01
Wichtige Einrichtung mit reaktiver Aufsicht
Anhang II bedeutet niedrigere Sanktionen als Anhang I, aber dieselben zehn Mindestmaßnahmen nach § 30 BSIG. Aufsicht ist reaktiv, kommt aber bei einem Vorfall oder Audit-Findings.
Erfasst wird Automotive über die NACE-Kategorie Kraftwagen und Komponenten. TISAX ist dabei kein Gesetz, sondern eine vertragliche Anforderung der OEMs an ihre Zulieferer; UN R155 und R156 binden als Typgenehmigungsrecht primär die Fahrzeughersteller, nicht automatisch jeden Tier-1- oder Tier-2-Zulieferer. OdySecure, die Sicherheitsplattform von Cybervize, mappt NIS-2 und TISAX aus einem Kontroll-Set, plus OT-Module für die Werks-IT.
NIS-2-Risiko-Check buchenRegelfall nach § 28 BSIG. Berechnung der Kennzahlen in Jahresarbeitseinheiten, Zurechnung von Partner- und verbundenen Unternehmen, Sondertatbestände und die abschließende Einordnung brauchen eine Einzelfallprüfung.
Kaum ein Zulieferer hat es mit einer einzigen Anforderung zu tun. TISAX kommt aus den Kundenverträgen, IEC 62443 aus der Werks-OT, UN R155 und ISO/SAE 21434 aus dem Fahrzeug, NIS-2 aus dem Gesetz, jede mit eigener Systematik. In OdySecure liegen sie im selben Katalog und teilen sich eine Datenbasis, statt fünf getrennte Nachweisstränge zu erzeugen.
Katalog-Tiefe: „voll“ steht für einen vollständigen Kontrollkatalog, „Referenz“ für die Struktur mit Zuordnung auf die eigenen Maßnahmen. NIS-2 kommt hinzu, wenn die Schwellen des § 28 BSIG greifen. Die Einordnung dazu steht weiter unten.
OEMs und Tier-1-/Tier-2-Zulieferer tragen zusätzlich zur Einordnung oben vertragliche TISAX-Anforderungen aus der Automotive-Lieferkette. Vier Konsequenzen aus dieser Doppel-Regulierung für OEM-Zulieferer und Werks-Betreiber. Sektor allein reicht nicht: NIS-2-Anhang-II-Einordnung hängt von Größenwerten und konkreter Tätigkeit ab; TISAX bleibt vertragliche Anforderung, kein Gesetz. Die rechtliche Bewertung bleibt einer spezialisierten Kanzlei vorbehalten.
Anhang II bedeutet niedrigere Sanktionen als Anhang I, aber dieselben zehn Mindestmaßnahmen nach § 30 BSIG. Aufsicht ist reaktiv, kommt aber bei einem Vorfall oder Audit-Findings.
TISAX (Trusted Information Security Assessment Exchange) ist Industriestandard für OEM-Zulieferer. Audit-Level 1 bis 3 abhängig von Schutzbedarf. NIS-2 deckt viele TISAX-Anforderungen ab, aber nicht alle, und umgekehrt.
Produktions-Werke mit OT (Robotik, Pressen, Lackierung) und Engineering-Centern mit CAD- und Produktdaten haben unterschiedliche Risikolandschaften. Beide gehören zum NIS-2-Scope.
OEMs geben TISAX und NIS-2-Anforderungen an Zulieferer weiter. Tier-1-Zulieferer geben sie weiter an Tier-2-Zulieferer. Wer in einer Lieferkette steht, bekommt die Anforderungen vertraglich, auch wenn er selbst nicht direkt NIS-2-betroffen ist.
Fünf NIS-2-Mindestmaßnahmen, übersetzt in Automotive-Praxis (mit TISAX-Kreuzbezug).
Risiko-Register mit Werks-OT (Robotik, Pressen), Engineering-IT (CAD-Daten, Produkt-IP) und Office-IT. Schutzziele unterscheiden sich: Produktion = Verfügbarkeit, Engineering = Vertraulichkeit, Office = Integrität.
Lieferanten-Inventar mit Tier-Klassifikation und Kritikalität. TISAX-Status der Lieferanten dokumentiert, alternative Lieferanten für Single-Source-Komponenten identifiziert.
