Die NIS2-Richtlinie verschärft die Cybersicherheitsanforderungen für zahlreiche Industrieunternehmen: Produktion, Energie, Verkehr, Wasserversorgung, Gesundheitswesen, Chemie, Lebensmittelindustrie, kritische Fertigung, digitale Zulieferer und Anbieter wesentlicher Dienste. Für OT-Umgebungen beschränkt sich die Einhaltung der Vorschriften nicht auf eine bloße Richtlinie auf dem Papier: Sie setzt überprüfbare technische Maßnahmen voraus, wie beispielsweise Netzwerksegmentierung, Kontrolle des Fernzugriffs, Protokollierung, Schwachstellenmanagement und Geschäftskontinuität.
Das Problem
NIS2 erweitert den Kreis der betroffenen Organisationen und schreibt einen strukturierteren Ansatz im Umgang mit Cyberrisiken vor. In der Industrie ergibt sich die Schwierigkeit oft aus der Diskrepanz zwischen den Compliance-Anforderungen und der Realität der OT-Systeme: veraltete Steuerungen, flache Netzwerke, Zugriffe langjähriger Dienstleister, unzureichende Protokollierung der Überwachung, Abhängigkeiten von Lieferanten und kaum akzeptierbare Produktionsausfälle.
Die häufigsten Mängel sind konkreter Natur.
-
Die Lieferkette fällt in den Geltungsbereich von NIS2: Softwareanbieter, Cloud-Anbieter, Systemintegratoren, Wartungsunternehmen und Maschinenhersteller müssen bewertet werden.
-
Die Geschäftskontinuität und die Notfallwiederherstellungspläne, oft als PCA/PRA bezeichnet, müssen formell festgelegt, gepflegt und regelmäßig getestet werden.
-
Sicherheitsaudits und technische Prüfungen müssen entsprechend dem Risikograd geplant werden. Bei bestimmten behördlichen Audits in Frankreich kann je nach geltendem Rechtsrahmen der Einsatz qualifizierter Dienstleister erforderlich sein.
-
Das Fehlen einer Bestandsaufnahme der verbundenen OT-Assets stellt eine erhebliche Schwachstelle dar: Was man nicht kennt, kann man weder schützen noch segmentieren noch überwachen.
-
Der Fernzugriff auf Steuerungen, Bedienoberflächen, Überwachungsserver oder Spezialmaschinen ist oft zu weit gefasst, wird gemeinsam genutzt oder nicht ausreichend nachverfolgt.
-
Die Zugriffsprotokolle sind unvollständig, verstreut oder werden nicht lange genug aufbewahrt, um eine Untersuchung zu erleichtern.
NIS2 verlangt nicht nur, „Cybersicherheit zu betreiben“. Die Richtlinie verpflichtet Organisationen dazu, nachzuweisen, dass Risiken identifiziert, geeignete Maßnahmen ergriffen und Vorfälle innerhalb der vorgeschriebenen Fristen erkannt, bearbeitet und gemeldet werden können.
Was sich durch NIS2 für Industrieanlagen ändert
Die NIS-2-Richtlinie ersetzt und erweitert den ursprünglichen NIS-Rahmen. Sie betrifft mehr Sektoren, unterscheidet insbesondere zwischen wesentlichen und wichtigen Einrichtungen und stärkt die Verantwortung der Führungskräfte. Die genauen Modalitäten hängen von der nationalen Umsetzung und dem jeweiligen Tätigkeitsbereich ab; in Frankreich ist die ANSSI weiterhin die maßgebliche Stelle für die geltenden Texte, Leitfäden und Anforderungen.
Für einen Industriestandort lassen sich die Auswirkungen in der Regel anhand von vier betrieblichen Anforderungen darstellen.
| Anforderung | Konkrete Umsetzung in OT | Erwarteter Nachweis |
|---|---|---|
| Risikomanagement | Identifizierung von Ressourcen, Risiken, Verantwortlichkeiten und Maßnahmen | Bestandsaufnahme, Risikoanalyse, Verfahren |
| Technischer Schutz | Segmentierung, Filterung, Verschlüsselung, Authentifizierung | Netzwerkregeln, MFA, VPN, Härtung |
| Erkennung und Rückverfolgbarkeit | Protokollierung von Zugriffen und kritischen Ereignissen | Zeitgestempelte Protokolle, Warnmeldungen, Berichte |
| Ausfallsicherheit | Aufrechterhaltung des Betriebs und Wiederherstellung der Systeme | Notfallplan (PCA/PRA), Backups, Wiederherstellungstests |
Im Mittelpunkt steht die Nachweisbarkeit. Eine Maßnahme, die nicht dokumentiert, nicht getestet oder nicht überwacht wird, lässt sich bei einem Audit nur schwer rechtfertigen, selbst wenn sie technisch gesehen existiert.
