01
Wichtige statt besonders wichtige Einrichtung
Anhang II bedeutet niedrigere Sanktionen als Anhang I, aber dieselben Pflichten in den zehn Mindestmaßnahmen nach § 30 BSIG. Aufsicht ist reaktiv statt proaktiv, kommt aber bei einem Vorfall.
Ob die Pflichten greifen, hängt von der Unternehmensgröße ab. Für Werke mit OT-Anlagen kommen IEC 62443 und Lieferanten-Anforderungen hinzu. OdySecure, die Sicherheitsplattform von Cybervize, deckt ISMS, OT-Assessment und Lieferantenrisiko in einer Lösung ab.
NIS-2-Risiko-Check buchenRegelfall nach § 28 BSIG. Berechnung der Kennzahlen in Jahresarbeitseinheiten, Zurechnung von Partner- und verbundenen Unternehmen, Sondertatbestände und die abschließende Einordnung brauchen eine Einzelfallprüfung.
Ein Maschinenbauer trägt zwei Rollen zugleich: Er betreibt eigene Fertigung und liefert Produkte mit digitalen Elementen. Daraus folgen unterschiedliche Anforderungen, die sich in der Praxis überschneiden. In OdySecure liegen sie im selben Katalog und teilen eine Datenbasis.
NIS-2 kommt hinzu, wenn die Schwellen des § 28 BSIG greifen. Die Einordnung dazu steht weiter unten.
Vier Konsequenzen, die sich aus der Einordnung oben ergeben. Sektor allein reicht nicht: Die Einordnung als wichtige oder besonders wichtige Einrichtung hängt zusätzlich von Größenwerten und konkreter Tätigkeit ab. Die rechtliche Bewertung der Betroffenheit bleibt einer spezialisierten Kanzlei vorbehalten.
Anhang II bedeutet niedrigere Sanktionen als Anhang I, aber dieselben Pflichten in den zehn Mindestmaßnahmen nach § 30 BSIG. Aufsicht ist reaktiv statt proaktiv, kommt aber bei einem Vorfall.
Werks-Steuerungen, SCADA-Systeme und Engineering-Workstations sind Teil des Cybersicherheits-Scopes, nicht nur die Office-IT. IEC 62443 wird zur sinnvollen Anschluss-Norm.
Wenn Sie an OEMs liefern, die unter Anhang I fallen, bekommen Sie deren Lieferanten-Audits durchgereicht. NIS-2 macht aus Lieferanten-Compliance einen Vertragsbestandteil.
Erstmeldung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden, Abschlussbericht spätestens nach einem Monat. Mit Excel-ISMS schwer einzuhalten.
Aus den zehn Mindestmaßnahmen nach § 30 BSIG fünf mit konkreter Maschinenbau-Übersetzung.
Praktisch: Risiko-Register, das Office-IT und Werks-OT trennt aber zusammenführt. Werks-Steuerungen mit eigener Bewertung, weil Risiken (Ausfall der Produktion) anders sind als Office-Risiken (Datenverlust).
Lieferanten-Inventar mit Kritikalitäts-Bewertung, dokumentierte Sicherheitsanforderungen in Verträgen, Konzentrationsrisiko bei Single-Source-OT-Lieferanten. TISAX-Anforderungen können hier andocken, falls Automotive-Kunden.
Patch-Management für Werks-Anlagen, sichere Beschaffung neuer Steuerungen, Fernwartungs-Zugänge für Maschinen-Hersteller dokumentiert.
Incident-Response-Plan, der zwischen Office-IT-Vorfall und Werks-Stillstand unterscheidet. Eskalationswege ans BSI mit dokumentierten 24- und 72-Stunden-Fristen.
BCM-Plan für Produktions-Ausfälle, RTO und RPO pro kritischer Maschine, Wiederanlauf-Reihenfolge dokumentiert. Mehr als Office-Backup, weil Werks-Stillstand sechsstellige Tagessätze kostet.
OdySecure deckt ISMS, BCM, Third-Party Risk Management und Assessment in einer Lösung ab. Für Maschinenbau-Häuser besonders relevant: Multi-Standort-Assessment, OT-Module und Lieferanten-Risiko.
