OT-Sicherheit und Industrie 4.0 unter NIS2: Was deutsche Hersteller jetzt tun müssenOT-Sicherheit und Industrie 4.0 unter NIS2: Was deutsche Hersteller jetzt tun müssen

Betriebstechnologie (OT) war jahrzehntelang eine Welt für sich: abgeschottete Steuerungen, proprietäre Protokolle und Maschinen, die zwanzig Jahre oder länger im Feld stehen. Mit Industrie 4.0 ist diese Abschottung gefallen. Sensoren melden Zustandsdaten in die Cloud, Wartungsteams greifen per Fernzugriff auf speicherprogrammierbare Steuerungen zu, und Manufacturing-Execution-Systeme verbinden die Produktionshalle direkt mit der Unternehmens-IT. Was Effizienz und Transparenz bringt, öffnet zugleich Angriffsflächen, die im klassischen OT-Denken nie vorgesehen waren. Eine kompromittierte Fernwartungssitzung oder ein verseuchter USB-Stick am Engineering-Laptop kann heute eine ganze Fertigungslinie stilllegen.

Für Hersteller in Deutschland, Österreich und der Schweiz verschärft sich die Lage 2026 durch einen regulatorischen Rahmen, der OT erstmals umfassend adressiert. Die NIS2-Richtlinie und ihre nationale Umsetzung nehmen deutlich mehr Unternehmen in die Pflicht als die Vorgängerregelung — und Fertigungsbetriebe stehen dabei im Fokus. Wer Maschinen baut, Automobilkomponenten liefert oder verfahrenstechnische Prozesse steuert, kann Cybersicherheit nicht länger als reines IT-Thema abtun. Sie wird zur durchgängigen Verantwortung von der Geschäftsleitung bis zum Feldbus — mit persönlicher Haftung der Führungsebene und knappen Meldefristen im Ernstfall.

Warum NIS2 die Fertigung direkt betrifft

Anders als frühere Regelungen, die sich auf klassische kritische Infrastrukturen beschränkten, ordnet NIS2 das verarbeitende Gewerbe ausdrücklich den wichtigen Einrichtungen zu. Damit rücken Maschinenbau, Elektronik, Fahrzeugbau und Medizintechnik in den Anwendungsbereich — ein Großteil des industriellen Rückgrats im DACH-Raum.

• ▸Erweiterter Anwendungsbereich: NIS2 erfasst mittlere und große Unternehmen ab etwa 50 Beschäftigten oder zehn Millionen Euro Jahresumsatz, darunter viele Zulieferer, die bisher keiner Regulierung unterlagen.
• ▸Meldepflichten mit Fristen: Eine Erstmeldung erheblicher Sicherheitsvorfälle muss binnen 24 Stunden erfolgen, eine ausführlichere Bewertung folgt kurz darauf.
• ▸Haftung der Leitung: Geschäftsführung und Vorstand müssen Risikomanagementmaßnahmen genehmigen und überwachen; Versäumnisse können persönlich sanktioniert werden.
• ▸Lieferkette im Blick: Auch die Sicherheit von Zulieferern und Dienstleistern wird Teil der Sorgfaltspflicht — hochrelevant für die eng verzahnte DACH-Industrie.

Österreich setzt die Vorgaben über das Netz- und Informationssystemsicherheitsgesetz um, während die Schweiz seit der Revision des Informationssicherheitsgesetzes eigene Meldepflichten an das Bundesamt für Cybersicherheit kennt. Wer in den EU-Binnenmarkt liefert, wird über die Lieferkettenanforderungen ohnehin erfasst, unabhängig vom eigenen Standort.

Die Konvergenz von IT und OT als Schwachstelle

Die eigentliche Herausforderung liegt weniger in den Vorschriften als in der Technik selbst. OT-Umgebungen sind auf Verfügbarkeit und funktionale Sicherheit ausgelegt, nicht auf schnelle Patch-Zyklen. Wenn Werksnetz und Büro-IT zusammenwachsen, treffen zwei Kulturen mit gegensätzlichen Prioritäten aufeinander.

• ▸Lange Lebenszyklen: Anlagen laufen oft 15 bis 25 Jahre; Betriebssysteme und Firmware lassen sich selten kurzfristig aktualisieren.
• ▸Verfügbarkeit vor Vertraulichkeit: In der OT hat der unterbrechungsfreie Betrieb Vorrang — schon ein Neustart nach einem Patch kann teuer werden.
• ▸Fehlende Transparenz: Viele Betriebe kennen ihr eigenes Asset-Inventar nur lückenhaft und sehen nicht, welche Geräte tatsächlich kommunizieren.
• ▸Flache Netze: Historisch gewachsene Netzwerke ohne Segmentierung lassen Angreifer nach einem Einbruch ungehindert lateral wandern.

Diese Ausgangslage macht deutlich, warum eine reine Firewall am Perimeter nicht ausreicht. Sicherheit muss tief in Architektur und Prozesse eingebettet werden.

Bewährte Frameworks statt Einzellösungen

Die gute Nachricht: Niemand muss die OT-Sicherheit neu erfinden. Etablierte Standards liefern erprobte Bausteine, die sich gezielt kombinieren lassen und die Anforderungen von NIS2 direkt bedienen.

