NIS2 für die Industrie: konkrete Verpflichtungen, Sanktionen und OT-Aktionsplan

· 12 Minuten Lesezeit
12 min read
Eziwan-Team
Eziwan-Team
IoT-Infrastruktur

Die NIS2-Richtlinie gilt in Frankreich seit Oktober 2024. Sie betrifft Tausende von Industrieunternehmen, die damit nicht gerechnet hatten – und die Strafen können bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes betragen. Noch schwieriger ist: NIS2 betrifft insbesondere OT-Netzwerke (Operational Technology), also industrielle Systeme, bei denen Cybersicherheit bisher nur eine untergeordnete Rolle spielte.

Dieser Leitfaden erklärt NIS2 für Unternehmen der Fertigungsindustrie: Wer ist betroffen, welche konkreten Maßnahmen müssen in Ihren Automatisierungsnetzwerken umgesetzt werden und wie lässt sich ein realistischer Aktionsplan erstellen?

NIS2: Der Hintergrund in 3 Minuten​

Die Richtlinie Network and Information Security 2 (NIS2) ist die Neufassung der NIS1-Richtlinie aus dem Jahr 2016. Sie wurde im Dezember 2022 von der Europäischen Union verabschiedet und musste bis Oktober 2024 in das nationale Recht jedes Mitgliedstaats umgesetzt werden.

Warum dieses Update? NIS1 umfasste etwa 500 Einrichtungen in Frankreich (die Betreiber wesentlicher Dienste). NIS2 erweitert diesen Geltungsbereich erheblich: Schätzungen zufolge sind nun 15.000 bis 20.000 französische Einrichtungen betroffen, gegenüber zuvor 500.

Was sich für die Industrie grundlegend ändert: NIS2 bezieht OT-Systeme ausdrücklich in seinen Geltungsbereich ein. Automatisierungsnetzwerke, SCADA-Systeme, SPSen, Überwachungssysteme – all dies unterliegt nun konkreten Sicherheitsanforderungen.

Umsetzung in französisches Recht im Gange

Das französische Gesetz zur Umsetzung von NIS2 befand sich Anfang 2025 im Verabschiedungsprozess. Die genauen Fristen und Modalitäten können sich je nach dem von der Nationalversammlung verabschiedeten endgültigen Gesetzestext ändern. Bitte beachten Sie die Mitteilungen der ANSSI für aktuelle Informationen.

Sind Sie von NIS2 betroffen?​

NIS2 unterscheidet zwei Kategorien von Einrichtungen je nach der Kritikalität ihrer Tätigkeit und ihrer Größe:

Wesentliche Einheiten (EE) – verstärkte Kontrolle​

Abgedeckte Sektoren:

  • Energie: Strom (Erzeugung, Übertragung, Verteilung), Gas, Erdöl, Wasserstoff
  • Verkehr: Luftverkehr, Schienenverkehr, Seeverkehr, Straßenverkehr
  • Gesundheitswesen: Krankenhäuser, Hersteller kritischer medizinischer Geräte
  • Trinkwasser und Abwasserentsorgung
  • Digitale Infrastruktur: DNS, IXP, Rechenzentren, Cloud, Kommunikationsnetze
  • Zentrale und regionale öffentliche Verwaltung
  • Raumfahrt

Größenkriterium: mittleres oder großes Unternehmen (> 50 Mitarbeiter oder > 10 Mio. € Jahresumsatz) in einer dieser Branchen.

Wichtige Unternehmen (EI) – Meldepflichten​

Abgedeckte Branchen:

  • Fertigung: Chemie, Lebensmittelindustrie, nicht kritische Medizinprodukte, elektrische Geräte, Industriemaschinen, Automobilindustrie
  • Post- und Zustelldienste
  • Abfallwirtschaft
  • Herstellung, Produktion und Vertrieb von chemischen Erzeugnissen
  • Anbieter digitaler Dienstleistungen

Größenkriterium: Großunternehmen (> 250 Mitarbeiter oder > 50 Mio. € Umsatz) in diesen Branchen.

