Aktualisiert für das EU-Cybersicherheitspaket vom Januar 2026 und den aktuellen nationalen Umsetzungsstatus. Ein praktischer Leitfaden für Führungskräfte in den Bereichen OT, ICS und Engineering, die unter der Richtlinie (EU) 2022/2555 agieren.

Zweiundzwanzig der 27 EU-Mitgliedstaaten haben NIS2 mittlerweile in nationales Recht umgesetzt. Die Länder, die noch im Verzug sind – Frankreich, Irland, Luxemburg, die Niederlande und Spanien –, tun dies unter einem aktiven Verfahren vor dem Gerichtshof der Europäischen Union, nicht im Rahmen einer stillschweigenden Übergangsfrist. Gleichzeitig schlug die Europäische Kommission mit ihrem Cybersicherheitspaket vom 20. Januar 2026 die erste echte Vereinfachung der Richtlinie vor: eine neue Kategorie für „kleine Midcap-Unternehmen“, harmonisierte Regeln zur Offenlegung von Ransomware-Zahlungen und eine größere operative Rolle für die ENISA. Nichts davon ändert jedoch den wesentlichen Inhalt von Artikel 21 oder die Fristen für die Vorfallsmeldung. Es ändert lediglich, wie viel Geduld Regulierungsbehörden noch mit Organisationen haben, die NIS2 weiterhin als Zukunftsthema behandeln.

Für Führungskräfte in den Bereichen OT, ICS und Engineering bedeutet diese Kombination aus nahezu flächendeckender Umsetzung, aktiver Durchsetzung und einer ersten Frist für Compliance-Audits zum 30. Juni 2026 in den meisten umgesetzten Staaten, dass der Termindruck nicht mehr theoretischer Natur ist. Dieser Leitfaden schlüsselt auf, was die Richtlinie in der Werkshalle (Plant Floor) tatsächlich verlangt – wo industrielle Umgebungen reale ingenieurtechnische Probleme aufwerfen, die das Gesetz nicht für Sie löst –, und wie ein vertretbares Compliance-Programm Mitte 2026 aussieht.

Abbildung 1: NIS2 nationaler Umsetzungsstatus in der EU, Mitte 2026.

Was NIS2 tatsächlich geändert hat und warum das Kleingedruckte jetzt zählt

NIS2, formal die Richtlinie (EU) 2022/2555, hat die NIS-Richtlinie von 2016 ersetzt, da das ursprüngliche Gesetz den Großteil der europäischen Industriebasis unberücksichtigt ließ. NIS2 erweitert den Geltungsbereich auf achtzehn Sektoren – darunter Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, verarbeitendes Gewerbe, Weltraum und weitere. Nach Angaben der Europäischen Kommission fallen nun rund mehr als 100.000 Organisationen in den neuen Anwendungsbereich, was eine Größenordnung über der ersten Richtlinie liegt.

Die Mitgliedstaaten waren gesetzlich verpflichtet, die Richtlinie bis zum 17. Oktober 2024 umzusetzen. Fast keiner von ihnen hielt diese Frist ein. Die Kommission reagierte darauf, indem sie im November 2024 Aufforderungsschreiben an 23 Mitgliedstaaten richtete, im Mai 2025 mit mit Gründen versehenen Stellungnahmen gegen 19 von ihnen nachlegte und Irland, Spanien, Frankreich sowie die Niederlande wegen Nichtmitteilung von Umsetzungsmaßnahmen vor den Gerichtshof der EU brachte. Dieser Durchsetzungsdruck ist der Grund, warum die verbleibenden Nachzügler jetzt handeln, und warum die Ausrede „unser Land hat es noch nicht umgesetzt“ für ein OT-Team heute ein weitaus schwächeres Argument ist als noch 2024.

Zwei Entwicklungen aus dem frühen Jahr 2026 sind besonders relevant, da sie den Compliance-Zeitplan verschieben, ohne die Pflichten aus Artikel 21 zu berühren:

• Ein einziges EU-Meldeportal. Der Vorschlag für eine digitale Omnibus-Verordnung vom November 2025 sieht vor, Vorfallsmeldungen gemäß Artikel 23 und 30 über ein einziges, von der ENISA betriebenes Portal zu leiten, anstatt über separate nationale Systeme. Dies ist eine Änderung des Meldewegs, nicht der Fristen. Das 24-72-30-Stunden-Schema bleibt unverändert bestehen.