Kostenloses 30-Minuten-Erstgespräch mit indikativer NIS-2-Einordnung, Top-5-Lücken und Pfad-Empfehlung.
Mehr erfahrenISMS, Compliance und Nachweisführung aus einer Plattform. Multi-Entity, Multi-Country, KI-gestützt.
Mehr erfahrenDie Plattform, dauerhafte CISO-Funktion zubuchbar. Für Häuser ohne eigenen CISO.
Mehr erfahrenGap-Assessment, Roadmap, Implementierung über die Plattform. Festpreis ab 4.500 Euro.
Mehr erfahrenSelbst-Check verfügbar
Kostenfrei, ohne Anmeldung, etwa 5 Minuten. Detail-Auswertung optional per Email.
Kein Kundenbericht, sondern wiederkehrende Muster aus Gesprächen mit OT- und Sicherheitsverantwortlichen, und daneben, wie die Plattform sie abbildet.
Ein Hersteller mit vier Werken in drei Ländern muss den Sicherheitsstand jedes Werks kennen, nicht nur den des Hauptstandorts. Die Prüfung soll in einem festen Rhythmus laufen, etwa einem Dreijahreszyklus entlang IEC 62443-2-1, und sie soll vergleichbar sein. Vier Werke, die auf eigene Faust prüfen, ergeben vier Wahrheiten und keinen Konzernüberblick.
Der Zyklus läuft als Kampagne über alle Werke, mit demselben Fragenkatalog und demselben Bewertungsmaßstab. Jedes Werk sieht seinen eigenen Fortschritt, die Konzernebene sieht alle Werke nebeneinander. Entscheidend ist der freigegebene Snapshot: Er friert den Stand zum Freigabezeitpunkt ein. Damit ist im nächsten Audit nicht nur belegbar, wie der Stand heute ist, sondern auch, wie er vor zwei Jahren war und was sich seither verändert hat.
Sobald eine Anlage projektiert wird, muss geklärt sein, was sie sicherheitstechnisch mitbringt und was nicht. Nachrüsten ist teuer und bei OT-Anlagen mit Laufzeiten von zehn Jahren und mehr oft gar nicht möglich. Üblich ist ein zweistufiger Ablauf: erst intern klären, welche Anforderungen gelten, dann mit dem Anlagenlieferanten durchgehen, was er davon erfüllt. Der interessante Teil ist der Rest, denn kein Lieferant erfüllt alles.
Beide Stufen laufen als eigenständige Assessments mit Phasen- und Abschnittsstatus, die Fragebögen hängen als Dokumente daran. Die interne Vorabklärung muss abgeschlossen sein, bevor die Lieferantenstufe startet, sonst verhandelt man über Anforderungen, die man selbst noch nicht kennt. Was der Lieferant nicht erfüllen kann, bleibt als Finding stehen und wird zu einer kompensierenden Maßnahme im eigenen Haus, mit Zuständigkeit. Im Audit ist damit beantwortet, warum eine Anlage trotz bekannter Lücke betrieben wird.
Der laufende OT-Sicherheitsbetrieb besteht aus wiederkehrenden Pflichten: täglicher Patch-Check, wöchentliches Schwachstellen-Review, jährlich der fällige Health-Check je Werk. Viele Häuser haben sich dafür eine Ticketing-Lösung auf einer Low-Code-Plattform gebaut. Die funktioniert, bis der Kollege wechselt, der sie gebaut hat, und sie hat keine Verbindung zum ISMS.
Der Rhythmus ist als wiederkehrende Aufgaben hinterlegt, mit Status, Schweregrad, Fälligkeit und Zuständigkeit, je Werk. Bewusst als Aufgaben und nicht als Maßnahmen modelliert, denn Betriebsroutine ist kein Sicherheitsnachweis. Sie erscheint deshalb nicht in der Sicherheitsstruktur und bläht den Maßnahmen-Graphen nicht auf. Wer beides vermischt, kann später nicht mehr zeigen, welche Maßnahme tatsächlich ein Risiko adressiert.