Wie können Sie herausfinden, ob Sie davon betroffen sind?​

Ihre BrancheGrößeVoraussichtliche Kategorie
Energieerzeuger oder -versorgerJede Größe (sofern ESE)EE
Trinkwasser- oder Abwasserbetreiber> 50 Mitarbeiter oder > 10 Mio. €EE
Lebensmittelproduktionsbetrieb> 250 Mitarbeiter oder > 50 Mio. €EI
Hersteller von Industriemaschinen> 250 Mitarbeiter oder > 50 Mio. €EI
Zulieferer eines kritischen SektorsHängt vom Vertrag abMöglicherweise EI
Automatisierungsintegrator> 250 Mitarbeiter oder > 50 Mio. €EI
Industrielles KMU < 50 Mitarbeiter< SchwellenwerteNicht direkt betroffen
KMU sind nicht direkt betroffen… aber

Industrielle KMU (< 50 Mitarbeiter) unterliegen nicht direkt der NIS2-Richtlinie. Sind sie jedoch als Subunternehmer für ein EE oder EI tätig (z. B. als Wartungsdienstleister, Integrator oder Anbieter von Steuerungssystemen), werden ihre Kunden ihnen vertraglich ähnliche Sicherheitsanforderungen auferlegen. Vorausschauendes Handeln ist eine bewährte Geschäftspraxis.

Die 10 konkreten NIS2-Anforderungen für Ihr OT-Netzwerk​

In Artikel 21 der NIS2-Richtlinie sind die verbindlichen Sicherheitsmaßnahmen festgelegt. Hier folgt ihre praktische Umsetzung für eine industrielle OT-Umgebung.

1. Risikoanalyse und Sicherheitsrichtlinien​

Verpflichtung: Eine Richtlinie zum Management von Cyberrisiken, einschließlich OT-Systemen, zu erstellen und aufrechtzuerhalten.

In der Praxis:

  • Erfassung aller OT-Assets (SPS, SCADA, RTU, kommunizierende Sensoren, Gateways)
  • Identifizierung von Bedrohungen und Schwachstellen pro Asset
  • Klassifizierung der Assets nach ihrer Kritikalität (Produktion, Sicherheit, Umwelt)
  • Eine von der Geschäftsleitung unterzeichnete OT-Sicherheitsrichtlinie erstellen

Wichtige Hinweise für die IT-Abteilung: Die Bestandsaufnahme muss auch Geräte umfassen, die nicht von Ihrer IT-Abteilung verwaltet werden (Steuerungen mit Wartungsvertrag des Herstellers, SCADA-Systeme von Dienstleistern, in Maschinen von Drittanbietern integrierte Modems).

2. Umgang mit Sicherheitsvorfällen​

Verpflichtung: Verfahren zur Erkennung, Bewältigung und Meldung von Vorfällen.

In der Praxis:

  • Definieren Sie, was unter einem „Sicherheitsvorfall“ in Ihrem OT-Kontext zu verstehen ist (unbefugter Zugriff, ungewöhnliches Verhalten einer SPS, Netzwerkstörung)
  • Erstellen Sie das Reaktionsverfahren: Wer alarmiert wen, in welcher Form und innerhalb welcher Frist?
  • Meldepflicht gegenüber der ANSSI innerhalb von 24 Stunden bei schwerwiegenden Vorfällen (EE) bzw. 72 Stunden (EI)
  • Abschlussbericht an die ANSSI innerhalb von 1 Monat

3. Geschäftskontinuität​

Verpflichtung: Kontinuitätsplan (PCA) und Notfallwiederherstellungsplan (PRA) für OT-Systeme.

