42 Tage bis zur Entdeckung, 24 Stunden bis zur Meldung: NIS2 und die Realität in OT-Umgebungen

Jaguar Land Rover verlor fünf Produktionswochen und rund 50 Millionen Pfund pro Woche, als ein Ransomware-Angriff im September 2025 Werke in Großbritannien, der Slowakei und Brasilien lahmlegte. Die Angreifer haben kein einziges Gerät in der Fertigung berührt. Es genügte, die IT-Systeme zu verschlüsseln, in denen Produktionsplanung, Komponentenbestellungen und Lieferantenkommunikation liefen. Die Linien standen still, weil ohne diese Daten nichts zu bauen war und nichts, woraus. JLR wusste immerhin sofort Bescheid: Die Produktion stand noch am selben Tag. Die meisten Einbrüche in industrielle Umgebungen zeigen sich sehr viel später, und genau dort werden die Meldepflichten aus NIS2 auf eine Weise schwierig, die der Text der Richtlinie nicht vermuten lässt.

Die meisten Hersteller teilen diese Einschätzung und schieben die Arbeit trotzdem auf, denn NIS2 umzusetzen heißt, Hunderte Geräte zu inventarisieren, die Netzarchitektur umzubauen und mit jedem Lieferanten und Integrator ein eigenes Gespräch zu führen. Das ist keine Nachlässigkeit. Es ist eine realistische Aufwandsschätzung, in der Compliance gegen den laufenden Betrieb verliert, bis sie auf eine Frist oder einen Vorfall trifft.

Kurz gefasst: NIS2, in Deutschland umgesetzt durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) und das novellierte BSIG, verlangt Risikomanagement, die Meldung von Vorfällen, Segmentierung, Sicherheit in der Lieferkette und Verantwortung auf Leitungsebene. Die Anforderungen zu verstehen, dauert einen Nachmittag. Schwierig wird es beim ersten Gerät auf der Liste: der Steuerung, die die Pasteurisierung überwacht und mit Software läuft, die der Hersteller vor sechs Jahren aus der Wartung genommen hat. Sie lässt sich nicht aktualisieren ohne Freigabe des Herstellers, Unterstützung des Integrators und eine erneute Validierung des Prozesses, und diese Validierung betrifft die Parameter, die darüber entscheiden, ob das Produkt sicher verzehrt werden kann. Das nächste Fenster dafür liegt im November.

Nicht die Regulierung ist der schwierige Teil

NIS2 benennt zehn Risikomanagementmaßnahmen und einen Meldetakt. Einmal gelesen, ist die Absicht der NIS-2-Richtlinie klar, denn es sind dieselben Prinzipien, die jedes Sicherheitsteam wiedererkennt. Geprüft wird in Deutschland allerdings gegen das NIS2UmsuCG und das BSIG, nicht gegen den Richtlinientext. Kompliziert wird es durch die Umgebung, in der sie landen.

Die Unternehmens-IT kann einen Server am Dienstagabend patchen, einen Agenten auf jedes Notebook ausrollen und nicht mehr unterstützte Hardware im Refresh-Zyklus austauschen. Eine Produktionsumgebung bietet keine dieser Optionen auf Zuruf. Deshalb bleibt ein IT-Sicherheitsplaybook, das unverändert auf OT übertragen wird, meist in der ersten Woche stecken: Ein Netzwerkscan löst an einer Steuerung Alarm aus, ein EDR-Agent blockiert die Steuerungsanwendung, und eine erzwungene Update-Richtlinie kollidiert mit der Zertifizierung der Anlage. Die Anforderungen sind richtig. Der Weg dorthin führt über Änderungen an der Architektur des Werks, und die gehören in Ihr Programm für Digital Manufacturing, nicht in ein separates Compliance-Projekt neben der Produktion.

