Maschinenbau und Betreiber zwischen Maschinenverordnung, NIS2 und OT-Security

Problem in der Praxis

Drei Verwechslungen wiederholen sich. Betreiber schließen von der CE-Kennzeichnung auf sicheren Betrieb; sie belegt aber nur die Produktkonformität beim Inverkehrbringen, nicht die Sicherheit über Jahrzehnte im konkreten Netz. Hersteller halten NIS2 für ein Thema der kritischen Infrastrukturen und übersehen, dass Anhang II weit in das verarbeitende Gewerbe hineinreicht. Und auf Projektebene formulieren NIS2-Programme Produktanforderungen oder CE-Projekte erklären die Organisationspflichten für erledigt; beides geht an der Rechtslage vorbei.

Dazu kommt die Beschaffungslücke: Maschinen werden ohne Security-Anforderungen eingekauft, die NIS2-Pflicht zur Lieferkettensicherheit bleibt formal, weil der Einkauf nichts abruft. Und der Maschinenpark bleibt auf Jahrzehnte gemischt: Bestandsmaschinen nach der Maschinenrichtlinie 2006/42/EG bleiben rechtmäßig im Feld (Art. 52 MVO schützt die Bereitstellung vor dem 20.01.2027 in Verkehr gebrachter Produkte), die MVO wirkt nicht zurück.

CISO-Einordnung

Tragfähig ist ein Modell mit drei Ebenen:

• Produktrecht (MVO): verpflichtet, wer Maschinen, dazugehörige Produkte (auch Software als Sicherheitsbauteil, Art. 3 Nr. 3) oder unvollständige Maschinen in Verkehr bringt; Kapitel II adressiert Hersteller, Bevollmächtigte, Einführer und Händler. Betreiber erreicht die Verordnung nur mittelbar; am schärfsten: Wer eine Maschine nach dem Inverkehrbringen wesentlich verändert, physisch oder digital, kann selbst als Hersteller gelten (Art. 18; Fachartikel zur wesentlichen Veränderung).
• Organisationsrecht (NIS2/BSIG): verpflichtet Einrichtungen. Der NIS2-Anhang II führt unter dem Sektor verarbeitendes Gewerbe/Herstellung von Waren den Teilsektor Maschinenbau (Wirtschaftstätigkeiten nach NACE Rev. 2, Abschnitt C Abteilung 28), daneben weitere Herstellungs-Teilsektoren wie den Fahrzeugbau. Betroffenheit hängt an Größe und Kategorie (grundsätzlich mittlere und große Unternehmen; in Deutschland besonders wichtige und wichtige Einrichtungen). Betroffenheitsanalyse und deutsche Systematik einschließlich der Bereichsausnahmen des § 28 BSIG behandelt der Fachartikel zur NIS2-Betroffenheit.
• Betriebspraxis (OT-Security): Die IEC-62443-Reihe strukturiert die Umsetzung mit Rollenmodell (Asset Owner, System Integrator, Product Supplier), Zones & Conduits und Security Levels; der OT-Track trägt diese Strecke vollständig.

Der Berührungspunkt der Ebenen ist die Maschine selbst. Anhang III 1.1.9 ("Schutz gegen Korrumpierung") und 1.2.1 (sichere Steuerungen) sind die produktseitige Hälfte einer Arbeitsteilung: Die Maschine muss so gebaut sein, dass angeschlossene Einrichtungen oder Fernzugriff nicht zu einer gefährlichen Situation führen; konformitätsrelevante Software und Daten sind zu kennzeichnen und zu schützen; die Maschine muss die für den sicheren Betrieb erforderliche installierte Software identifizieren können und Nachweise über Eingriffe sammeln. Steuerungen müssen auch "vernünftigerweise vorhersehbare böswillige Versuche Dritter" aushalten; hinzu kommen Rückverfolgungsprotokolle zu Sicherheitssoftware-Versionen und bei selbstentwickelnden Systemen zu Entscheidungsdaten.

Die andere Hälfte bleibt betreiberseitig: Segmentierung in Zonen und Conduits, Zugriffssteuerung, Patch-Prozesse, Monitoring, Incident Response. Die Produktfähigkeiten machen diese Kontrollen wirksamer, ersetzen sie aber nicht; umgekehrt bleibt eine MVO-konforme Maschine im unsegmentierten Netz ein erreichbares Ziel.

Umsetzungsperspektive

Maschinenbauer als Einrichtung: NIS2-Betroffenheitsanalyse je Gesellschaft und Tätigkeit führen (Vorgehen im NIS2-Track). Greift das Regime, gelten die Organisationspflichten für die eigene IT und OT, und die eigene Fertigung ist selbst OT-Scope: Werkzeugmaschinen, Prüfstände und Montagelinien sind mit derselben Zonen- und Schutzlevel-Logik zu behandeln wie Kundenanlagen.

Maschinenbauer als Hersteller: Anhang-III-Anforderungen in Konstruktion und Konformitätsbewertung verankern (Fachartikel zu den Cybersecurity-Anforderungen und zur Umsetzungs-Roadmap). NIS2 verpflichtet den Hersteller nicht unmittelbar produktbezogen, aber NIS2-regulierte Kunden müssen die Sicherheit ihrer Lieferkette als Pflichtbereich ihres Risikomanagements behandeln (Art. 21 der Richtlinie; NIS2-Track) und reichen Anforderungen vertraglich weiter: Nachweisbare 1.1.9/1.2.1-Fähigkeiten, Softwarestand-Transparenz und Update-Prozesse werden zum Einkaufskriterium.