• Gezielte NIS2-Änderungen (20. Januar 2026). Der Vorschlag der Kommission führt eine erleichterte Kategorie für „kleine Midcap-Unternehmen“ ein (unter 750 Mitarbeiter, unter 150 Mio. € Umsatz), ergänzt eine verpflichtende Offenlegung von Ransomware-Zahlungen unter Artikel 23, verpflichtet Nicht-EU-Unternehmen im Anwendungsbereich zur Benennung eines EU-Vertreters und richtet nationale Cybersicherheitsstrategien an Migrationszielen für Post-Quanten-Kryptografie für die Jahre 2030 und 2035 aus. Die Kommission schätzt, dass das Paket die Compliance-Last für rund 28.700 Unternehmen verringert – Betreiber kritischer Infrastrukturen (KRITIS) in der Kategorie der wesentlichen Einrichtungen (Essential Entities) spüren von dieser Entlastung jedoch fast nichts.

Insbesondere für OT- und ICS-Verantwortliche ändert nichts am oben Gesagten die Kernkonstante, dass sich die Risikomanagement-Pflichten über die Firewall erstrecken, die die IT von der Werkshalle trennt. Die Systeme, die die Produktion aufrechterhalten, Sicherheitssysteme (SIS) betreiben und die Versorgung sicherstellen, fallen explizit in den Anwendungsbereich – rechtlich wie operativ.

Wesentliche vs. wichtige Einrichtungen: Wo Ihre Organisation tatsächlich steht

NIS2 teilt betroffene Organisationen basierend auf Sektor und Größe in zwei Kategorien ein. Diese Unterscheidung bestimmt, wie streng eine Regulierungsbehörde Ihre Organisation überwacht, wie Sanktionen berechnet werden und wie viel Dokumentation Sie jederzeit bereithalten müssen – es geht also um weit mehr als nur darum, welches Kästchen Sie auf einem Formular ankreuzen.

Abbildung 2: Klassifizierung in wesentliche und wichtige Einrichtungen gemäß NIS2 Anhang I und Anhang II.

Ein Detail, das Industrieanlagenbetreiber oft unvorbereitet trifft, ist die größenunabhängige Erfassungsregel: Bestimmte Einrichtungen fallen unabhängig von Mitarbeiterzahl oder Umsatz in den Anwendungsbereich. Dazu gehören Alleinanbieter eines kritischen nationalen Dienstes sowie Organisationen, die bereits nach verwandten Resilienzgesetzen wie der CER-Richtlinie als kritisch eingestuft sind. Wenn Ihre Anlage die einzige Quelle für eine regionale Versorgungsleistung ist, gilt der Schwellenwert von 50 Mitarbeitern oder 10 Millionen Euro Umsatz, der ansonsten einen kleinen Betreiber von den Pflichten befreien würde, für Sie nicht.

Die neue Kategorie der „kleinen Midcaps“ aus dem Vorschlag vom Januar 2026 ist innerhalb der Kategorie der wichtigen Einrichtungen angesiedelt. Sie schafft keine dritte Klassifizierung und berührt die Pflichten wesentlicher Einrichtungen in keiner Weise. Wenn Ihre Organisation Energie-, Wasser- oder Verkehrsinfrastrukturen im Maßstab einer wesentlichen Einrichtung betreibt, ändert diese Reform Ihre Compliance-Anforderungen nicht.

Die zehn Mindestsicherheitsmaßnahmen gemäß Artikel 21

Unabhängig von der Einstufung legt Artikel 21 denselben Mindeststandard von zehn Risikomanagementmaßnahmen fest. Auf dem Papier liest sich dies wie eine Governance-Checkliste. In einer industriellen Umgebung stößt jedoch jeder einzelne Punkt auf physische Einschränkungen, über die sich ein IT-Team im Unternehmen niemals Gedanken machen muss.

