NIS2 für Betreiber industrieller Steuerungssysteme

Viele Betriebsleiter halten NIS2 für ein IT-Thema, zuständig sind der Informationssicherheitsbeauftragte und die Rechtsabteilung. Für Betreiber von Kraftwerken, Wasserversorgung, Gas-, Chemie- oder Produktionsanlagen greift das zu kurz. Die Systeme, deren Ausfall am meisten schaden würde, sind die Leitsysteme, und NIS2 erfasst sie.

Was NIS2 ist

NIS2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie hat die erste NIS-Richtlinie abgelöst und den Anwendungsbereich deutlich erweitert. Erfasst sind wesentliche und wichtige Einrichtungen in Sektoren mit hoher Kritikalität, etwa Energie, Verkehr, Trinkwasser, Abwasser, Gesundheit und digitale Infrastruktur, und in sonstigen kritischen Sektoren wie Chemie, Lebensmittel, Abfallbewirtschaftung und verarbeitendes Gewerbe. In der Regel betrifft sie mittlere und große Unternehmen dieser Sektoren; einige Einrichtungen fallen unabhängig von ihrer Größe darunter.

Die Umsetzung in Deutschland

In Deutschland wurde NIS2 mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist und das BSI-Gesetz neu gefasst hat. Das Gesetz spricht von besonders wichtigen und wichtigen Einrichtungen und behandelt Betreiber kritischer Anlagen gesondert. Im Kern verlangt es:

• Risikomanagementmaßnahmen nach dem Stand der Technik, darunter Konzepte für Risikoanalyse und Sicherheit der Informationssysteme, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backup- und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement, Cyberhygiene und Schulungen, Zugriffskontrolle und Management der Anlagenwerte
• Meldungen erheblicher Sicherheitsvorfälle an das BSI in Stufen: eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht nach einem Monat
• die Registrierung beim BSI
• Geschäftsleitungen, die die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen
• für Betreiber kritischer Anlagen zusätzlich Systeme zur Angriffserkennung und regelmäßige Nachweise gegenüber dem BSI

Die Richtlinie sieht für wesentliche Einrichtungen Bußgelder bis mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, für wichtige bis mindestens 7 Millionen Euro oder 1,4 Prozent. Die Einzelheiten regelt das nationale Recht.

Was sich für die OT ändert

NIS2 hat kein eigenes Kapitel zur Betriebstechnik. Sie gilt für Netz- und Informationssysteme, und ein Leitnetz ist eines. In der Praxis ändern sich für eine Anlage fünf Dinge.

Das Leitsystem gehört dazu

Eine Risikoanalyse, die am Büronetz endet, genügt nicht. HMI-Server, Engineering-Stationen, Steuerungen und die Verbindungen zwischen ihnen gehören zu den Systemen, die der Betreiber schützen muss.

Das Asset-Management reicht bis zur SPS

Was nicht erfasst ist, kann man nicht schützen. Eine vollständige, aktuelle Bestandsaufnahme des Leitnetzes, gewonnen aus den Geräten selbst und nicht aus alten Plänen, ist die Grundlage für alles Weitere.

Lieferanten werden Teil des eigenen Risikos

Integratoren, Maschinenbauer und Wartungsfirmen verbinden sich mit der Anlage, oft aus der Ferne. Sicherheit der Lieferkette bedeutet, zu wissen, wer sich wie und auf welcher vertraglichen Grundlage verbindet, und Sicherheitsanforderungen schriftlich festzulegen.

Vorfälle in der Anlage sind meldepflichtig

Eine Erstmeldung binnen 24 Stunden setzt zweierlei voraus, das vielen Anlagen fehlt: eine Möglichkeit, einen Vorfall im Leitnetz überhaupt zu bemerken, also Überwachung, und jemanden, der rasch entscheiden darf, ob er erheblich ist.

Die Geschäftsleitung ist verantwortlich

Geschäftsleitungen müssen die Maßnahmen billigen und so weit verstehen, dass sie ihre Umsetzung überwachen können. Damit wird OT-Sicherheit ein Führungsthema mit Budget und Prioritäten, nicht nur eine Aufgabe der Technik.

