Bei der Umsetzung der NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) in OT-Umgebungen (Operational Technology) wird die Formulierung „geeignete und verhältnismäßige Sicherheitsmaßnahmen“ gemäß Artikel 21 häufig missverstanden. Sie ist weder eine Einladung, IT-Sicherheits-Frameworks blind auf die Fabrikebene zu übertragen, noch eine Checkliste, die einfach abgearbeitet werden kann.

Im industriellen Systemkontext bedeutet „geeignet“, dass Sicherheitsmaßnahmen die Safety und Verfügbarkeit stets vor der Vertraulichkeit (Confidentiality) wahren müssen. „Verhältnismäßig“ setzt Ihre Investitionen und betrieblichen Beeinträchtigungen direkt in Bezug zu Ihrem spezifischen Risikoprofil, der Gefährdungslage der Assets sowie den potenziellen gesellschaftlichen oder wirtschaftlichen Auswirkungen.

Unter NIS-2 schreibt Artikel 21 einen All-Hazards-Ansatz (Gefahrenübergreifender Ansatz) vor, der sich über 10 Kernbereiche erstreckt. Hier ist eine detaillierte Aufschlüsselung der Anforderungen bei der praktischen Umsetzung im realen OT-Betrieb gemäß KRITIS-Standards.

Bevor wir fortfahren, lesen Sie gerne auch unseren vorherigen Blogbeitrag darüber, wie USB-Laufwerke im Jahr 2026 immer noch moderne Schutzmechanismen umgehen, hier.

Die 10 obligatorischen Risikomanagement-Maßnahmen in der OT

Risikoanalyse und Sicherheitskonzepte für Informationssysteme

• Das Missverständnis: Die bloße Übernahme allgemeiner IT-Unternehmensrichtlinien oder die Durchführung automatisierter Schwachstellenscans, die das Risiko bergen, ältere speicherprogrammierbare Steuerungen (SPS/PLC) zum Absturz zu bringen.

• Die OT-Realität: Sie müssen sich auf die Normenreihe ISA/IEC 62443-3-2 stützen, um Risiken auf der Grundlage physischer Auswirkungen wie Produktionsausfälle, Umweltschäden und/oder Sicherheitsrisiken (Safety) zu identifizieren und zu priorisieren.

• Prüffähige Nachweise: Ein dokumentierter OT-Cyber-Risikoanalysebericht mit hinreichender Detailtiefe bezüglich Ihrer cyber-physischen Grenzen, Worst-Case-Szenarien und ein formeller Risikominderungsplan, der von der Geschäftsführung freigegeben wurde.

Bewältigung von Sicherheitsvorfällen (Incident Management)

• Das Missverständnis: Ein Reaktionsplan für Sicherheitsvorfälle (IR-Plan), der davon ausgeht, dass man während der laufenden Produktion einfach ein Netzwerksegment isolieren oder ein System neu aufsetzen kann.

• Die OT-Realität: IR-Playbooks müssen auf Anomalien industrieller Protokolle (z. B. Modbus, S7, EtherNet/IP) zugeschnitten sein und eng mit den Betriebs- und Anlagensicherheitsbeauftragten abgestimmt werden. Um die strengen NIS-2-Fristen für die 24-Stunden-Frühwarnung und die 72-Stunden-Meldung von Sicherheitsvorfällen einzuhalten, muss Ihr Monitoring aktiv, aber rückwirkungsfrei sein.

• Prüffähige Nachweise: Ein OT-spezifischer Vorfallsreaktionsplan mit expliziten Eskalationsmatrizen, Kommunikationsprotokollen für die Fabrikebene sowie Protokollen regelmäßiger Tabletop-Übungen, die Prozessstörungen oder Ransomware-Angriffe auf Human-Machine-Interfaces (HMI) simulieren.

Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement

• Das Missverständnis: Standard-IT-Endpoint-Backups, die über Nacht in ein Cloud-Repository übertragen werden.

• Die OT-Realität: Die Datensicherung in industriellen Architekturen erfordert das präzise Sichern von PLC/SCADA-Projektdateien, Firmware-Versionen, Konfigurationen von Netzwerk-Switches und Golden Images älterer Windows-Systeme (wie XP oder 7), auf denen kritische Industriesoftware läuft.