• Risikoanalysen und Sicherheitskonzepte für Informationssysteme, die sowohl IT- als auch OT-Assets abdecken

• Verfahren zur Bewältigung von Sicherheitsvorfällen, einschließlich Erkennung, Reaktion und strukturierter Eskalation

• Aufrechterhaltung des Betriebs (Business Continuity) und Krisenmanagement, einschließlich Backup-Verfahren und Disaster Recovery für Steuerungssysteme

• Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Anforderungen in Verträgen mit Lieferanten und Systemintegratoren

• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich des Umgangs mit Schwachstellen und deren Offenlegung

• Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit

• Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen zur Cybersicherheit für Mitarbeiter

• Konzepte für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung

• Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Asset-Management

• Verwendung von Multi-Faktor-Authentisierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme

Bei Anlagen, die mit älteren PLCs oder Prozessleitsystemen (DCS) betrieben werden, die vor der Etablierung von Authentifizierung und Protokollierung als Standard entwickelt wurden, erfordern einige dieser Maßnahmen kompensierende technische Kontrollen anstelle einfacher Konfigurationsänderungen. Genau diese Lücke ist der Grund, warum OT-spezifische Expertise hier weitaus wichtiger ist als in einem typischen IT-Compliance-Projekt. Aus diesem Grund behandelt die Roadmap in diesem Leitfaden die Asset-Sichtbarkeit als Grundvoraussetzung für alle weiteren Schritte und nicht als parallelen Arbeitsstrang.

Meldepflichten bei Sicherheitsvorfällen: Die 24-72-30-Regel

Die operativ anspruchsvollste Anforderung in NIS2 ist der in Artikel 23 festgelegte Zeitplan für die Meldung von Vorfällen. Sobald ein erheblicher Sicherheitsvorfall erkannt wird, läuft die Uhr sofort an – und die Pflicht gilt unabhängig davon, ob das betroffene System im Rechenzentrum des Unternehmens oder in einer Leitwarte steht.

Abbildung 3: Der obligatorische NIS2-Meldeablauf bei Vorfällen für wesentliche und wichtige Einrichtungen.

Für OT-Teams liegt das praktische Nadelöhr nicht im Ausfüllen der Dokumente, sondern in der Erkennungsgeschwindigkeit. Sie können einen Vorfall nicht innerhalb von 24 Stunden melden, wenn Ihr Steuerungsnetzwerk nicht über die nötige Transparenz verfügt, um anomales Verhalten überhaupt erst zu erkennen. Viele industrielle Umgebungen verlassen sich immer noch auf regelmäßige manuelle Überprüfungen oder Wartungsbesuche von Dienstleistern, um Probleme zu identifizieren – ein Rhythmus von mehreren Wochen, der strukturell inkompatibel mit einer 24-Stunden-Meldefrist ist.

Zwei zusätzliche Meldedetails werden beim ersten Lesen der Richtlinie leicht übersehen: Das Änderungspaket vom Januar 2026 würde Einrichtungen verpflichten, auf Anfrage offenzulegen, ob ein Lösegeld gezahlt wurde, in welcher Höhe und über welche Zahlungsmethode. Zudem sind die Mitgliedstaaten im Rahmen desselben Pakets verpflichtet, Pläne zur Migration auf Post-Quanten-Kryptografie in ihre nationalen Cybersicherheitsstrategien mit den Zieljahren 2030 und 2035 aufzunehmen. Noch trifft keine dieser Pflichten einzelne Unternehmen direkt, aber beide signalisieren, wohin sich die nächste Generation von Berichtspflichten entwickeln wird.

Warum OT- und ICS-Umgebungen weitaus komplexere NIS2-Herausforderungen darstellen

Compliance-Frameworks, die mit Fokus auf IT-Systeme verfasst wurden, lassen sich selten nahtlos auf die Werkshalle übertragen. Vier strukturelle Realitäten machen die NIS2-Implementierung in operativen Umgebungen schwieriger – und nicht nur administrativ anders.