In der Praxis:

  • Identifizieren Sie kritische OT-Systeme, deren Ausfall Auswirkungen auf die Produktion oder die Sicherheit hätte
  • Legen Sie für jedes System das RTO (Recovery Time Objective) und das RPO (Recovery Point Objective) fest
  • Testen Sie den Notfallplan mindestens einmal pro Jahr
  • Dokumentieren Sie die manuellen Wiederherstellungsverfahren für den Fall, dass ein automatisiertes System ausfällt

4. Sicherheit in der Lieferkette​

Verpflichtung: Bewertung und Management der Cyberrisiken bei Lieferanten und Dienstleistern.

In der Praxis:

  • Sicherheitsklauseln in Verträge mit OT-Wartungsdienstleistern aufnehmen
  • Von kritischen Subunternehmern ein Sicherheitsaudit oder eine Zertifizierung verlangen
  • Die Fernzugriffe der Dienstleister kontrollieren (keine permanenten, unbeaufsichtigten Zugriffe)
  • Die Cybersicherheitsrichtlinien der Anbieter von eingebetteten Komponenten (Firmware, Betriebssysteme für Steuerungen) überprüfen

5. Sicherheit bei der Entwicklung und Wartung von Systemen​

Verpflichtung: Die Cybersicherheit im Lebenszyklus der Systeme berücksichtigen.

In der Praxis:

  • Bei der Integration neuer OT-Geräte Sicherheitstests verlangen
  • Die Sicherheitskonfigurationen der Steuerungen dokumentieren (Passwörter, Zugriffsrechte, aktive Dienste)
  • Sicherheitspatches der Hersteller installieren (Siemens ProductCERT, Schneider Electric CyberSecurity usw.)
  • Nicht benötigte Dienste auf den Steuerungen deaktivieren (FTP, Telnet, unverschlüsseltes HTTP)

6. Verwaltung von Assets und Schwachstellen​

Anforderung: Verfahren zur Erfassung und zum Management von Schwachstellen.

In der Praxis:

  • Führen Sie ein aktuelles Inventar aller OT-Geräte (Modell, Firmware, Version)
  • Überwachen Sie die CVE-Warnmeldungen für Ihre Geräte (Siemens, Schneider, Rockwell...)
  • Kritische CVEs (CVSS ≥ 9) innerhalb von 72 Stunden bearbeiten (Isolierung, falls kein Patch verfügbar ist)
  • CVEs mit hohem Schweregrad (CVSS 7–8,9) innerhalb von 30 Tagen bearbeiten

7. Starke Authentifizierung und Zugriffskontrolle​

Anforderung: MFA bei allen Fernzugriffen, Prinzip der geringsten Berechtigungen.

In der Praxis:

  • Einführung der MFA (Multi-Faktor-Authentifizierung) für alle VPN-Zugänge und Verwaltungsportale
  • Abschaffung gemeinsam genutzter Standardkonten (admin/admin, user/user)
  • Erstellen Sie benennspezifische Konten für jeden Benutzer mit streng begrenzten Berechtigungen
  • Setzen Sie das Prinzip der geringsten Berechtigungen um: Ein Techniker hat nur Zugriff auf die Geräte, die für seinen Auftrag relevant sind
  • Verwalten Sie die Sitzungsdauer: automatische Abmeldung nach Inaktivität

8. Verschlüsselung der Kommunikation​

Anforderung: Verschlüsselung der Daten während der Übertragung in allen risikobehafteten OT-Netzwerken.

In der Praxis:

  • Verschlüsseltes VPN (OpenVPN AES-256-GCM, WireGuard ChaCha20, IPSec) bei allen Fernzugriffen
  • HTTPS mit TLS 1.3 für alle Webschnittstellen (Cloud-SCADA, Dashboards)
  • Unverschlüsselte Protokolle, die direkt exponiert sind (HTTP, Telnet, FTP, SNMP v1/v2), sind zu unterbinden
  • Unverschlüsselte industrielle Protokolle (Modbus, DNP3) müssen über einen verschlüsselten Tunnel geleitet werden

9. Protokollierung und Rückverfolgbarkeit​

Verpflichtung: Protokolle aller Anmeldungen und Aktionen auf kritischen Systemen, Aufbewahrungsfrist mindestens 12 Monate.