• Prüffähige Nachweise: Ein dokumentiertes Disaster-Recovery-Handbuch (DR), das klare Wiederherstellungszeiten (RTO) und Wiederherstellungspunkte (RPO) speziell für die Fertigungsebene definiert, gestützt durch validierte, regelmäßige Offline-Wiederherstellungstests.

Sicherheit der Lieferkette (Supply Chain Security)

• Das Missverständnis: Das Versenden eines generischen, mehrseitigen Sicherheitsfragebogens an die Lieferanten, die die Rohkomponenten oder die Unternehmenssoftware Ihrer Anlage bereitstellen.

• Die OT-Realität: Das primäre Drittanbieterrisiko in der OT geht von Systemintegratoren, Automatisierungsherstellern (z. B. Siemens, Rockwell, Schneider) und externen Wartungsdienstleistern aus, die dauerhafte oder Ad-hoc-Fernzugriffsverbindungen in Ihr industrielles Netzwerk unterhalten.

• Prüffähige Nachweise: Ein nach Risiko priorisiertes Inventar aller direkten OT-Lieferanten, technische Service-Level-Agreements (SLAs), die sichere Fernzugriffsmethoden vorschreiben, und formalisierte Sicherheitsanhänge in den Beschaffungsverträgen.

Sicherheit bei Erwerb, Entwicklung und Wartung

• Das Missverständnis: Die Durchsetzung eines aggressiven, automatisierten Patch-Management-Zyklus, der jeden Dienstag Updates installiert.

• Die OT-Realität: Kritische OT-Komponenten können nicht einfach gepatcht werden, ohne Gewährleistungen zu verletzen, Produktionsverzögerungen zu verursachen oder möglicherweise einen kostspieligen Anlagenstillstand zu erzwingen. In einer solchen Umgebung bedeutet Schwachstellenmanagement, Schwachstellen mit Ihrem Asset-Inventar abzugleichen und robuste kompensierende Kontrollen (wie Virtual Patching oder restriktive Firewall-Regeln am Perimeter) einzusetzen, bis ein geplantes Wartungsfenster ein formelles Update zulässt.

• Prüffähige Nachweise: Eine maßgeschneiderte und dokumentierte Patch-Management-Richtlinie mit OT-spezifischen SLAs, ein getesteter Prozess zur koordinierten Offenlegung von Schwachstellen (CVD) sowie Change-Management-Protokolle, die kompensierende Maßnahmen für ungepatchte Altsysteme (Legacy-Systeme) detailliert beschreiben.

Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen

• Das Missverständnis: Sich ausschließlich auf jährliche externe Compliance-Audits zu verlassen, um die Sicherheit zu bestätigen.

• Die OT-Realität: Man kann nu schützen, was man auch sieht. Eine kontinuierliche Überprüfung erfordert passives Netzwerk-Monitoring und eine auf industrielle Protokolle abgestimmte Anomalieerkennung, um eine verhaltensbasierte Baseline zu erstellen, sodass unbefugte Konfigurationsänderungen oder unbekannte Assets sofort erkannt werden.

• Prüffähige Nachweise: Regelmäßige interne Auditberichte, Zusammenfassungen passiver Sicherheitslage-Scans sowie dokumentierte Ergebnisse von externen oder internen Penetrationstests, die sicher in Test- oder Offline-Industrieumgebungen durchgeführt wurden.

Cyber-Hygienemaßnahmen und Cybersecurity-Schulungen

• Das Missverständnis: Leitstandspersonal dazu zu verpflichten, generische Corporate-Schulungsvideos zu absolvieren, die sich auf Phishing im Büro oder Sicherheit in sozialen Medien konzentrieren.

• Die OT-Realität: Anlagenbediener und Projektingenieure benötigen Schulungen, die einen direkten Bezug zu ihrer physischen Arbeitsumgebung haben. Dazu gehört das Erkennen von Social-Engineering-Taktiken, die auf technisches Personal abzielen, das Identifizieren manipulierter USB-Sticks sowie das Verstehen physischer Indikatoren für cyber-induzierte Prozessanomalien.