Altsysteme wurden nie für diese Anforderungen entwickelt

Viele heute aktive PLCs, HMIs und Leitsysteme wurden vor Jahrzehnten entwickelt – lange bevor Authentifizierung, Verschlüsselung oder Protokollierung Standard-Designkriterien waren. Die Nachrüstung einer Multi-Faktor-Authentisierung auf ein Steuerungssystem, das dafür nie ausgelegt war, ist selten eine reine Konfigurationsänderung. Oft handelt es sich um ein mehrjähriges Engineering-Projekt, das eine Abstimmung mit den Herstellern, Sicherheits-Rezertifizierungen und sorgfältig geplante Stillstandszeiten erfordert.

Die IT/OT-Konvergenz vergrößert die Angriffsfläche

Da Fabriken zunehmend auf vorausschauende Wartung, Fernüberwachung und Cloud-Anbindungen setzen, nähert sich das ehemals isolierte Steuerungsnetzwerk immer mehr der Unternehmens-IT an. Diese Konnektivität bietet einen realen betrieblichen Mehrwert, bedeutet aber auch, dass ein Angriff, der im E-Mail-Postfach beginnt, ohne angemessene Segmentierung Systeme erreichen kann, die physische Prozesse steuern.

Abbildung 4: Zuordnung der NIS2 Artikel 21 Pflichten über den gesamten industriellen Steuerungs-Stack (Purdue-Modell, Level 0–5).

Die Transparenz der Lieferkette ist meist lückenhaft

NIS2 fordert von Organisationen explizit das Management von Cybersicherheitsrisiken, die von Lieferanten und Dienstleistern ausgehen. In industriellen Umgebungen umfasst diese Lieferkette Anlagenhersteller, Systemintegratoren und externe Wartungstechniker, die regelmäßig Laptops direkt mit Steuerungsnetzwerken verbinden. Nur wenige Organisationen führen ein vollständiges, aktuelles Inventar aller Dritten mit Systemzugriff, geschweige denn dokumentierte Risikoanalysen für jeden einzelnen Partner.

Die Toleranz für Ausfallzeiten liegt nahe Null

Im Gegensatz zu einem Ausfall der Unternehmens-IT kann ein ungeplanter Stillstand in einem kontinuierlichen Produktionsprozess, einem Energieverteilungsnetz oder einer Wasseraufbereitungsanlage schwerwiegende Folgen für die Sicherheit, die Umwelt und die öffentliche Gesundheit haben. Jede Sicherheitskontrolle, die in einer OT-Umgebung eingeführt wird, muss vor der Bereitstellung auf ihre Auswirkung auf die Betriebskontinuität überprüft werden, was die Implementierungszyklen im Vergleich zu einem typischen IT-Rollout naturgemäß verlangsamt.

Was passiert, wenn diese Lücken ausgenutzt werden

Die Risiken, die NIS2 adressiert, sind nicht theoretischer Natur. Eine kontinuierliche Reihe realer Vorfälle ist genau der Grund, warum der Gesetzgeber entschieden hat, dass Betriebstechnologie nicht länger außerhalb des Cybersicherheitsrechts stehen darf.

• Colonial Pipeline, 2021. Ein Ransomware-Angriff auf die IT-Systeme des Unternehmens – nicht direkt auf die Steuerungssysteme – erzwang eine vorsorgliche Abschaltung einer großen US-Treibstoffpipeline, was zu regionalen Engpässen und Preissprüngen führte. Diese Abschaltung zeigt, wie ein reiner IT-Sicherheitsvorfall bei unzureichender Segmentierung und Eindämmung eine OT-Abschaltung erzwingen kann.

• Europäische Wasserversorger. Mehrere gemeldete Einbruchsversuche in die Steuerungssysteme von Aufbereitungsanlagen in den letzten Jahren umfassten Versuche, chemische Dosierungsparameter zu manipulieren – ein Szenario mit direkten Folgen für die öffentliche Gesundheit.

• Verarbeitendes Gewerbe in der EU. Ransomware-Vorfälle haben Produktionslinien über Tage oder Wochen stillgelegt. Die Wiederherstellungskosten übersteigen die eigentliche Lösegeldforderung häufig um ein Vielfaches, sobald Produktionsausfälle, Vertragsstrafen und Reputationsschäden eingerechnet werden.