Betreiber: Der stärkste Hebel ist die Beschaffung. Ab dem 20.01.2027 ist MVO-Konformität für Neumaschinen ohnehin Pflicht; die nutzbaren Fähigkeiten muss der Einkauf explizit abrufen: Zugriff auf das Software-Inventar, Eingriffs-Nachweise und Protokolle in auswertbarer Form, Security-relevante Angaben in der Betriebsanleitung. Für Bestandsmaschinen gilt Kompensation statt Illusion: Zonen und Conduits, restriktive Zugriffspfade, Überwachung der Übergänge, risikobasierte Ziel-Schutzlevel je Zone (OT-Track). Retrofit- und Software-Projekte brauchen einen Prüfschritt zur wesentlichen Veränderung, damit der Betreiber nicht unbemerkt in die Herstellerrolle rutscht.

Typische Fehler

1. Die CE-Kennzeichnung wird als Nachweis für OT-Sicherheit im laufenden Betrieb gewertet.
2. Die NIS2-Betroffenheit wird verneint, weil man sich nicht als kritische Infrastruktur sieht; der Anhang-II-Teilsektor Maschinenbau wird übersehen.
3. Produkt-Compliance (MVO) und Organisations-Security (NIS2) laufen ohne definierte Schnittstelle.
4. Der Einkauf beschafft Maschinen ohne Security-Anforderungen; die Lieferkettenpflicht bleibt Papier.
5. Es wird erwartet, die MVO wirke auf Bestandsmaschinen zurück oder NIS2 stelle Produktanforderungen.
6. Retrofits und Software-Nachrüstungen laufen ohne Prüfung der wesentlichen Veränderung.

Risiken und Trade-offs

Zwischen Integration und Trennung ist abzuwägen: Ein gemeinsames Programm für Produkt- und Organisations-Security spart Doppelarbeit, kann aber Verantwortlichkeiten verwischen, denn Produktkonformität ist Herstellerpflicht mit CE-Haftung, Organisationspflichten liegen bei der Leitung der Einrichtung. Tragfähig ist meist: getrennte Verantwortung, gemeinsame Methoden. Auf Betreiberseite steht das Anspruchsniveau der Beschaffung gegen Marktverfügbarkeit und Kosten: Nach dem Stichtag definiert die MVO das produktrechtliche Minimum, nicht das betrieblich nötige Niveau. Für den Bestand ist Kompensation dauerhaft teurer als eingebaute Produktfähigkeiten, für viele Jahre aber alternativlos; wer jede Altmaschine sofort ersetzen will, tauscht ein Security-Risiko gegen Investitions- und Verfügbarkeitsrisiken.

Entscheidungspunkte

• Sind wir je Gesellschaft und Tätigkeit NIS2-Einrichtung, und wer stellt das dokumentiert fest?
• Wer verantwortet Produkt-Security (MVO), wer Organisations-Security (NIS2/BSIG), und wie ist die Schnittstelle definiert?
• Welche Security-Eigenschaften und Nachweise verlangen wir in jeder Maschinenbeschaffung?
• Wie binden wir Software-Inventar, Eingriffs-Nachweise und Protokolle in Asset-Management, Detektion und Incident Response ein?
• Nach welcher Logik kompensieren wir Bestandsmaschinen, und welches Ziel-Schutzlevel gilt je Zone?
• Wie stellen wir bei Retrofits die Prüfung der wesentlichen Veränderung sicher?

Praktische Empfehlungen

1. Trennen Sie in der Governance Produktrecht (MVO) und Organisationsrecht (NIS2/BSIG) und benennen Sie je Ebene eine verantwortliche Rolle samt Schnittstelle.
2. Führen Sie als Maschinenbauer die NIS2-Betroffenheitsanalyse durch und behandeln Sie die eigene Fertigung als OT-Scope.
3. Verankern Sie Security-Anforderungen und Nachweispflichten in Lastenheften und Verträgen; rufen Sie die Fähigkeiten neuer Maschinen aktiv ab.
4. Binden Sie Software-Inventar, Eingriffs-Nachweise und Protokolle neuer Maschinen in Asset-Management, Detektion und Forensik ein.
5. Kompensieren Sie Bestandsmaschinen über Zonen, Conduits und risikobasierte Schutzlevel, statt auf rückwirkende Produktkonformität zu hoffen.
6. Etablieren Sie einen festen Prüfschritt zur wesentlichen Veränderung für Retrofit- und Software-Projekte.

Relevante Normreferenzen

• EU-Maschinenverordnung (Verordnung (EU) 2023/1230): Produktrecht; Anhang III 1.1.9 und 1.2.1; Wirtschaftsakteure (Kapitel II); wesentliche Veränderung (Art. 18); Übergang (Art. 52); Geltung ab 20.01.2027. EU-Recht, frei zitierbar mit Quellenangabe.
• Richtlinie (EU) 2022/2555 (NIS2): Organisationsrecht; Anhang II mit dem Teilsektor Maschinenbau (NACE Rev. 2, Abschnitt C Abteilung 28) unter dem Sektor verarbeitendes Gewerbe; verbindlich über die nationale Umsetzung.
• BSIG in der geltenden Fassung: deutsche NIS2-Umsetzung; Kategorien und Bereichsausnahmen im NIS2-Track; Fassungsstand prüfen.
• IEC/ISA 62443: OT-Security-Referenz (Rollenmodell, Zones & Conduits, Security Levels); kostenpflichtig, nur als Konzeptbezug referenziert; Vertiefung im OT-Track.
• Cyber Resilience Act (Verordnung (EU) 2024/2847): mögliches paralleles Produktregime für Maschinen mit digitalen Elementen; Fachartikel zum Zusammenspiel mit CRA und RED.