• Prüffähige Nachweise: Aktualisierte Schulungsregister der Mitarbeiter, maßgeschneiderte Schulungspläne und Reaktionstrainings auf der Grundlage eskalierender OT-Sicherheitsszenarien für das operative Personal sowie dokumentierte Cyber-Hygienemessnahmen, die das Verhalten in der Produktionsumgebung explizit regeln.

Kryptografie und Verschlüsselung

• Das Missverständnis: Die flächendeckende Vorschrift einer End-to-End-Verschlüsselung mittels Transport Layer Security (TLS) über alle internen Anlagenkomponenten hinweg.

• Die OT-Realität: Ältere Feldbus-Netzwerke und serielle-zu-Ethernet-Konverter verfügen nicht über die Rechenleistung, um kryptografischen Overhead ohne gravierende Latenzen zu verarbeiten, was Echtzeit-Industrieprozesse stören kann. Eine angemessene Umsetzung erfordert den Schutz von Daten während der Übertragung an den Netzwergrenzen und Perimetern unter Verwendung sicherer industrieller Protokolle (wie OPC UA Secure Conversation oder CIP Security), wo moderne Hardware dies zulässt.

• Prüffähige Nachweise: Ein formelles Kryptografiekonzept, das aufzeigt, wo Verschlüsselung technisch realisierbar ist, zusammen mit dokumentierten technischen Begründungen und Netzwerksegmentierungsstrategien für Bereiche, in denen Verschlüsselung aufgrund von Einschränkungen der Altsysteme nicht implementiert werden kann.

Personalsicherheit, Zugriffskontrolle und Asset-Management

• Das Missverständnis: Die ausschließliche Verwendung des Active Directory für die Authentifizierung an Steuerungssystemen oder das Führen einer statischen, manuellen Asset-Tabelle.

• Die OT-Realität: Ein zuverlässiges Asset-Inventar muss zwingend dynamisch sein und detaillierte Attribute wie Firmware-Versionen, Patch-Status, Hardware-Revisionen sowie physische Slot-Konfigurationen erfassen. Die Zugriffskontrolle muss standardmäßig dem Prinzip der minimalen Rechtevergabe (Least Privilege) folgen und explizite Rollen auf betriebliche Aktionen abbilden (z. B. Lese- vs. Schreib-/Programmierberechtigungen auf einer Steuerung).

• Prüffähige Nachweise: Ein aktives, kontinuierlich aktualisiertes OT-Asset-Inventar (in der Regel über passives Netzwerk-Monitoring gespeist), formalisierte rollenbasierte Zugriffskontrollmatrizen (RBAC) für Engineering-Systeme sowie Offboarding-Checklisten, die beim Ausscheiden von Mitarbeitern Zugangsdaten und Schlüssel umgehend widerrufen.

Multi-Faktor-Authentisierung (MFA) und sichere Kommunikation

• Das Missverständnis: Der Einsatz von Smartphone-basierten Push-Benachrichtigungen für Bediener, die in Bereichen arbeiten, in denen Mobilgeräte aus Sicherheits- oder Explosionsschutzgründen streng verboten sind.

• Die OT-Realität: MFA muss konsequent an den Übergangspunkten zwischen IT- und OT-Netzwerk erzwungen werden, insbesondere bei jedem externen Fernzugriff. Innerhalb der Fabrikebene müssen kontinuierliche Authentifizierung oder gehärtete Hardware-Token (z. B. für Industrieumgebungen geeignete physische Schlüssel) unter Berücksichtigung der Prozesssicherheit bewertet werden.

• Prüffähige Nachweise: Technische Sicherheitsarchitekturpläne, die belegen, dass alle Fernzugriffswege über eine Demilitarisierte Zone (DMZ) verlaufen und durch MFA geschützt sind, sowie verifizierte Konfigurationen für sichere interne Notfallkommunikationskanäle.

Durchsetzung der Sicherheitsarchitektur: Ausrichtung am Purdue-Modell

Um die Compliance gegenüber Auditoren nachzuweisen, sollten sich Ihre technischen Sicherheitsmaßnahmen an einem strukturierten industriellen Framework wie dem Purdue-Referenzmodell orientieren. Dies gewährleistet klare Grenzen zwischen den Unternehmensfunktionen der Office-IT und den physischen Prozesssteuerungen der OT.

