriff für Überwachungszwecke auch bei Ausfall eines Anbieters aufrechtzuerhalten.

☐ E4. Dokumentierte Wiederherstellungsfristen (RTO/RPO) Für jedes kritische System werden die Ziele für die Wiederherstellung nach einem Vorfall (RTO: Recovery Time Objective, RPO: Recovery Point Objective) festgelegt und dokumentiert. Diese Ziele stehen im Einklang mit den vertraglichen Verpflichtungen gegenüber den Kunden.

F. Schulung und Sensibilisierung (3 Punkte)​

☐ F1. Obligatorische Cybersicherheitsschulung für die Geschäftsleitung NIS2 schreibt vor, dass Führungskräfte in Bezug auf Cyberrisiken und die für die Organisation geltenden Sicherheitsmaßnahmen geschult werden müssen. Diese Schulung (mindestens 4 Stunden) muss mit Datum und Bescheinigung dokumentiert werden.

☐ F2. Regelmäßige Sensibilisierung der Mitarbeiter Mindestens einmal jährlich wird für die gesamte Belegschaft eine Schulung zur Sensibilisierung für Cyberrisiken (Phishing, Social Engineering, Passwörter) durchgeführt. Dazu gehören auch Auftragnehmer, die Zugriff auf die Systeme haben.

☐ F3. Phishing-Übung Mindestens einmal jährlich wird eine simulierte Phishing-Übung durchgeführt, um die Wachsamkeit der Mitarbeiter zu überprüfen und Personen zu identifizieren, die einem erhöhten Risiko ausgesetzt sind und daher eine vertiefte Schulung benötigen.

G. Umgang mit Dritten und Subunternehmern (4 Punkte)​

☐ G1. Verzeichnis der kritischen Subunternehmer Die Dienstleister, die Zugriff auf Ihre Informationssysteme oder OT haben (Integratoren, Wartungsdienstleister, Softwarehersteller), werden zusammen mit der Kritikalität ihres Zugriffs aufgeführt. Dieses Verzeichnis wird stets auf dem neuesten Stand gehalten.

☐ G2. Vertragliche Sicherheitsklauseln Verträge mit kritischen Dienstleistern enthalten Sicherheitsklauseln: Meldepflicht bei Vorfällen, Einhaltung der NIS2-Vorschriften für betroffene Stellen, Prüfungsrecht, Vertraulichkeit.

☐ G3. Eingeschränkter und protokollierter Zugriff für Subunternehmer Die den Subunternehmern gewährten Fernzugriffe (Zugriff zur SPS-Wartung, Fernunterstützung) sind zeitlich begrenzt, werden in einem Protokoll erfasst und können sofort widerrufen werden. Dienstleister-spezifische VPNs sind gemeinsamen Konten vorzuziehen.

☐ G4. Sicherheitsbewertung kritischer Lieferanten Die Sicherheitslage kritischer Software- oder Hardware-Lieferanten wird einer Mindestbewertung unterzogen (Fragebogen, ISO 27001-Zertifizierungen, Audit).

Verwaltung von Fernzugriffen auf OT-Systeme: der blinde Fleck von NIS2​

Der sichere Fernzugriff auf OT-Systeme ist oft der kritischste Schwachpunkt in Industrieunternehmen. Er ist zudem einer der am häufigsten ausgenutzten Angriffsvektoren – der ENISA-Bericht 2025 über OT-Vorfälle nennt unsichere Fernzugriffe als Haupteinstiegspunkt bei 42 % der dokumentierten Vorfälle.

Die häufigsten Sicherheitslücken:

  • Port 3389 (RDP) ist direkt über das Internet zu einem SCADA-Supervisor offen
  • „admin“-Konto mit dem Passwort „password“ auf einer über das Web zugänglichen Benutzeroberfläche
  • Gemeinsames VPN des Betreibers ohne Netzwerksegmentierung (der Mitarbeiter hat Zugriff auf das gesamte Netzwerk)
  • TeamViewer oder AnyDesk ohne MFA, mit permanentem Zugriff

Der NIS2-konforme Ansatz:

  1. Keine offenen eingehenden Ports zum Internet aus dem OT-Netzwerk
  2. Jeder Fernzugriff erfolgt über ein VPN mit MFA (OpenVPN + Client-Zertifikat + OTP TOTP)
  3. Der VPN-Zugriff ist auf die für die Arbeit des Dienstleisters erforderlichen Subnetze beschränkt (Segmentierung nach VLAN)
  4. Jede Fernzugriffssitzung wird mit Zeitstempel, Benutzeridentität und durchgeführten Aktionen protokolliert
  5. Ausnahmegenehmigungen (Notfall-Fehlerbehebung) werden vorübergehend über einen Genehmigungsworkflow erteilt und nach der Sitzung automatisch widerrufen

Diese Architektur ist auch für kleine und mittlere Industrieunternehmen mit moderner Ausstattung erschwinglich – ein Eziwan-Industrierouter mit integriertem OpenVPN/IPSec-VPN und Fernzugriff über die Eziwan-Cloud-Plattform erfüllt diese Anforderungen, ohne dass eine komplexe Infrastruktur erforderlich ist.