NIS2 und IEC 62443

NIS2 legt fest, was erreicht werden muss, und überlässt das Wie dem Betreiber, im Rahmen des Stands der Technik. Für Leitsysteme ist die Normenreihe ISA/IEC 62443 der direkteste Weg, diesen Stand zu belegen. Als technische Orientierung, nicht als Rechtsauskunft:

• Risikoanalyse und Sicherheitskonzepte: IEC 62443-2-1, das Sicherheitsprogramm für Betreiber, und IEC 62443-3-2, Risikobeurteilung sowie Zonen und Conduits
• Sicherheit der Systeme selbst: IEC 62443-3-3, Systemanforderungen und Security Level
• Lieferkette: IEC 62443-2-4 für Integratoren und Dienstleister, IEC 62443-4-1 und 4-2 für Produkthersteller
• Vorfallbewältigung und Betriebskontinuität: das Sicherheitsprogramm und ein Notfallplan, der tatsächlich geübt wurde

In Deutschland kommen die IND-Bausteine des BSI IT-Grundschutz-Kompendiums hinzu, etwa IND.1 Prozessleit- und Automatisierungstechnik und IND.3.2 Fernwartung im industriellen Umfeld, für Energienetzbetreiber der IT-Sicherheitskatalog der Bundesnetzagentur und je nach Branche ein branchenspezifischer Sicherheitsstandard.

Die ersten Schritte

• Klären, ob man besonders wichtige oder wichtige Einrichtung oder Betreiber einer kritischen Anlage ist, und sich beim BSI registrieren.
• Das Leitnetz erfassen, mit Werkzeugen, die die Geräte abfragen, statt mit alten Plänen.
• Zonen und Conduits zeichnen und jeden Fernzugang sowie jeden Lieferanten, der ihn nutzt, auflisten.
• Die Lücke gegenüber den Risikomanagementmaßnahmen bewerten, mit IEC 62443 als Maßstab, und nach Folgen ordnen.
• Den Notfallplan bis in die Anlage verlängern: Wer entscheidet in den ersten 24 Stunden, wer meldet an das BSI, und wie bleibt der Prozess bis dahin sicher? Dann üben.
• Die Geschäftsleitung informieren und die vorgesehenen Schulungen einplanen.
• Lieferverträge auf Sicherheitsanforderungen und Regeln für den Fernzugang prüfen.

Die zuständigen Stellen

In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) für Registrierung, Meldungen und Aufsicht zuständig. Das KRITIS-Dachgesetz, seit März 2026 in Kraft, ergänzt Pflichten zur physischen Resilienz kritischer Anlagen; zuständig ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Für Energienetze kommt die Bundesnetzagentur hinzu. Mehr dazu auf der Seite OT-Sicherheit für KRITIS-Betreiber.

Israel gehört nicht zur EU, NIS2 gilt dort nicht unmittelbar. Für israelische Unternehmen ist sie trotzdem wichtig. Israelische Integratoren, Hersteller und Dienstleister, die Anlagen in Europa betreuen, fallen unter die Lieferkettenanforderungen ihrer Kunden. Und Israels eigener Entwurf eines nationalen Cyberabwehrgesetzes, der im Juni 2026 die erste Lesung in der Knesset passiert hat, folgt einer ähnlichen Logik: wesentliche Organisationen, ein verbindliches Schutzniveau, Meldung erheblicher Angriffe und Aufsicht durch Sektoreinheiten der Ministerien unter fachlicher Anleitung des Israel National Cyber Directorate. Der Text kann sich bis zur Verabschiedung noch ändern.

Wo ich unterstütze

Vieles von dem, was NIS2 von einer Anlage verlangt, gehört seit Jahren zu meiner Arbeit: Bestandsaufnahme und Risikoanalyse, wie in den Kraftwerken von ICL, deren Bericht der Aufsichtsbehörde vorgelegt wurde; die Sicherheitsarchitektur; und Schulungen für die Menschen, die den Plan im Ernstfall umsetzen.