Direkte Rechenschaftspflicht der Geschäftsführung: Fazit

NIS-2 führt im Vergleich zur bisherigen Rechtslage zu einem drastischen Wandel bei der Durchsetzung der Regularien, indem die Verantwortung direkt der Unternehmensleitung auferlegt wird (Artikel 20).

• Haftung der Geschäftsführung: Vorstandsmitglieder und Geschäftsführer können die Verantwortung für Cybersecurity nicht mehr wegdelegieren. Sie sind nun verpflichtet, die Umsetzung der Risikomanagement-Maßnahmen aktiv zu prüfen, zu verstehen, zu genehmigen und deren Einhaltung nachweisbar zu überwachen.

• Persönliche Sanktionen: Bei grober Fahrlässigkeit nach einem schwerwiegenden Cybersicherheitsvorfall haben die zuständigen nationalen Behörden das Recht, spürbare und weitreichende nicht-monetäre Sanktionen zu verhängen. Dies reicht von öffentlichen Erklärungen über die Nichteinhaltung von Richtlinien bis hin zu vorübergehenden Berufsverboten für Führungskräfte.

Die Umsetzung „geeigneter“ Maßnahmen ist somit keine reine technische Best Practice mehr, sondern eine zwingende Pflicht im Rahmen der Corporate Governance und der betrieblichen Resilienz.

Wir bieten Ihnen eine kostenfreie NIS-2-Beratung an. Sprechen Sie jetzt mit einem NIS-2-Experten und klären Sie Ihre offenen Fragen.

Weiterführende Literatur

Das NIS-2-Umsetzungshandbuch für die Corporate Operational Technology

Ein speziell auf industrielle Automatisierungs- und Steuerungssysteme (IACS) zugeschnittener Leitfaden, um alle 10 Kernbereiche des Artikels 21 in Engineering-Workflows zu übersetzen, ohne die Verfügbarkeit der Anlage zu gefährden. Handbuch abrufen

Das OT-spezifische Toolkit zur Risikoanalyse

Ein Download-Paket mit Risikovorlagen, auswirkungsorientierten Bewertungsmatrizen und Arbeitsblättern gemäß ISA/IEC 62443-3-2 zur Definition physischer Auswirkungen und sicherheitsbasierter Risikoprofile. Toolkit abrufen

Das Playbook für industrielle Incident Response (24-Stunden- / 72-Stunden-Fristen)

Eine spezialisierte IR-Handlungsvorlage mit expliziten Eskalations-Workflows und Melde-Checklisten, um die strengen Berichtsfristen gegenüber den nationalen Behörden einzuhalten. Playbook abrufen

Sicherheitsanhang für Drittanbieter-Zugriffe und Systemintegratoren

Eine vertragsfertige rechtliche und technische Vorlage mit Standard-Sicherheitsklauseln, SLA-Anforderungen und Zugriffsbeschränkungen zur Bindung externer Automatisierungspartner an die NIS-2-Vorgaben. Sicherheitsanhang abrufen

Framework für kompensierende Sicherheitsmaßnahmen bei OT-Altsystemen

Ein technisches Whitepaper, das alternative Defense-in-Depth-Strategien wie Virtual Patching und Zonenisolierung für kritische Anlagenkomponenten beschreibt, die nicht patchesfähig sind. Framework abrufen

Referenzarchitektur für die industrielle DMZ (IDMZ)

Ein detaillierter Netzwerk-Architekturentwurf, der die logische Trennung und die Anforderungen an eine sichere Multi-Faktor-Authentisierung zwischen der Organisationsebene (Level 3) und der Enterprise-IT (Level 4) beschreibt. Architekturleitfaden abrufen

Schulungspaket für OT-Cyber-Hygiene und Leitstandspersonal

Ein visueller Lehrplan und Foliensatz, der speziell für Ingenieure und Techniker vor Ort entwickelt wurde, mit Fokus auf physische Sicherheit, manipulierte USB-Sticks und Social-Engineering-Taktiken im industriellen Umfeld. Schulungspaket abrufen