Beschaffungs-Prozess mit Security-Anforderungen für neue Produktions-Anlagen, Patch-Management mit Wartungsfenstern, Fernwartungs-Zugänge für Maschinen-Hersteller dokumentiert.
CAD-Daten und Produkt-IP verschlüsselt at-rest und in-transit, Schlüssel-Management dokumentiert, Daten-Klassifikation nach TISAX-Schutzbedarfsstufen.
MFA für Engineering-Workstations, Cloud-CAD-Plattformen und Lieferanten-Portale. Privilegierte Konten gesondert. Zugriffsrechte regelmäßig rezertifiziert.
OdySecure deckt ISMS, Assessment (NIS-2 plus TISAX), TPRM und BCM in einer Lösung ab. Für Automotive besonders relevant: TISAX-Mapping, Multi-Werks-Assessment, Lieferanten-Tier-Logik.
Kostenloses 30-Minuten-Erstgespräch mit indikativer NIS-2-Einordnung, Top-5-Lücken und Pfad-Empfehlung.
Mehr erfahrenISMS, Compliance und Nachweisführung aus einer Plattform. Multi-Entity, Multi-Country, KI-gestützt.
Mehr erfahrenDie Plattform, dauerhafte CISO-Funktion zubuchbar. Für Häuser ohne eigenen CISO.
Mehr erfahrenGap-Assessment, Roadmap, Implementierung über die Plattform. Festpreis ab 4.500 Euro.
Mehr erfahrenSelbst-Check verfügbar
Kostenfrei, ohne Anmeldung, etwa 5 Minuten. Detail-Auswertung optional per Email.
Kein Kundenbericht, sondern wiederkehrende Muster aus Gesprächen mit OT- und Sicherheitsverantwortlichen, und daneben, wie die Plattform sie abbildet.
Wer an mehreren Standorten fertigt, muss den Sicherheitsstand jedes Werks kennen, nicht nur den der Zentrale. Kundenaudits und Anforderungen der Hersteller fragen nach dem Standort, an dem das Teil entsteht. Die Prüfung muss deshalb je Werk vorliegen, in festem Rhythmus und nach demselben Maßstab. Vier Werke, die auf eigene Faust prüfen, ergeben vier Wahrheiten.
Der Zyklus läuft als Kampagne über alle Standorte, mit demselben Fragenkatalog und Bewertungsmaßstab, etwa entlang IEC 62443-2-1. Jedes Werk sieht seinen Fortschritt, die Konzernebene alle nebeneinander. Der freigegebene Snapshot friert den Stand zum Freigabezeitpunkt ein. Im Kundenaudit ist damit nicht nur der heutige Stand belegbar, sondern auch der von vor zwei Jahren und was sich seither verändert hat.
Fertigungsanlagen laufen zehn Jahre und länger. Was bei der Projektierung nicht gefordert wurde, lässt sich später oft nicht nachrüsten. Üblich ist ein zweistufiger Ablauf: erst intern klären, welche Sicherheitsanforderungen für diese Anlage gelten, dann mit dem Anlagenlieferanten durchgehen, was er davon erfüllt. Kein Lieferant erfüllt alles, und genau der Rest entscheidet.
Beide Stufen laufen als eigenständige Assessments mit Phasen- und Abschnittsstatus, die Fragebögen hängen als Dokumente daran. Die interne Klärung muss abgeschlossen sein, bevor die Lieferantenstufe startet. Was der Lieferant nicht erfüllen kann, bleibt als Finding stehen und wird zu einer kompensierenden Maßnahme im eigenen Haus, mit Zuständigkeit. Damit ist belegbar, warum eine Anlage trotz bekannter Lücke betrieben wird und was stattdessen abgesichert wurde.
Sicherheitskennzahlen scheitern selten an der Messung und fast immer an der Übersetzung. Der Vorstand will drei Zahlen und eine Richtung, das ISMS-Management will die Struktur dahinter, die operative Ebene will wissen, welches Werk woran hakt. Dazu kommt: Jedes Haus hat eigene Begriffe, und ein Werkzeug, das die eigenen Begriffe nicht spricht, wird nicht benutzt.