Fristen für die Meldung von Vorfällen (24 Std. / 72 Std.)​

NIS2 schreibt strenge Meldefristen für erhebliche Sicherheitsvorfälle vor, die als Vorfälle definiert sind, die erhebliche Auswirkungen auf die Kontinuität des Dienstes haben oder haben könnten.

Erstmeldung (Early Warning) – 24 Stunden: Meldung an die ANSSI über das dafür vorgesehene Portal, wenn der Vorfall grenzüberschreitende Auswirkungen haben könnte, wenn er auf eine Straftat zurückzuführen ist oder wenn er andere Stellen betreffen könnte. Diese Meldung ist kurz gefasst: Art des Vorfalls, betroffene Systeme, geschätzte erste Auswirkungen.

Zwischenmeldung – 72 Stunden: Ausführlicherer Bericht mit einer vorläufigen Einschätzung des Schweregrads, der wahrscheinlichen Ursache und der derzeit ergriffenen Eindämmungsmaßnahmen.

Abschlussbericht – 1 Monat: Ausführliche Beschreibung des Vorfalls, ermittelte Ursache, tatsächliche Auswirkungen, ergriffene Abhilfemaßnahmen, Maßnahmen zur Vermeidung einer Wiederholung.

Praktischer Tipp: Die Fristen beginnen ab dem Zeitpunkt zu laufen, zu dem das Unternehmen Kenntnis von dem Vorfall erlangt – nicht ab dem Zeitpunkt, zu dem der Vorfall tatsächlich begonnen hat. Ein Ransomware-Vorfall, der drei Wochen nach dem ursprünglichen Einbruch entdeckt wird, löst die Frist am Tag der Entdeckung aus, nicht am Tag des Einbruchs. Dokumentieren Sie den zeitlichen Ablauf der Entdeckung genau.

Sanktionen: bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes​

NIS2 führt ein System von Verwaltungssanktionen ein, das deutlich strenger ist als das von NIS1.

Wesentliche Aspekte:

  • Geldbußen von bis zu 10 Mio. € oder 2 % des gesamten weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist)
  • Mögliche vorübergehende Aussetzung der Geschäftstätigkeit oder der Führungsaufgaben

Wichtige Zahlen:

  • Geldbußen von bis zu 7 Mio. € oder 1,4 % des gesamten weltweiten Jahresumsatzes

Kriterien für die Festsetzung von Sanktionen:

  • Schwere und Dauer des Verstoßes
  • Vorsatz oder Fahrlässigkeit
  • Maßnahmen zur Schadensminderung
  • bisherige Einhaltung der Vorschriften durch das Unternehmen
  • Zusammenarbeit mit der ANSSI

In der Praxis werden sich die ersten französischen Sanktionen wahrscheinlich zunächst auf große, systemrelevante Unternehmen konzentrieren, bevor sie auf bedeutende Unternehmen ausgeweitet werden. Die Erfahrungen mit der DSGVO zeigen jedoch, dass die Behörden schnell an Schärfe gewinnen, sobald der Rahmen einmal festgelegt ist.

Haftung der Führungskräfte: Bei schwerwiegenden Verstößen, die auf grobe Fahrlässigkeit zurückzuführen sind, sieht die NIS2-Richtlinie vor, dass Führungskräfte persönlich zur Verantwortung gezogen werden können. Diese Bestimmung ist eine wichtige Neuerung, die das Thema Cybersicherheit auf die Ebene der Geschäftsleitung hebt.