In der Praxis:

  • Protokollierung aller VPN-Verbindungen (Identität, Uhrzeit, Quell-IP, Dauer, Datenvolumen)
  • Protokollierung aller Konfigurationsänderungen an SPSen und SCADA-Systemen
  • Unveränderliche Protokolle (können vom Benutzer, der sie erstellt, nicht geändert werden)
  • Zentralisierung der Protokolle in einem SIEM (Splunk, Elastic, QRadar) zur Korrelation und für Warnmeldungen
  • Aufbewahrungsfrist: mindestens 12 Monate für EI, 36 Monate empfohlen für EE

10. Schulung und Sensibilisierung​

Verpflichtung: Die Teams in der Cybersicherheit im Bereich der Betriebstechnik schulen.

In der Praxis:

  • Jährliche Sensibilisierungsmaßnahmen für alle Mitarbeiter, die Zugriff auf die OT-Systeme haben
  • Spezifische Schulung der Wartungstechniker zu bewährten Verfahren für den Fernzugriff
  • Schulung der Subunternehmer vor dem allerersten Fernzugriff auf Ihre Systeme

Zeitplan und Sanktionen​

Geltende Fristen (Frankreich)​

SchrittFrist nach Benachrichtigung durch die ANSSI
Registrierung bei der ANSSI3 Monate
Umsetzung der vorrangigen technischen Maßnahmen12 Monate
Vollständige Konformität18–24 Monate
Erstes Konformitätsaudit24 Monate

Die ANSSI benachrichtigt die betroffenen Stellen nach und nach. Wenn Sie im Jahr 2025 noch keine Benachrichtigung erhalten haben, wird diese wahrscheinlich bald eintreffen. Warten Sie nicht auf die Benachrichtigung, um mit den Vorbereitungen zu beginnen.

Sanktionen bei Nichteinhaltung​

UnternehmenskategorieHöchststrafeMindeststrafe (signifikant)
Wesentliche Unternehmen10 Mio. € oder 2 % des weltweiten Umsatzes100.000 €
Bedeutende Unternehmen7 Mio. € oder 1,4 % des weltweiten Umsatzes70.000 €
Führungskräfte (persönliche Haftung)Vorübergehendes Berufsverbot—

Zu den Sanktionen können außerdem gehören:

  • Veröffentlichung des Vorfalls (öffentliche Anprangerung)
  • Aussetzung der Zulassung zur Ausübung reglementierter Tätigkeiten
  • Anordnungen zur sofortigen Behebung des Verstoßes unter Androhung eines täglichen Zwangsgelds

Kontrollregelung​

Bei den „wesentlichen Einrichtungen“ erfolgt die Kontrolle a priori: Die ANSSI kann Prüfungen durchführen, ohne dass zuvor ein Vorfall eingetreten ist. Bei den „wichtigen Einrichtungen“ erfolgt die Kontrolle a posteriori: Sie findet in der Regel erst nach einem Vorfall oder einer Beschwerde statt.

NIS2-Konformitäts-Checkliste für den Fernzugriff auf OT-Systeme​

Bewerten Sie Ihre aktuelle Situation Punkt für Punkt:

AUTENTIFIZIERUNG UND ZUGRIFF
☐ MFA ist für alle VPN-Zugänge und Portale aktiviert (TOTP, FIDO2)
☐ Für jeden Nutzer werden eigene Konten eingerichtet (keine gemeinsamen Konten mehr)
☐ Zugang für Dienstleister: vorübergehend, beschränkt auf die betreffenden Anlagen
☐ Widerruf des Zugriffs innerhalb von weniger als einer Stunde möglich
☐ Dokumentierte vierteljährliche Überprüfung der Zugriffsrechte