• Spionage im Stromnetz. Nationale Cybersicherheitsbehörden in der gesamten Region haben koordinierte Aufklärungsaktivitäten hochentwickelter Akteure dokumentiert, die Fernzugriffskonfigurationen von Netzinfrastrukturen auskundschafteten.

Diese Beispiele verbindet kein einzelner Point of Failure, sondern ein klares Muster: unzureichende Netzwerksegmentierung, verzögerte Erkennung und Incident-Response-Pläne, die auf IT-Annahmen statt auf industriellen Realitäten basieren. Die Anforderungen von NIS2 sind im Grunde eine direkte gesetzgeberische Antwort auf genau dieses Muster.

Erstellung einer NIS2-Compliance-Roadmap für industrielle Umgebungen

Die Erfüllung der NIS2-Pflichten in einer industriellen Umgebung erfordert ein Programm, das an den Realitäten der Werkshalle ausgerichtet ist, und kein Copy-and-paste eines IT-Sicherheits-Frameworks. Da in den meisten umgesetzten Mitgliedstaaten die ersten unabhängigen Audits bis zum 30. Juni 2026 anstehen, spiegelt die folgende Abfolge wider, wie Industrieunternehmen am schnellsten und effektivsten Fortschritte erzielen.

Abbildung 5: Ein phasenweiser Ansatz zur NIS2-Bereitschaft für Industrieunternehmen.

• Erstellung und Pflege eines lückenlosen OT-Asset-Inventars. Sie können keine Systeme schützen, überwachen oder melden, die Sie nicht identifiziert haben – das betrifft jede Steuerung (PLC), jedes HMI, jede Engineering-Workstation und jedes netzwerkfähige Feldgerät.

• Segmentierung von IT- und OT-Zonen. Nutzen Sie anerkannte Architekturmodelle, die das Unternehmensnetzwerk, die industrielle DMZ und das Steuerungsnetzwerk in separate, überwachte Zonen unterteilen.

• Einführung passiver OT-Überwachung. Erkennen Sie anomales Verhalten, ohne empfindliche Steuerungsprozesse zu stören, um die Sichtbarkeitslücke zu schließen, die für die Einhaltung der 24-Stunden-Meldefrist entscheidend ist.

• Ausrichtung an anerkannten Industriestandards. Standards wie die IEC 62443 und NIST SP 800-82 lassen sich nahtlos auf die zehn Maßnahmen von Artikel 21 übertragen und berücksichtigen gleichzeitig die besonderen betrieblichen Bedingungen von Steuerungssystemen.

• Formalisierung von Lieferketten-Risikoanalysen. Erfassen Sie jeden Lieferanten, Integrator und Wartungsdienstleister mit Systemzugriff und verankern Sie Cybersicherheitsklauseln direkt in neuen und verlängerten Verträgen.

• Ausarbeitung und Erprobung eines OT-spezifischen Incident-Response-Plans. Tabletop-Übungen sollten die Kompromittierung eines Steuerungssystems simulieren und nicht nur einen IT-Datenabfluss im Büro.

• Etablierung eines Berichtswesens auf Vorstandsebene. Da NIS2 die Leitungsorgane direkt in die Pflicht nimmt, benötigt die Führungsebene regelmäßige, verständliche Berichte über OT-Risiken – kein tief technisches Dokument im Anhang.

• Lückenlose Dokumentation. Risikoanalysen, Schulungsnachweise, Vorfallsprotokolle und Ergebnisse von Kontrollprüfungen sind die Nachweise, die Auditoren und Behörden bei einer Überprüfung zuerst anfordern.

Wie Shieldworkz Ihr Unternehmen unterstützt

Shieldworkz arbeitet exklusiv an der Schnittstelle von Betriebstechnologie (OT) und Cybersicherheit. Das bedeutet, dass unser Ansatz zur NIS2-Compliance direkt in der Werkshalle ansetzt, anstatt ein IT-Framework über industrielle Systeme zu stülpen. Unternehmen arbeiten mit uns zusammen, um gesetzliche Pflichten in ein funktionierendes, nachhaltiges Sicherheitsprogramm zu übersetzen.