• ▸IEC 62443: Der internationale Standard für industrielle Automatisierungs- und Steuerungssysteme liefert mit Zonen und Conduits ein praxistaugliches Segmentierungsmodell.
• ▸ISO/IEC 27001: Ein zertifizierbares Informationssicherheits-Managementsystem schafft die organisatorische Grundlage, die NIS2 einfordert.
• ▸BSI IT-Grundschutz: Für den deutschen Markt bietet das BSI konkrete Bausteine, die sich mit ISO 27001 verzahnen lassen.
• ▸Zero Trust: Statt implizitem Vertrauen im Werksnetz gilt das Prinzip der kontinuierlichen Verifizierung jeder Verbindung und Identität.
• ▸Cyber Resilience Act: Wer vernetzte Produkte in Verkehr bringt, muss künftig Security-by-Design und Update-Fähigkeit über den gesamten Lebenszyklus nachweisen.

Entscheidend ist, diese Rahmenwerke nicht als Papierübung zu behandeln, sondern als lebendige Praxis, die regelmäßig überprüft und an neue Bedrohungen angepasst wird.

Checkliste: In sechs Schritten zur NIS2-Reife

Die folgende Reihenfolge hat sich in vielen Fertigungsprojekten bewährt und lässt sich unabhängig von der Unternehmensgröße anwenden.

1. Asset-Inventar erstellen: Erfassen Sie jedes Gerät im OT-Netz, von der SPS über das HMI bis zum Engineering-Rechner, inklusive Firmware-Stand und Kommunikationsbeziehungen. 2. Netzwerke segmentieren: Trennen Sie Produktion und Büro-IT nach dem Zonenmodell der IEC 62443 und kontrollieren Sie den Übergang über definierte Conduits. 3. Fernzugriffe absichern: Ersetzen Sie offene VPN-Zugänge durch verwaltete, protokollierte und mehrstufig authentifizierte Wartungszugriffe. 4. Notfall- und Meldeprozesse definieren: Legen Sie fest, wer bei einem Vorfall was tut, damit die 24-Stunden-Frist realistisch eingehalten werden kann. 5. Lieferkette bewerten: Prüfen Sie Zulieferer und Dienstleister anhand vertraglicher Sicherheitsanforderungen und regelmäßiger Nachweise. 6. Awareness und Governance verankern: Schulen Sie Belegschaft und Führung und dokumentieren Sie die Risikoentscheidungen auf Leitungsebene.

Nearshore-Engineering aus Tunesien für den DACH-Raum

Der größte Engpass ist selten das Wissen um das richtige Vorgehen, sondern die Kapazität, es umzusetzen. Der Fachkräftemangel für OT-Sicherheit, sichere Softwareentwicklung und Compliance-Automatisierung ist in Deutschland, Österreich und der Schweiz besonders spürbar. Genau hier setzt nearshore-basiertes Engineering an.

TuniCyberLabs verbindet einen Hauptsitz in Estland und Standorte in Zypern mit einem starken Engineering-Team in Tunesien. Diese Konstellation ist für den DACH-Raum aus mehreren Gründen attraktiv:

• ▸Zeitzonen-Nähe: Tunesien arbeitet nahezu im selben Tagesrhythmus wie Mitteleuropa, sodass Abstimmungen in Echtzeit statt asynchron über Nacht laufen.
• ▸Kosteneffizienz: Spezialisierte Engineering-Leistung wird zu Konditionen erbracht, die deutlich unter denen lokaler Verfügbarkeit liegen, ohne Abstriche bei der Qualität.
• ▸EU-Vertragsrahmen: Über die europäische Muttergesellschaft lassen sich Verträge, Auftragsverarbeitung und Datenschutz nach DSGVO-Maßstab sauber abbilden.
• ▸Fachliche Tiefe: Von IEC-62443-Assessments über sichere Firmware bis zu Compliance-nahen Automatisierungen deckt das Team die Bandbreite ab, die NIS2-Projekte benötigen.

So wird aus einer regulatorischen Pflicht ein plan- und finanzierbares Vorhaben, statt eines Projekts, das am leergefegten Arbeitsmarkt scheitert.

Ausblick

NIS2 ist kein einmaliges Compliance-Ereignis, sondern der Beginn einer dauerhaften Verschiebung: OT-Sicherheit wird zur Grundvoraussetzung dafür, überhaupt am europäischen Markt teilzunehmen. Mit dem Cyber Resilience Act, strengeren Lieferkettenerwartungen und der weiter fortschreitenden Vernetzung der Produktion werden die Anforderungen in den kommenden Jahren eher steigen als sinken. Hersteller, die jetzt ein belastbares Fundament aus Asset-Transparenz, Segmentierung und gelebten Frameworks legen, verwandeln Regulierung in einen Wettbewerbsvorteil. Wer die nötige Umsetzungskraft klug ergänzt — etwa durch europäisch verankertes Nearshore-Engineering aus Tunesien — kann diese Transformation meistern, ohne die eigenen Teams zu überlasten oder die Innovationskraft der DACH-Industrie zu bremsen.