In der industriellen Welt wurde regulatorische Compliance oft als eine Art Abhakübung betrachtet. Oder kürzer gesagt: als eine Hürde für die IT, die es zu nehmen gilt, während die „eigentliche Arbeit“ der Produktion in der Fertigung weiterläuft. Mit der vollständigen Umsetzung der NIS2-Richtlinie in ganz Europa ist es jedoch an der Zeit, weit über bloße Checklisten hinauszudenken, um eine nachweisbare Compliance zu ermöglichen, die dauerhaft aufrechterhalten werden kann.

Wenn Sie Betreiber wesentlicher oder kritischer und öffentlich zugänglicher Dienste sind, reicht es nicht mehr aus, lediglich einen zufriedenstellenden Wert für die OT-Sicherheit zu erzielen; Sie benötigen eine prüfbare, risikobasierte Resilienz. Wie viele von uns wissen, gibt es für die Operational Technology (OT)-Umgebung keinen besseren „How-to“-Leitfaden zur Erfüllung dieser gesetzlichen Anforderungen als die IEC 62443-Reihe.

Bevor wir fortfahren, vergessen Sie nicht, unseren vorherigen Blogbeitrag über „Beobachteter Rückgang chinesischer APT-Operationen im Zuge der PLA-Säuberung 2026“ hier anzusehen.

Das NIS2-Mandat vs. der IEC 62443-Blueprint

NIS2 ist das geltende Cybersicherheitsrecht. Es sagt Ihnen, was Sie erreichen müssen: robustes Risikomanagement, Meldung von Vorfällen, Risikoverantwortung und Sicherheit der Lieferkette. Zwar sind die allgemeinen Empfehlungen detailliert, doch es mangelt bekanntermaßen an technischen Spezifikationen.

IEC 62443 ist der technische Leitfaden für industrielle Cybersicherheit. Er liefert die detaillierten Kontrollen und Prozessanforderungen für Industrial Automation and Control Systems (IACS). Wenn Sie Ihr OT-Sicherheitsprogramm an IEC 62443 ausrichten, folgen Sie nicht nur einem Standard. Sie schaffen vielmehr eine belastbare, risikobewusste Grundlage für die rechtliche Absicherung, die nachweist, dass Sie die „Stand der Technik“-Anforderung in NIS2 erfüllt haben.

Zuordnung der Kontrollen: So erfüllen Sie die Anforderungen

Um von Worten zu konkreten Schritten zu gelangen, müssen wir Artikel 21 der NIS2 betrachten, der zehn spezifische Sicherheitsmaßnahmen vorschreibt. Im Folgenden zeigt IEC 62443, wie sich die wichtigsten Säulen umsetzen lassen:

1. Risikoanalyse und Sicherheit von Informationssystemen

NIS2 verlangt einen proaktiven risikobasierten Ansatz.

• Die IEC 62443-Lösung: IEC 62443-3-2 ist hier relevant. Sie schreibt einen „Zones and Conduits“-Ansatz vor. Durch die Aufteilung Ihrer Anlage in Zonen auf Basis von Risiko und Kritikalität können Sie Ihren wichtigsten Assets oder Kronjuwelen (z. B. Safety-Controllern) einen höheren Security Level (SL) zuweisen, während für weniger kritische Systeme niedrigere Level beibehalten werden. Ein solch granularer Ansatz hilft, die Sicherheitsanforderungen klar zu strukturieren und den Teams mehr Spielraum zu geben, die spezifischen Anforderungen der Assets als Teil einer Gruppe zu betrachten.  

2. Sicherheit der Lieferkette

Dies zählt eindeutig zu den schwierigsten Aspekten von NIS2. Sie sind nun auch für die Sicherheit Ihrer Lieferanten verantwortlich.

• Die IEC 62443-Lösung: Verlangen Sie von Ihren Lieferanten eine Zertifizierung nach IEC 62443-4-1 (Secure Product Development) und 4-2 (Technical Component Requirements). Dadurch verlagert sich die Nachweispflicht auf den Hersteller und stellt sicher, dass die von Ihnen gekauften PLCs und HMIs „secure by design“ sind. Anbieter sollten HBOMs und SBOMs vorhalten, aus denen die Herkunft der verschiedenen Komponenten sowie des Produkts selbst eindeutig hervorgeht.  