Verpflichtungen und technische Maßnahmen, die Vorrang haben sollten
NIS2 beschreibt Ziele im Bereich der Cybersicherheit und des Risikomanagements. Für industrielle Umgebungen müssen diese Ziele in technische Maßnahmen umgesetzt werden, die an die Produktionsanforderungen angepasst sind.
Bestandsverzeichnis der OT-Vermögenswerte
Die Bestandsaufnahme bildet die Grundlage jedes industriellen NIS2-Programms. Sie muss sowohl die sichtbaren als auch die oft übersehenen Anlagen erfassen.
-
SPS-Steuerungen von Siemens, Schneider, Rockwell, Wago, Omron oder anderen Herstellern.
-
Mensch-Maschine-Schnittstellen, Bedienpulte und Industrie-Bedienfelder.
-
SCADA-Server, Engineering-Stationen und Datenarchive.
-
Frequenzumrichter, Roboter, intelligente Sensoren, Gateways und IIoT-Geräte.
-
Industrielle Switches, Router, Firewalls, Modems und Gateways.
-
Fernzugriffe, Dienstleisterkonten und bestehende VPN-Tunnel.
Ein aussagekräftiges Inventar beschränkt sich nicht nur auf den Namen des Geräts. Es muss die IP-Adresse, den Netzwerkbereich, den Eigentümer, den Kritikalitätsgrad, die verwendeten Protokolle, den Anbieter, die Softwareversion (sofern bekannt) sowie die Abhängigkeiten im Betrieb enthalten.
Segmentierung des IT-/OT-Netzwerks
Die IT/OT-Segmentierung schränkt die Angriffswege zwischen dem IT-System und dem industriellen Netzwerk ein. Sie verhindert, dass sich ein Vorfall im Bürobereich direkt auf Steuerungsgeräte oder Überwachungsserver ausbreitet.
Die Segmentierung muss übersichtlich und nutzbar sein. Ein einziges VLAN für das gesamte Werk reicht in der Regel nicht aus, wenn mehrere Produktionslinien, kritische Bereiche oder Dienstleister voneinander isoliert werden müssen.
Sicherer Fernzugriff
Fernzugriffe gehören zu den sensibelsten Punkten in einer OT-Umgebung. Sie sind für Wartungszwecke notwendig, können jedoch zu einer erheblichen Sicherheitslücke werden, wenn sie dauerhaft bestehen, gemeinsam genutzt oder ungeschützt sind.
Ein Ansatz, der den bewährten Praktiken gemäß NIS2 entspricht, muss Folgendes umfassen:
-
Persönliche Konten für jeden Nutzer.
-
Eine Multi-Faktor-Authentifizierung.
-
Ein verschlüsselter VPN-Tunnel, ohne dass RDP-, VNC-, SSH- oder SPS-Schnittstellen direkt im Internet zugänglich sind.
-
Nutzungsrechte pro Ressource, Standort, Leitung oder Gerät.
-
Eine zeitlich begrenzte Öffnung.
-
Eine Bestätigung oder Benachrichtigung auf der Website.
-
Eine lückenlose Protokollierung der Sitzungen.
Ein Eziwan-Gateway kann als Kontrollpunkt zwischen den Ferntechnikern und den OT-Ressourcen dienen. Es ermöglicht, verstreute Zugänge durch einen zentralen, gefilterten und nachverfolgbaren Zugang zu ersetzen.
Protokollierung und Zugriffsprotokolle
NIS2 verpflichtet Organisationen dazu, Vorfälle zu erkennen und im Falle einer Analyse Fakten zu liefern. Protokolle sind daher unverzichtbar, müssen aber auch auswertbar sein.
Ein OT-Zugriffsprotokoll muss folgende Angaben enthalten:
-
Wer sich angemeldet hat.
-
Wann die Sitzung begonnen und wann sie beendet wurde.
-
Seit wann die Verbindung besteht.
-
Welche OT-Ressource wurde erreicht?
-
Welches Profil oder welche Zugriffsregel wurde verwendet?
-
Welche Versuche wurden abgelehnt?