Fünf Dinge, die aus einer Anforderung eine betriebliche Entscheidung machen

1. Geräte, die sich in diesem Quartal nicht patchen lassen. Der Hersteller der Steuerung hat den Fix veröffentlicht, aber ihn zu installieren bedeutet Linienstillstand, einen OEM-Techniker vor Ort und einen vollständigen Regressionstest der Steuerungslogik. Bei validierten Anlagen kommt die Requalifizierung des Prozesses hinzu. Industrielle Hardware läuft drei- bis viermal länger als IT-Hardware, deshalb bleiben manche Schwachstellen jahrelang bestehen, ganz gleich, was die Patch-Richtlinie auf dem Papier sagt. 

2. Kein einheitliches Bild davon, was verbunden ist. Steuerungen, Industrie-PCs, Switches, HMIs, Engineering-Stationen, Notebooks von Dienstleistern, Fernwartungszugänge. Wenige Werke können eine verlässliche Liste vorlegen, weil Daten aus Geräten verschiedener Hersteller nie an einem gemeinsamen Ort angekommen sind. Deshalb erweisen sich der Aufbau einer industriellen Konnektivitätsschicht und die Arbeit an OT-Sicherheit immer wieder als dasselbe Projekt. 

3. Wartungsfenster, die einmal im Quartal kommen. Das Gerät mit Ihrer gravierendsten Schwachstelle ist womöglich nur während eines geplanten Stillstands erreichbar. Bis dahin besteht die Schwachstelle, und jemand muss bewusst entscheiden, dass Sie damit leben. 

4. Verteilte Standorte und Lieferantenabhängigkeiten. Andere Werke, andere Integratoren, andere Architekturen und OEM-Verträge, die Fernzugriff verlangen, damit die Gewährleistung gilt. 

5. Drei Teams, die einander brauchen. IT-Sicherheit und CISO wissen, was die Richtlinie verlangt. Die OT-Sicherheit weiß, wie sich das im Steuerungssystem umsetzen lässt, ohne betriebliches Risiko zu erzeugen. Die Automatisierungstechnik kennt den Prozess. Keines der drei Teams kann das Risiko allein bemessen, und OT-Sicherheit, die allein von der IT geliefert wird, führt zu Maßnahmen, die das Werk später umgeht. 

Eine weitere Sicherheitstechnologie löst diese Probleme nicht. Was hilft, sind Sichtbarkeit und ein gemeinsames Risikomodell. Solange Sicherheit und Instandhaltung auf zwei verschiedene Gerätelisten schauen, ist jede Entscheidung über Patchen, Isolieren oder Austauschen eine Verhandlung ohne gemeinsame Daten.

Auswirkungen von NIS2 auf Industrieunternehmen

1. Operatives Risikomanagement
   Cybersicherheit wird zu einem Kernelement, das Produktionskontinuität, Arbeitssicherheit und die Widerstandsfähigkeit des Geschäfts beeinflusst.
2. Erweiterte Verantwortung
   Das Risikomanagement erstreckt sich auf Lieferanten und Technologiepartner, die letzte Verantwortung trägt die Unternehmensleitung.
3. Proaktive Reife
   Compliance zeigt, wie gut eine Organisation Cyberrisiken steuert und den Betrieb während eines Vorfalls aufrechterhält.

Beginnen Sie damit zu verstehen, was tatsächlich läuft

Ein OT-Asset-Inventar ist keine Verwaltungsaufgabe. Es ist das Fundament, auf dem alles andere steht. Ein brauchbares Inventar hält fest, was verbunden ist, welchen Prozess es unterstützt, wie kritisch dieser Prozess ist, wie das Gerät kommuniziert, wo IT und OT aufeinandertreffen, wer es erreichen kann und was passiert, wenn es ausfällt. Das von Hand zusammenzutragen dauert Wochen und ist veraltet, bevor es fertig ist. Ein nutzbares Inventar muss zentral gepflegt werden, unterstützt durch automatisierte Discovery-Werkzeuge und durch eine Richtlinie, die seine Aktualität zur Aufgabe einer benannten Person macht. Kein Werkzeug findet alles, dafür sind Gerätetypen, Netzdesigns und undokumentierte Verbindungen zu vielfältig. Die Werkzeuge schließen den größten Teil der Lücke, den Rest schließt der Prozess.

