Acht Monate nach Inkrafttreten des NIS2aaa-Umsetzungs- und Cybersicherheitsstärkungsgesetzes zeigt sich in deutschen Werken ein ernüchterndes Bild: Während die IT-Abteilungen vielerorts mit den Risikomanagement-Maßnahmen aus § 30 BSIG vorankommen, bleibt die Operational Technology (OT) auf einem Reifegrad zurück, der die Geschäftsleitung ihren Aufsichtsräten ungern vorlegt. Verantwortlich dafür ist nicht das Versäumnis einzelner Unternehmen, sondern eine strukturelle Fehlannahme: dass sich die NIS2-Umsetzung als reines IT-Compliance-Projekt aus dem etablierten Werkzeugkasten der Office-Sicherheit realisieren lasse. Der Grund liegt nicht am fehlenden Willen, sondern an einer folgenreichen Fehlannahme – was in der IT funktioniert, scheitert auf dem Shopfloor.
Warum IT-Sicherheitsprozesse in der Produktion versagen
Die zentrale Problematik liegt in der Natur der Betriebstechnik. Eine jahrzehntealte Steuerungsanlage lässt sich nicht einfach patchen wie ein Büro-Laptop. In der IT gelten schnelle Patch-Zyklen, standardisierte Software-Updates und die Priorität von Vertraulichkeit und Integrität. In der OT dagegen steht die Verfügbarkeit an oberster Stelle. Ein ungeplanter Neustart einer Produktionslinie kann Millionenschäden verursachen. Genau an dieser Realität scheitern viele NIS2-Umsetzungen in der Produktion.
Die Industrie hat jahrelang auf Segregation gesetzt: Produktionsnetze waren physisch von der IT getrennt. Doch die zunehmende Digitalisierung, Industrie 4.0 und die Integration von IoT-Geräten heben diese Grenzen auf. Plötzlich greifen IT-Sicherheitsprozesse auf Anlagen zu, die dafür nie ausgelegt waren. Die typischen vier Fehler, die die NIS2-Umsetzung in der OT verzögern, sind dabei immer wieder dieselben.
- Patch-Management nach IT-Logik: In der OT können Sicherheitsupdates oft erst nach aufwendigen Tests in geplanten Wartungsfenstern eingespielt werden. Ein sofortiges Patchen ist in vielen Fällen technisch unmöglich oder wirtschaftlich nicht vertretbar.
- Fehlende Bestandsaufnahme: Viele Unternehmen kennen ihren OT-Altbestand nicht vollständig. Anlagen, die vor Jahren installiert wurden, laufen mit veralteten Betriebssystemen, die keine Sicherheitsupdates mehr erhalten und nicht im Inventar der IT erfasst sind.
- Mangelnde Netzsegmentierung: Trotz der bekannten Risiken sind Produktionsnetze oft flach aufgebaut. Einmal im OT-Netz angekommen, können sich Angreifer lateral bewegen und kritische Steuerungssysteme erreichen.
- Unzureichende OT-Kompetenz: IT-Sicherheitsteams kennen häufig die spezifischen Protokolle (wie Profinet, Modbus) und die Betriebsanforderungen der Produktion nicht. Umgekehrt haben OT-Mitarbeiter selten tiefgehende Cybersicherheitskenntnisse.
NIS2 in der OT erfordert einen eigenen Ansatz
Die NIS2-Richtlinie ist technologie- und branchenneutral formuliert, aber ihre Umsetzung in der Produktion erzwingt eine andere Denkweise. Der § 30 BSIG verlangt von Unternehmen technische und organisatorische Maßnahmen, die dem Stand der Technik entsprechen. Was in der IT als „Stand der Technik“ gilt – etwa die automatische Verteilung von Signature-Updates – ist in der OT oft kontraproduktiv. Der Schlüssel liegt in einer risiko- und betriebsorientierten Analyse. Welche Anlage ist wirklich kritisch? Welche Segmentierung ist umsetzbar, ohne die Produktion zu stören? Wie lassen sich alte Systeme durch Kompensationsmaßnahmen wie Netzwerk-Monitoring oder applizierte Whitelisting-Lösungen schützen?
Die formale Schonfrist ist seit dem Ablauf der BSI-Registrierungsfrist am 6. März 2026 endgültig verstrichen. Wer heute noch glaubt, die IT-Abteilung könne die Produktion einfach nach den gleichen Prozessen absichern, handelt fahrlässig. Die Aufsichtsbehörden werden bei Audits nicht nur prüfen, ob ein Informationssicherheits-Managementsystem existiert, sondern auch, ob es die spezifischen Risiken der Operational Technology adressiert.
Die Zukunft der OT-Sicherheit unter NIS2
Die nächsten Monate werden zeigen, ob der produzierende Mittelstand den Paradigmenwechsel vollzieht. Die Einrichtung dedizierter OT-Sicherheitsteams, die enge Zusammenarbeit zwischen IT und Automation sowie die Investition in spezialisierte Lösungen wie OT-Security-Information-and-Event-Management (SIEM) oder spezielle Firewalls für industrielle Protokolle sind keine optionalen Extras mehr, sondern regulatorisch gefordert. Unternehmen, die NIS2 in der OT als reines IT-Projekt behandeln, laufen nicht nur Gefahr, die gesetzlichen Vorgaben zu verfehlen, sondern setzen ihre gesamte Produktion einem existenziellen Risiko aus. Die Produktion ist das Herz des Unternehmens – und dieses Herz darf nicht mit Methoden behandelt werden, die für die Büro-IT konzipiert sind.