-
Wer hat die Benachrichtigung bestätigt oder erhalten, sofern dies im Prozess vorgesehen ist?
Die Protokolle können anschließend je nach gewählter Architektur an ein Überwachungssystem, ein SIEM oder einen zentralisierten Dienst in der Eziwan-Cloud gesendet werden.
Schwachstellenmanagement
Das Schwachstellenmanagement in der OT lässt sich nicht blindlings an das der IT anpassen. Eine SPS, eine Benutzeroberfläche oder ein SCADA-Server werden nicht immer wie ein Bürocomputer aktualisiert. Bestimmte Geräte sind für eine bestimmte Version qualifiziert, und ein Patch kann einen Produktionsstillstand erfordern.
Eine bewährte Vorgehensweise besteht darin, einen realistischen Prozess einzuführen.
| Schritt | Ziel | Besonderheit der OT |
|---|---|---|
| Identifizieren | Die betroffenen Versionen und Geräte ermitteln | Zuverlässige Bestandsaufnahme unerlässlich |
| Qualifizieren | Die tatsächlichen Auswirkungen auf den Standort bewerten | Kritikalität in Bezug auf Produktion und Sicherheit |
| Priorisieren | Ausnutzbare Risiken zuerst beheben | Netzwerk-Exposition, Fernzugriff, Berechtigungen |
| Abmildern | Das Risiko reduzieren, wenn kein Patch möglich ist | Segmentierung, Filterung, Deaktivierung |
| Überprüfen | Sicherstellen, dass die Maßnahme funktioniert | Tests im Wartungsfenster |
In manchen Fällen ist die beste Sofortmaßnahme nicht ein Patch, sondern eine Abhilfemaßnahme: einen direkten Zugriff entfernen, einen Datenfluss filtern, einen Bereich isolieren oder ein Dienstleisterkonto einschränken.
Lieferanten- und Lieferkettenmanagement
Die Lieferkette ist ein zentraler Aspekt von NIS2. Industrieunternehmen sind von Maschinenbauern, Systemintegratoren, SCADA-Anbietern, Hosting-Anbietern, Telekommunikationsbetreibern, Wartungsdienstleistern und Cloud-Anbietern abhängig. Jede dieser Abhängigkeiten kann ein Risiko darstellen.
Die Lieferantenbewertung muss mindestens folgende Punkte umfassen:
-
Vom Anbieter angeforderte Fernzugriffe.
-
Die verwendeten Konten und deren Namensgebundenheit.
-
Die Verfahren zur Kündigung bei Vertragsende.
-
Die Meldepflichten im Falle eines Vorfalls.
-
Verfahren zur Aktualisierung und zum Management von Sicherheitslücken.
-
Die verfügbaren Sicherheitsnachweise, ohne eine Zertifizierung zu erfinden, wenn es keine gibt.
-
Der Standort und der Schutz der gehosteten Daten oder Protokolle.
Es ist besser, die Zugänge der Dienstleister über eine kontrollierte Plattform zu zentralisieren, anstatt jedem Anbieter zu gestatten, sein eigenes Modem, seinen eigenen Router oder seinen eigenen Fernzugriffsdienst zu installieren.
PCA/PRA und industrielle Widerstandsfähigkeit
NIS2 legt großen Wert auf Geschäftskontinuität und Wiederherstellungsfähigkeit. Für die Industrie bedeutet dies nicht nur die Wiederherstellung von Dateien: Es gilt, die Produktion wieder in Gang zu bringen, die Parameter der Steuerungssysteme wiederherzustellen, die Überwachungssysteme wieder in Betrieb zu nehmen und die Sicherheit von Personen und Anlagen zu gewährleisten.
Ein industrieller PCA/PRA muss Folgendes berücksichtigen:
-
Szenarien, bei denen das IT-Netzwerk, das OT-Netzwerk oder die Internetverbindung ausfällt.
-
Sicherungen von SPS-Programmen, HMI-Konfigurationen, Rezepturen, SCADA-Servern und Netzwerkkonfigurationen.
-
Die Abhängigkeiten zwischen Anwendungen, Verzeichnissen, Lizenzen, Entwicklungsarbeitsplätzen und Produktionsanlagen.
-
Die Verfahren zur Rückkehr in den manuellen oder Notbetrieb.
-
Die akzeptablen Rücknahmefristen nach Produktionslinie oder Verfahren.
-
Regelmäßige Wiederherstellungstests – es reicht nicht aus, nur über Sicherungskopien zu verfügen.