Die Kennzahlen sind kanonisch nach ISO/IEC 27004 modelliert, mit der Unterscheidung zwischen Leistungs- und Wirksamkeitsmessung und der Kette von der Basismessgröße bis zum Ziel. Nach außen sind die Begriffe je Mandant umbenennbar: Eine Terminologie-Tabelle bildet die Normbegriffe auf das Wording des Hauses ab. Auf derselben Datenbasis stehen drei Sichten bereit, für Vorstand, ISMS-Management und Betrieb, je Werk mit Ampel und Konzernrollup.
Branchen-Erfahrung in Automotive und produzierendem Gewerbe aus 25 Jahren ISMS-Praxis bei PwC, Deloitte und KPMG. TISAX-Erfahrung von OEM- und Tier-1-Mandaten. Plattform deckt TISAX und NIS-2 aus einem Kontroll-Set ab.
TISAX deckt viele NIS-2-Mindestmaßnahmen ab, aber nicht alle. Insbesondere BSI-Meldepflichten (24/72-Stunden), Geschäftsführungs-Nachweise und die NIS-2-spezifische Lieferanten-Logik sind in TISAX nicht enthalten. OdySecure mappt beide aus einem Kontroll-Set, sodass die Doppel-Arbeit entfällt.
Tier-2-Zulieferer bekommen NIS-2- und TISAX-Anforderungen vertraglich von Tier-1-Lieferanten oder OEMs durchgereicht. In der Praxis bedeutet das: Lieferanten-Fragebögen mit ähnlicher Detailtiefe wie NIS-2-Pflichten, ohne dass Sie direkt unter NIS-2 fallen. Strukturierte Antworten sind eine Wettbewerbs-Frage.
Produkt-IP und CAD-Daten gehören zu den Engineering-Assets mit höchster Vertraulichkeits-Klassifikation. NIS-2 verlangt Verschlüsselung, Zugriffskontrolle und dokumentierte Datenflüsse. TISAX hat eigene Schutzbedarfsstufen für „Hohe" und „Sehr hohe" Vertraulichkeit, die direkt darauf passen.
Nein. Die Plattform erlaubt differenzierte Reifegrade pro Werk. Ältere Werke mit Legacy-OT und Greenfield-Werke mit modernen Anlagen haben unterschiedliche Risikolandschaften und kompensierende Kontrollen. Wichtig ist Dokumentation der Differenzierung, nicht Einheits-Vorgabe.
Plattform-Lizenz skaliert nach MA-Zahl und Standort-Anzahl. Multi-Werk-Rollout typisch 16 bis 20 Wochen für drei bis fünf Werke in Deutschland, länger bei internationalen Tochtergesellschaften. Genaue Indikation kommt aus dem Risiko-Check.
Kostenloser Risiko-Check mit indikativer NIS-2-Einordnung, TISAX-Status-Indikator und Pfad-Empfehlung. Idealerweise dabei: IT-Leitung oder TISAX-Verantwortliche plus Geschäftsführung.
NIS-2-Risiko-Check buchenWenn die Einordnung oben auf Ihr Haus zutrifft, beginnt der Weg nicht mit einem Projekt, sondern mit einer Standortbestimmung: Erst steht fest, welche Pflichten greifen und wo die Lücken sind, dann kommen die Module, die sie schließen.
Den Weg in fünf Stationen ansehenVertiefung ohne Verkaufsabsicht: die Fachgrundlagen aus der Cybervize-Wissensbasis.
Mitgliedschaften, Programme und Partnerschaften
Viele Unternehmen behandeln NIS2 wie ein Häkchen-Projekt. Doch Compliance ist nicht dasselbe wie Resilienz. Die Cross-Border Cybersecurity Tour #2 in Saarbrücken machte deutlich: Eine funktionierende Sicherheitsoperation schlägt jede Toolsammlung.
70 Prozent der KMU behandeln NIS2 als Pflichtübung. Doch wer die Richtlinie als strategischen Hebel begreift, kann Compliance in operative Exzellenz und echte Betriebsresilienz verwandeln.
Strukturierte NIS-2-Compliance: Gap-Assessment, Roadmap und Implementierung in 12 Wochen.
Mehr erfahrenKostenfreier Selbst-Check: Wo stehen Sie bei den zehn Pflichtbereichen aus §30 BSIG? 30 Fragen, Sofort-Ampel.
Mehr erfahrenDie zehn regulierten Sektoren, in denen OdySecure läuft.
Mehr erfahren