Ohne das ist eine Schwachstellenliste nur eine Liste. Dieselbe Lücke auf einem Prüfstand und auf der Station, die die taktgebende Linie des Werks steuert, sind zwei verschiedene Probleme, und ein Wartungsfenster löst nur eines davon. Welche Geräte in die zweite Kategorie fallen, zeigen Produktionsdaten, die Sie ohnehin erheben: OEE-Monitoring zeigt, wo Stillstand am meisten kostet.

Was danach kommt: Segmentierung, Monitoring und eine realistische Patch-Richtlinie

1. Segmentierung begrenzt, wie weit ein Angreifer kommt. Laut dem Dragos-Bericht 2026 verfügen 81% der bewerteten Industrieumgebungen nicht über ein ausreichendes Niveau, was den Übergang vom Unternehmensnetz in die Steuerungssysteme erleichtert. Sie lässt sich nicht am Architekturdiagramm entwerfen, denn die meisten Werke tragen undokumentierte Verbindungen mit sich, die über Jahre entstanden sind: ein Notebook, das zwei Zonen überbrückt, eine ERP-Integration, die weiter reicht als beabsichtigt, ein Fernzugang, der 2019 für einen Serviceeinsatz eingerichtet und nie entfernt wurde. Kartieren Sie zuerst den realen Datenverkehr.

2. Monitoring zeigt, wann sich normales Verhalten verändert, und der Meldezeitplan ist der Grund, warum das zählt. Die NIS2-Uhr beginnt nicht mit dem Einbruch, sondern in dem Moment, in dem Sie davon Kenntnis erlangen: 24 Stunden für die Frühwarnung, 72 Stunden für die Bewertung der Auswirkungen, ein Monat für den Abschlussbericht. Stellen Sie daneben die 42 Tage unentdeckten Zugriffs, die derselbe Bericht als durchschnittliche Verweildauer von Ransomware in OT-Umgebungen nennt, und das Problem wird deutlich. Diese sechs Wochen verstoßen gegen nichts in der Richtlinie. Das Problem ist, was sie hinterlassen: eine Zeit, in der niemand hingesehen hat, also fehlen die Nachweise, und die Meldung läuft auf Rekonstruktion hinaus. Wenn Sie ohnehin Daten aus dem Werk erheben, sind Sie viel näher dran, als Sie denken, denn die Meldearbeit wird zur Abfrage dessen, was Sie haben, statt zum Zusammentragen von Grund auf. Wenn Sie nichts erheben, starten Sie bei null an dem Tag, an dem die Uhr läuft. Und 42 Tage sind der Durchschnitt, viele Fälle dauern deutlich länger. Es lohnt sich, daran zu denken: Monitoring in der OT muss passiv sein, denn intrusive Scans und Agenten auf älteren Steuerungssystemen erzeugen genau das betriebliche Risiko, das Sie vermeiden wollten.
   

3. Risikobasiertes Schwachstellenmanagement beginnt mit der Einsicht, dass sich nicht alles sofort patchen lässt, und mit der Weigerung, daraus eine Ausrede zu machen. Wenn der Fix warten muss:

• Zugriff einschränken. Steuern Sie, wer das Gerät von wo aus erreichen kann. 

• Auf Netzebene kompensieren. Strengere Isolation des Geräts im OT-Netz und Härtung an der Zonengrenze. 

• Überwachen. Beobachten Sie den Verkehr zum und vom Gerät, damit eine Verhaltensänderung sichtbar wird. 