Der Test ist entscheidend. Ein Backup, das seit Jahren nicht wiederhergestellt wurde, ist kein stichhaltiger Beweis für Ausfallsicherheit.
Erkennung, Benachrichtigung und Bearbeitung von Vorfällen
Die Einhaltung der NIS2-Vorschriften setzt auch die Erkennung und Bearbeitung von Vorfällen voraus. Die Meldefristen hängen von den Umsetzungsvorschriften und der Schwere des Vorfalls ab; daher müssen die von der zuständigen nationalen Behörde veröffentlichten Informationen beachtet werden.
Aus technischer Sicht muss die Organisation in der Lage sein, einige einfache Fragen schnell zu beantworten.
-
Welche Fernzugriffe waren zum Zeitpunkt des Vorfalls aktiv?
-
Welches Konto hat auf welche OT-Ressource zugegriffen?
-
War ein Dienstleister angemeldet?
-
Gab es vor dem Vorfall bereits abgelehnte Versuche?
-
Welche Anlagen befinden sich im betroffenen Gebiet?
-
Kann man den Zugang sperren, ohne die gesamte Produktion stillzulegen?
-
Sind die für die Wiederherstellung erforderlichen Sicherungen verfügbar?
Der Vorteil einer Lösung wie Eziwan liegt darin, dass sie Möglichkeiten zur Überwachung und Kontrolle industrieller Zugriffe bietet: Benachrichtigungen, Protokolle, Widerruf, Segmentierung und Zentralisierung der Regeln.
Beispiel für einen NIS2-Compliance-Prozess
Eine effektive Umsetzung der Compliance erfolgt schrittweise. Das Ziel besteht nicht darin, alles auf einmal zu ändern, sondern die größten Risiken schrittweise zu verringern.
Mit dieser Vorgehensweise lassen sich schnell sichtbare Ergebnisse erzielen: Beseitigung unkontrollierter Zugriffsrechte, namentlich zugeordnete Konten, bessere Nachverfolgbarkeit und Reduzierung der Angriffswege.
Wie Eziwan die Anforderungen von NIS2 erfüllt
Eziwan ist kein Ersatz für eine rechtliche Analyse, ein Compliance-Audit oder ein umfassendes Cybersicherheits-Governance-Konzept. Die Lösung erfüllt jedoch mehrere konkrete technische Anforderungen, die bei NIS2-Projekten in der Industrie auftreten.
| NIS2-Anforderung | Technische Lösung von Eziwan | Operativer Nutzen |
|---|---|---|
| Kontrolle des Fernzugriffs | Verschlüsseltes VPN, MFA, namentlich zugeordnete Konten | Reduzierung gemeinsamer und ungeschützter Zugriffe |
| IT/OT-Segmentierung | Gateway zwischen den Zonen positioniert | Beschränkter Zugriff auf die erforderlichen Ressourcen |
| Nachvollziehbarkeit | Zeitgestempelte Sitzungsprotokolle | Nachweise für Audits und Vorfallanalysen |
| Lieferantenmanagement | Rechte pro Dienstleister und Bereich | Bessere Kontrolle der Lieferkette |
| Widerruf | Schnelle Deaktivierung von Konten oder Regeln | Risikominderung bei Vertragsende |
| Überwachung | Benachrichtigungen und Zentralisierung | Transparenz über aktive Verbindungen |
| Ausfallsicherheit | Kontrollierte und dokumentierbare Architektur | Geringere Abhängigkeit von verstreuten Zugriffen |
Dieser Ansatz fügt sich nahtlos in die Seiten zu den Themen industrielle Konnektivität, sichere Cloud und Eziwan-Gateway ein.
Technische Checkliste für einen Industriestandort
Diese Checkliste bietet eine Arbeitsgrundlage für die Bewertung des Reifegrades einer Website im Hinblick auf die NIS2-Anforderungen. Sie ersetzt kein Audit, hilft jedoch bei der Prioritätensetzung.