VERSCHLÜSSELUNG UND NETZWERK
☐ Verschlüsseltes VPN (AES-256 oder ChaCha20) bei allen Fernzugriffen
☐ Kein OT-Port, der direkt mit dem Internet verbunden ist
☐ Mindestens TLS 1.2 (TLS 1.3 empfohlen) auf allen Webschnittstellen
☐ IT/OT-Segmentierung mit einer Firewall zwischen den beiden Bereichen
☐ Unverschlüsselte Protokolle (HTTP, Telnet, FTP) auf OT-Geräten deaktiviert

JOURNALISATION
☐ Zentralisierte VPN-Anmeldeprotokolle (Benutzer, Uhrzeit, IP-Adresse, Dauer)
☐ Protokolle zu Konfigurationsänderungen an SPSen und SCADA-Systemen
☐ Aufbewahrungsfrist für Protokolle ≥ 12 Monate (≥ 36 Monate für EE)
☐ Unveränderliche Protokolle (Write-Once-Architektur oder SIEM)
☐ Automatische Benachrichtigungen bei ungewöhnlichen Verbindungen

VERWALTUNG VON ASSETS UND SCHWACHSTELLEN
☐ Aktuelles Verzeichnis aller OT-Geräte (Modell, Firmware, Version)
☐ Abonnement für CVE-Benachrichtigungen der Hersteller (Siemens, Schneider, Rockwell...)
☐ Dokumentierter und getesteter Prozess zur Bearbeitung von Korrekturen
☐ Sicherheitstests bei der Integration neuer Geräte

KONTINUITÄT UND STÖRUNGEN
☐ Ein dokumentiertes und den Teams bekanntes Verfahren zur Reaktion auf Vorfälle
☐ ANSSI-Ansprechpartner ermittelt und Nummer gespeichert
☐ PCA/PRA testé (< 12 mois)
☐ Exercice de simulation de crise cyber (< 12 mois)

ORGANISATION
☐ Von der Geschäftsleitung unterzeichnete OT-Sicherheitsrichtlinie
☐ Kartierung der OT-Assets und ihrer Netzwerkflüsse
☐ Sicherheitsklauseln in Dienstleistungsverträgen
☐ Jährliche Schulung der Teams und Dienstleister, die Zugriff auf die OT-Systeme haben

Wo soll man anfangen: 90-Tage-Aktionsplan​

Falls Ihr Unternehmen noch nicht mit der Umsetzung der Compliance-Maßnahmen begonnen hat, finden Sie hier einen realistischen Aktionsplan für die ersten drei Monate:

Monat 1 – Bestandsaufnahme und Risikoanalyse​

  • Alle angeschlossenen OT-Geräte erfassen (SPS, SCADA, Gateways, Sensoren)
  • Vorhandene Fernzugriffe identifizieren (VPN, RDP, Modems, Zugriffe von Dienstleistern)
  • Das Risikoniveau jedes Zugangs bewerten (verschlüsselt? authentifiziert? protokolliert?)
  • Einen internen NIS2-Verantwortlichen benennen (RSSI oder Beauftragter für OT-Cybersicherheit)

Monat 2 – Absicherung der Fernzugriffe (Priorität Nr. 1)​

Genau darin liegen das größte Risiko und die schnellsten Gewinne:

  • Alle unverschlüsselten Direktzugriffe sperren (offenes RDP, HTTP-Portweiterleitung)
  • Ein verschlüsseltes VPN für alle Fernzugriffe (intern und für Dienstleister) einrichten
  • MFA für alle VPN-Zugriffe und Verwaltungsportale aktivieren
  • Persönliche Konten anlegen und gemeinsam genutzte Konten löschen
  • Protokollierung der Verbindungen einrichten

Monat 3 – Aufbau der Führungsstruktur​

  • Die OT-Sicherheitsrichtlinie erstellen
  • Die Verträge mit Dienstleistern um Sicherheitsklauseln ergänzen
  • Interne Teams und Subunternehmer im Bereich Fernzugriff schulen
  • Das erste interne Audit planen
  • CVE-Warnmeldungen für Ihre kritischen Anlagen einrichten