• Umfassende Erkennung von OT- und ICS-Assets zur Erstellung des präzisen Inventars, auf dem die NIS2-Compliance aufbaut

• Klassifizierung von Einrichtungen und Gap-Analysen im Hinblick auf die zehn Mindestsicherheitsmaßnahmen gemäß Artikel 21

• Konzeption und Validierung der Netzwerksegmentierung über IT-, DMZ- und Steuerungssystemzonen hinweg

• Kontinuierliche, rückwirkungsfreie OT-Überwachung zur schnellen Erkennung von Anomalien, um die 24-Stunden-Meldefrist einzuhalten

• Incident-Response-Planung und Tabletop-Übungen, die speziell auf Szenarien in Steuerungssystemen zugeschnitten sind

• Risikoanalysen für die Lieferkette und Drittanbieter, einschließlich Herstellern, Integratoren und Wartungsdienstleistern

• Vorstandsreife Berichterstattung, die technische Risiken in die Sprache übersetzt, die die Unternehmensführung für ihre Governance-Verantwortung benötigt

• Fortlaufende Beratung, um Ihr Programm an die sich weiterentwickelnden NIS2-Leitlinien, die Änderungen vom Januar 2026 und die behördliche Durchsetzungspraxis anzupassen

Anstatt lediglich ein einmaliges Audit und einen Ordner voller Empfehlungen zu übergeben, versteht sich Shieldworkz als langfristiger Partner für Industrieunternehmen. Denn regulatorische Compliance ist kein Projekt mit Enddatum, sondern ein kontinuierlicher Betriebsprozess.

Fazit

NIS2 stellt die tiefgreifendste Verschärfung der Anforderungen an die Cybersicherheit dar, mit der Betreiber kritischer Infrastrukturen seit über einem Jahrzehnt konfrontiert wurden. Im Gegensatz zu 2024 handelt es sich nicht mehr um eine Richtlinie, die auf die nationale Umsetzung wartet. Zweiundzwanzig Mitgliedstaaten haben sie umgesetzt, Durchsetzungsverfahren gegen den Rest laufen bereits und die ersten Audits stehen bis zum 30. Juni 2026 an. Für OT- und ICS-Verantwortliche macht dieser Zeitplan Asset-Sichtbarkeit, Erkennungsgeschwindigkeit und Governance-Strukturen von Wunschzielen zu kurzfristig zu erbringenden Ergebnissen mit einer harten Frist.

Organisationen, die NIS2 als Chance begreifen, ihre industrielle Sicherheitsarchitektur zu modernisieren, anstatt sie nur als bürokratisches Übel zu betrachten, werden am besten aufgestellt sein, um dem nächsten schwerwiegenden Vorfall standzuhalten – sei er regulatorischer oder operativer Natur. Die Bedrohungslage für Energienetze, Wassersysteme, Fertigungsbetriebe und Verkehrsnetze verschärft sich weiter, und die behördliche Durchsetzung tut dies ebenfalls.

Die Frage für jeden OT-Sicherheitsverantwortlichen lautet nicht mehr, ob gehandelt werden muss, sondern wie schnell ein belastbares, gut dokumentiertes Programm etabliert werden kann, bevor sich das Audit-Zeitfenster am 30. Juni 2026 schließt.

Zusätzliche Ressourcen:

Umfassender Leitfaden zu Network Detection and Response (NDR) im Jahr 2026 hier
NERC CIP-015 Checkliste zur Bereitschaft der internen Netzwerk-Sicherheitsüberwachung für EVUs hier
OT SOC Grundlagen-Leitfaden hier
Managed SOC Service hier
OT Cyber Threat Intelligence Lagebericht - Nahost hier
NIS2-Richtlinie: Erreichen der NIS2-Compliance durch IEC 62443 hier
Was sind Wechselmedien? Risiken, Richtlinien und industrielle OT-Sicherheitslösungen hier
Kostenlose Richtlinien-Vorlage für Wechselmedien für OT- und IT-Teams hier