3. Behandlung von Vorfällen und Business-Continuity-Planung

Wenn etwas schiefläuft, verlangt NIS2 eine schnelle, strukturierte und dokumentierte Reaktion.

• Die IEC 62443-Lösung: IEC 62443-2-1 bietet den Rahmen für ein OT-spezifisches Cybersecurity Management System (CSMS). Anders als herkömmliche IT-Reaktionspläne konzentriert es sich auf die Sicherstellung hoher Verfügbarkeit und physischer Sicherheit, ohne dabei irgendwelche Parameter zu beeinträchtigen.

4. Grundlegende Cyberhygiene und MFA

NIS2 nennt ausdrücklich Multi-Faktor-Authentifizierung (MFA) und Hygiene.

• Die IEC 62443-Lösung: Die Grundanforderung 1 (FR1) in IEC 62443-3-3 beschreibt die technischen Kontrollen für Berechtigungs- und Zugriffsmanagement einschließlich Identifikation und Authentifizierung eindeutig. Sie liefert die Roadmap zur Umsetzung einer robusten Zugriffskontrolle in Umgebungen, in denen eine herkömmliche MFA ältere Echtzeitprozesse beeinträchtigen könnte. IEC 62443-3-3 behandelt diese Anforderung als Basisanforderung.

  

Praktische Umsetzung

Wenn Sie 2026 mit Ihrer NIS2-Compliance-Reise beginnen, versuchen Sie nicht, alles auf einmal umzusetzen. Stattdessen empfehlen wir folgende Reihenfolge:

• Definieren Sie Ihr „System under Consideration“ (SuC): Verwenden Sie 2-1, um den Anwendungsbereich von NIS2 abzugrenzen. Vergessen Sie Ihre Remote-Access-Gateways und IIoT-Sensoren nicht.

• Führen Sie Schulungen zu IEC 62443 und NIS2 durch, um das praxisnahe Bewusstsein bei den Mitarbeitenden zu stärken.

• Führen Sie eine übergeordnete Risiko- und Gap-Analyse durch: Nutzen Sie 3-2, um Ihre „Kronjuwelen“ zu identifizieren. Gruppieren Sie diese in Zonen.

• Bestimmen Sie die Ziel-Security Levels (SL-T): Legen Sie für jede Zone fest, ob Sie SL-2 (Schutz vor einfachen Angriffen), SL-3 (Schutz vor gezielten Angreifern) oder SL-4 (Schutz vor staatlichen Akteuren) benötigen.

• Führen Sie eine Gap-Analyse durch: Vergleichen Sie Ihre aktuellen Fähigkeiten (SL-A) mit Ihren Zielwerten (SL-T) anhand der technischen Anforderungen in 3-3. Diese Lückenliste wird zu Ihrem Investitionsfahrplan für NIS2.

NIS2 sieht bei Nichteinhaltung erhebliche Sanktionen vor, einschließlich persönlicher Haftung für Führungskräfte auf C-Level. Aus Sicht der Aufsichtsbehörde reicht ein „Best Effort“-Ansatz nicht mehr aus. Durch die Einführung von IEC 62443 wechseln Sie von einer „vagen Hoffnung“ auf Sicherheit zu einer messbaren, prüfbaren Sicherheitslage, die sowohl Ihre Produktionslinie als auch Ihre rechtliche Position schützt.

Benötigen Sie Unterstützung bei Ihren Anforderungen an die regulatorische Compliance? Sprechen Sie mit unserem Experten.

Mehr über unsere NIS2-Compliance-Services.

Erfahren Sie mehr über die Incident-Response-Services von Shieldworkz

Testen Sie unsere OT-Sicherheitsplattform hier.

Laden Sie unsere Checkliste „OT-Sicherheit für die Vor-Ort-Wartung“ hier herunter.