| Bereich | Frage | Priorität |
|---|---|---|
| Bestandsaufnahme | Sind die angeschlossenen OT-Assets erfasst? | Hoch |
| Fernzugriff | Sind alle Zugriffe von Dienstleistern bekannt? | Hoch |
| Identität | Sind die Konten namentlich zugeordnet? | Hoch |
| MFA | Ist die starke Authentifizierung aktiviert? | Hoch |
| Segmentierung | Werden die IT-/OT-Datenflüsse gefiltert? | Hoch |
| Protokolle | Werden Fernverbindungen protokolliert? | Hoch |
| Lieferanten | Werden die Zugriffe von Lieferanten regelmäßig überprüft? | Mittel |
| Schwachstellen | Werden Patches und Abhilfemaßnahmen nachverfolgt? | Hoch |
| Notfallplan/Wiederherstellungsplan | Werden die Wiederherstellungsmaßnahmen getestet? | Hoch |
| Vorfall | Sind die Rollen und Alarmverfahren bekannt? | Hoch |
Der beste Ausgangspunkt ist oft der Fernzugriff, da er Identitätsmanagement, Segmentierung, Verschlüsselung, Anbieter und Protokolle in einem schnell überblickbaren Bereich bündelt.
Häufige Fallstricke bei industriellen NIS2-Projekten
Verschiedene Fehler verlangsamen die Compliance-Maßnahmen oder schwächen sie.
NIS2 auf eine Dokumentationsmappe reduzieren
Die Dokumentation ist unverzichtbar, muss jedoch tatsächliche Maßnahmen widerspiegeln. Eine Richtlinie für den Fernzugriff reicht nicht aus, wenn an den Standorten nicht inventarisierte Modems oder gemeinsam genutzte Konten vorhanden sind.
IT-Methoden kopieren, ohne sie an die OT anzupassen
Das OT schreibt Vorgaben hinsichtlich Verfügbarkeit, Sicherheit, Qualifizierung der Ausrüstung und Wartungszyklen vor. Die Maßnahmen müssen angepasst, getestet und gemeinsam mit den Produktionsteams validiert werden.
Die Dienstleister vergessen
Systemintegratoren, Maschinenhersteller und Wartungstechniker verfügen oft über die sensibelsten Zugriffsrechte. Die Verwaltung dieser Rechte muss in das NIS2-Programm integriert werden, mit namentlich zuordenbaren Konten, begrenzten Gültigkeitsdauern und regelmäßigen Überprüfungen.
VPN und Sicherheit verwechseln
Ein VPN verschlüsselt zwar einen Tunnel, garantiert aber für sich genommen keinerlei Zugriffsrechte, Rückverfolgbarkeit, Segmentierung oder Widerrufsmöglichkeiten. Sicherheit ergibt sich aus dem Gesamtkonzept: Identität, Regeln, Protokolle, Überwachung und Verfahren.
Quellen und nützliche Hinweise
Um die Entwicklungen im regulatorischen Rahmen und bei den bewährten Praktiken zu verfolgen, empfiehlt es sich, offizielle Quellen und anerkannte Referenzwerke heranzuziehen.
Diese Referenzen müssen durch die geltenden nationalen Rechtsvorschriften und die für jede Organisation spezifischen branchenspezifischen Anforderungen ergänzt werden.
Fazit
Die NIS2-Konformität in der Industrie hängt von den operativen Details ab: eine genaue Bestandsaufnahme der OT-Assets, kontrollierte Fernzugriffe, die Segmentierung von IT und OT, namentlich zugeordnete Konten, auswertbare Protokolle, Lieferantenmanagement, die Überwachung von Schwachstellen und getestete Geschäftskontinuität. Erst diese konkreten Nachweise ermöglichen den Übergang von einer bloßen Sicherheitsabsicht zu einer vertretbaren Sicherheitslage.
Eziwan bietet eine gezielte technische Lösung für einen der heikelsten Punkte: die sichere industrielle Konnektivität. Durch die Zentralisierung der Fernzugriffe über ein Gateway, das Filtern der Datenströme, das Protokollieren der Sitzungen und die Schaffung von Transparenz für die Teams vor Ort hilft die Lösung Industrieunternehmen dabei, ihre Sicherheitsrisiken zu verringern und einen wesentlichen Teil ihres NIS2-Ansatzes zu strukturieren.
Weiterführende Informationen
- NIS2 Industrie – die für industrielle Betreiber und OIV/OSE geltenden NIS2-Verpflichtungen
- Industrielle Cybersicherheit – Schützen Sie Ihre OT-Infrastrukturen und erfüllen Sie die gesetzlichen Anforderungen
- Industrieller Fernzugriff – Sichern Sie Fernzugriffe gemäß den NIS2-Anforderungen
- Industrielles VPN – Verschlüsseln Sie den Datenverkehr zu Ihren Steuerungen und OT-Geräten
- Cybersicherheit beim OT-Fernzugriff – Best Practices zur Absicherung des Fernzugriffs auf OT-Netzwerke