Branchen-Erfahrung in produzierendem Gewerbe und KRITIS-Betreibern aus 25 Jahren ISMS-Führungspraxis bei PwC, Deloitte und KPMG. Die Plattform-Methodik wurde im Rahmen der BMFTR-StartupSecure-Förderung mit dem CISPA-Inkubator entwickelt.
Höchstwahrscheinlich ja. Anlage 2 des BSIG (NIS-2-Anhang II) erfasst das verarbeitende Gewerbe als wichtige Einrichtung, ab 50 Mitarbeitenden oder wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Maschinenbau zählt zu den NACE-Kategorien, die explizit genannt sind. Die verbindliche rechtliche Bewertung bleibt einer Kanzlei vorbehalten. Wir liefern die fachliche Vorab-Einordnung im 30-Minuten-Risiko-Check.
IEC 62443 ist nicht gesetzlich verpflichtend, aber bei Werks-OT der relevante Standard. NIS-2 verlangt die Mindestmaßnahmen, ohne IEC 62443 explizit zu benennen. In der Praxis dockt IEC 62443 sauber an die Risiko-Analyse-Pflicht aus §30 an. OdySecure mappt beide Kontroll-Sets aufeinander.
Legacy-OT ohne Update-Fähigkeit ist Realität in fast jedem Werk. NIS-2 verlangt nicht alle Maßnahmen technisch identisch, sondern angemessene Maßnahmen zum Stand der Technik. Kompensierende Kontrollen (Netzwerksegmentierung, Monitoring, physische Zugriffskontrollen) sind zulässig. Dokumentierte Risiko-Akzeptanz statt unter den Tisch gekehrt.
TISAX deckt viele Mindestmaßnahmen ab, aber nicht alle NIS-2-Pflichten. Insbesondere die Meldepflichten an das BSI (24- und 72-Stunden-Fristen), die Geschäftsführungs-Nachweise und die spezifische Lieferanten-Logik nach NIS-2 sind in TISAX nicht enthalten. OdySecure mappt TISAX und NIS-2 aus einem Kontroll-Set.
NIS-2-Gap-Assessment als Festpreis ab 4.500 Euro. Vollständige NIS-2-Readiness in der Regel in 8 bis 12 Wochen für ein- bis dreistandortige Häuser, ab 18.000 Euro Implementierung. Holdings mit mehreren Werken brauchen 16 bis 20 Wochen. Die exakte Aufwandsschätzung kommt aus dem Risiko-Check.
Kostenloser Risiko-Check mit indikativer NIS-2-Einordnung, Top-5-Lücken aus den Mindestmaßnahmen, Pfad-Empfehlung und Aufwandsschätzung. Idealerweise dabei: Werksleitung oder IT-Leitung plus Geschäftsführung.
NIS-2-Risiko-Check buchenWenn die Einordnung oben auf Ihr Haus zutrifft, beginnt der Weg nicht mit einem Projekt, sondern mit einer Standortbestimmung: Erst steht fest, welche Pflichten greifen und wo die Lücken sind, dann kommen die Module, die sie schließen.
Den Weg in fünf Stationen ansehenMitgliedschaften, Programme und Partnerschaften
Viele Unternehmen behandeln NIS2 wie ein Häkchen-Projekt. Doch Compliance ist nicht dasselbe wie Resilienz. Die Cross-Border Cybersecurity Tour #2 in Saarbrücken machte deutlich: Eine funktionierende Sicherheitsoperation schlägt jede Toolsammlung.
70 Prozent der KMU behandeln NIS2 als Pflichtübung. Doch wer die Richtlinie als strategischen Hebel begreift, kann Compliance in operative Exzellenz und echte Betriebsresilienz verwandeln.
Strukturierte NIS-2-Compliance: Gap-Assessment, Roadmap und Implementierung in 12 Wochen.
Mehr erfahrenKostenfreier Selbst-Check: Wo stehen Sie bei den zehn Pflichtbereichen aus §30 BSIG? 30 Fragen, Sofort-Ampel.
Mehr erfahrenDie zehn regulierten Sektoren, in denen OdySecure läuft.
Mehr erfahren