Offizielle Quellen (ANSSI, CERT-FR)​

  • ANSSI – NIS2-Portal: https://www.cert.ssi.gouv.fr/nis2 – Tool zur Selbstbewertung des Anwendungsbereichs, branchenspezifische Leitfäden, Zeitplan für die Umsetzung der Anforderungen
  • ANSSI – Leitfaden zur IT-Sicherheit: Referenzrahmen mit 42 grundlegenden Maßnahmen, kostenlos verfügbar, guter Ausgangspunkt für KMU
  • CERT-FR: cert-fr.cert.gouv.fr – Sicherheitsbulletins, Warnungen vor kritischen Schwachstellen, Meldung von Vorfällen (signalement@cert.gouv.fr)
  • ANSSI — Leitfaden zur Sicherheit industrieller Systeme: spezifischer Leitfaden für OT/SCADA, besonders relevant für die Fertigungsindustrie
  • CNIL und NIS2: Die NIS2-Konformität ergänzt die DSGVO – technische Sicherheitsmaßnahmen erfüllen oft beide Vorschriften gleichzeitig

Für kleine Unternehmen empfiehlt die ANSSI, zunächst die über cybermalveillance.gouv.fr verfügbare CyberDC-Diagnose durchzuführen und anschließend die Maßnahmen entsprechend dem Ergebnis zu priorisieren.

FAQ​

Ist mein industrielles KMU von NIS2 betroffen? Wenn Sie zwischen 50 und 249 Mitarbeiter beschäftigen (oder einen Umsatz zwischen 10 Mio. € und 50 Mio. € erzielen) und in einem in NIS2 aufgeführten Sektor tätig sind (kritische Fertigungsindustrie, Wasser, Energie, Gesundheitswesen usw.), sind Sie wahrscheinlich ein bedeutendes Unternehmen (EI). Unterhalb dieser Schwellenwerte unterliegen Sie grundsätzlich nicht direkt den Vorschriften, aber Ihre Auftraggeber (EE oder EI) können Ihnen vertragliche Sicherheitsverpflichtungen auferlegen. Nutzen Sie das ANSSI-Selbstbewertungstool unter cert.ssi.gouv.fr/nis2, um dies zu überprüfen.

Wann sind in Frankreich die ersten NIS2-Sanktionen zu erwarten? Die französische Umsetzung ist seit Oktober 2024 in Kraft. Die ANSSI legt zunächst den Schwerpunkt auf die Benachrichtigung der betroffenen Einrichtungen und die Unterstützung bei der Einhaltung der Vorschriften. Die ersten Verwaltungsstrafen werden ab 2026 erwartet, wobei zunächst große kritische Einrichtungen betroffen sein werden. Für KMU gilt in der Regel eine Übergangsfrist, bevor Sanktionen verhängt werden.

Gilt NIS2 auch für OT-/SCADA-Systeme oder nur für die Verwaltungs-IT? NIS2 gilt ausdrücklich für OT-Systeme (Operational Technology), SCADA, ICS und industrielle Steuerungssysteme. Die ANSSI hat einen spezifischen Leitfaden „Sicherheit industrieller Systeme“ veröffentlicht, der konkrete Maßnahmen für Steuerungen, HMIs, SCADA-Systeme und OT-Netzwerke beschreibt. Die IT/OT-Segmentierung und die Absicherung des Fernzugriffs auf SPSen sind direkte Verpflichtungen.

Kann ein einzelner NIS2-Vorfall automatisch Sanktionen auslösen? Nein. Eine Meldepflicht ist keine Sanktion. Die Verpflichtung, einen Vorfall innerhalb von 24 Stunden an die ANSSI zu melden, führt nicht automatisch zu einer Sanktion – es handelt sich um eine verfahrensrechtliche Verpflichtung. Sanktionen werden verhängt, wenn technische und organisatorische Maßnahmen nicht eingehalten werden (unsichere Zugriffe, fehlende Datensicherungen, kein Schwachstellenmanagement) oder wenn keine Zusammenarbeit mit der ANSSI stattfindet.

Wie weist man gegenüber der ANSSI die NIS2-Konformität nach? Die ANSSI kann schriftliche Nachweise verlangen: von der Geschäftsleitung genehmigte Sicherheitsrichtlinien, Sicherheitsprotokolle, Audit-Ergebnisse, Schulungspläne, getestete Notfallpläne. Bei kritischen Einrichtungen sind Audits vor Ort möglich. Die beste Vorbereitung besteht darin, Ihre Maßnahmen ab sofort systematisch zu dokumentieren: Datum der Umsetzung, Verantwortlicher, Ergebnisse.

Weiterführende Informationen​

Möchten Sie mehr erfahren? Eziwan unterstützt Industrieunternehmen dabei, ihre OT-Fernzugriffe gemäß den NIS2-Anforderungen zu sichern: OpenVPN/IPSec-VPN, Netzwerksegmentierung, keine offenen eingehenden Ports. Lesen Sie unseren Leitfaden zur OT-Cybersicherheit oder kontaktieren Sie uns für ein Audit Ihrer Fernzugriffe.

Weitere Ressourcen​