• Die Behebung terminieren. Planen Sie die Maßnahme in einen Stillstand ein, den es im Kalender tatsächlich gibt. 

Eine Aufsichtsbehörde sucht keinen leeren Patch-Bericht. Sie sucht eine dokumentierte und belastbare Risikoentscheidung.

Die technischen Details zu allen drei Punkten stehen in NIS2 and OT Networks: What the Directive Really Means for Your Manufacturing Plant (auf Englisch).

Eine Arbeitsstation, zwei richtige Antworten

Eine Engineering-Station im Steuerungsnetz einer Abfülllinie läuft mit einer nicht mehr unterstützten Windows-Version. Der Anlagenlieferant verbindet sich zur Diagnose per Fernzugriff.

Die Sicherheit sagt: Betriebssystem aktualisieren, Schutz installieren, die externe Verbindung kappen.

Die Instandhaltung sagt: Die Steuerungsanwendung ist für ein neueres Betriebssystem nicht validiert, der Austausch der Station erfordert Unterstützung des Herstellers und eine Requalifizierung des Prozesses, ein Agent kann die Steuerungssoftware stören, und ohne Fernzugriff heißt es beim nächsten Linienstillstand auf einen Techniker vor Ort warten.

Beide haben mit Blick auf ihr eigenes Risiko recht, und keiner kann allein entscheiden. Es löst sich, indem festgestellt wird, wie kritisch und wie exponiert das Gerät ist, nicht benötigte Verbindungen gekappt werden, die Sitzung des Lieferanten kontrolliert und protokolliert wird, der Verkehr beobachtet wird und der Austausch in das nächste geplante Wartungsfenster eingeplant wird. So kommt Compliance als betriebliche Risikoentscheidung an und nicht als paralleles Pflichtprogramm, das dem Werk auferlegt wird.

Jemand muss diese Entscheidung dennoch treffen. Nach Artikel 20 liegt die Verantwortung bei der Leitung, und in der Fertigung heißt das: OT-Sicherheit kann nicht länger vollständig bei der IT oder beim CISO liegen.

Ihre Frist hängt davon ab, wo Sie produzieren

NIS2 ist eine Richtlinie und keine Verordnung, deshalb ergeben sich die für Sie geltenden Termine aus dem nationalen Umsetzungsgesetz. In Deutschland ist das das NIS2UmsuCG mit dem novellierten BSIG, in Österreich das NISG, in Polen die Novelle des KSC-Gesetzes.

Mehr als zwanzig Länder setzen die Vorgaben bereits durch. Vollständiger Status nach Ländern, regelmäßig aktualisiert. Eine Gruppe mit Werken in drei Ländern arbeitet für dieselbe Richtlinie mit drei Zeitplänen, drei Registrierungswegen und drei Aufsichtsbehörden.

Die Frage, die sich lohnt

Die stärksten Programme sind nicht die mit den meisten Richtlinien, sondern die, die das Werk mit besserer Sichtbarkeit, klarer Verantwortung für Risiken und einer echten Fähigkeit zurücklassen, Störungen einzugrenzen und sich davon zu erholen. Dorthin zu kommen braucht Menschen, die Steuerungen in Betrieb genommen haben, und Menschen, die Sicherheitsrichtlinien geschrieben haben. So arbeiten wir bei TT PSC mit Kunden: Ingenieure, die Werke in ganz Europa vernetzt und integriert haben, gemeinsam mit OT-Sicherheitsspezialisten, die Umgebungen bewerten, die nicht stillstehen dürfen.

Die nützliche Frage lautet also nicht, was Sie umsetzen müssen, um konform zu sein. Sie lautet, was sich in Ihrem Betrieb ändern muss, damit Resilienz Teil der Art wird, wie Sie produzieren. Die Antwort beginnt mit einer ehrlichen Standortbestimmung, und die muss kein großes Projekt sein.

NIS2-Readiness-Check für OT-Umgebungen