Häufig gestellte Fragen​

Gilt NIS2 auch für OT-Systeme mit „Air Gap“ (die vom Netzwerk getrennt sind)? Technisch gesehen stellen vollständig isolierte Systeme (keine Netzwerkverbindung, kein Fernzugriff, keine USB-Verbindung) ein geringeres Risiko dar. In der Praxis ist es jedoch selten, dass ein OT-System vollständig isoliert ist: Techniker bringen USB-Sticks mit, Hersteller verfügen über Wartungszugänge, und SCADA-Systeme leiten häufig Daten an die IT weiter. NIS2 gilt, sobald das OT-System von einer externen Bedrohung erreicht werden kann.

Kann man die Einhaltung der NIS2-Vorschriften an einen Dienstleister auslagern? Ja, was die technische Umsetzung betrifft. Die rechtliche Verantwortung liegt jedoch weiterhin bei der Organisation (und ihrer Geschäftsleitung). Sie können die Installation von Sicherheitslösungen, Audits und die Überwachung an spezialisierte Dienstleister übertragen – die Sicherheitsrichtlinien und Governance-Entscheidungen liegen jedoch weiterhin in Ihrer Zuständigkeit.

Verlangt NIS2 eine Zertifizierung nach ISO 27001? Nein – NIS2 schreibt ISO 27001 nicht vor. ISO 27001 ist jedoch ein anerkannter Standard, der einen Großteil der NIS2-Anforderungen abdeckt und den Nachweis der Konformität bei ANSSI-Audits erleichtern kann.

Was passiert, wenn man Subunternehmer eines EE ist, aber die NIS2-Schwellenwerte nicht erreicht? Der EE oder EI ist verpflichtet, die Sicherheit seiner Lieferkette zu gewährleisten. In der Praxis wird sie ihren Subunternehmern vertraglich gleichwertige Sicherheitsanforderungen auferlegen – andernfalls läuft sie Gefahr, für einen Vorfall haftbar gemacht zu werden, der durch einen unzureichend gesicherten Subunternehmer verursacht wurde. Für KMU als Subunternehmer ist es von großem Interesse, diese Anforderungen vorwegzunehmen.

Was ist der Unterschied zwischen NIS2 und der CER-Richtlinie (Critical Entities Resilience)? NIS2 regelt die Cyber-Resilienz (IT-Sicherheit). Die CER-Richtlinie (Richtlinie über die Widerstandsfähigkeit kritischer Einrichtungen) befasst sich mit der physischen Widerstandsfähigkeit (Schutz der Infrastruktur vor Naturkatastrophen, Terroranschlägen usw.). Beide Richtlinien gelten parallel für Betreiber kritischer Infrastrukturen.

Stellt Eziwan einen NIS2-Konformitätsbericht bereit? Ja. Die Eziwan-Plattform erstellt einen exportierbaren Konformitätsbericht (PDF), der Folgendes enthält: eine Bestandsliste der Fernzugriffe, Verbindungsprotokolle für den ausgewählten Zeitraum, die aktuelle Sicherheitskonfiguration (MFA, Verschlüsselung, Protokolle) sowie gültige VPN-Zertifikate. Dieser Bericht kann direkt für ANSSI-Audits oder interne Konformitätsprüfungen verwendet werden.

Weiterführende Informationen​

NIS2 ist keine weitere administrative Auflage – es ist eine Chance, die Cybersicherheit im Bereich der Betriebstechnik endlich mit der Ernsthaftigkeit anzugehen, die sie verdient. Cybervorfälle in industriellen Netzwerken nehmen stetig zu: Triton/TRISIS, Colonial Pipeline, Angriffe auf Wasseraufbereitungsanlagen. Die NIS2-Vorgaben stellen ein Minimum dar, keine Obergrenze.

Möchten Sie Ihre aktuelle NIS2-Konformität überprüfen lassen? Fordern Sie ein kostenloses Audit bei unserem Team an. Antwort innerhalb von 48 Stunden durch einen OT-Cybersicherheitsingenieur.

Weitere Ressourcen​