{"id":50445,"date":"2026-08-29T21:07:30","date_gmt":"2026-08-29T19:07:30","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50445"},"modified":"2026-08-29T21:07:30","modified_gmt":"2026-08-29T19:07:30","slug":"nis2-ot-umsetzung-produktion-fehler-analyse-50445","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/nis2-ot-umsetzung-produktion-fehler-analyse-50445\/","title":{"rendered":"NIS2-\u00dcbernahme in der Produktion scheitert an falschen IT-Prozessen"},"content":{"rendered":"<p>Acht Monate nach Inkrafttreten von <a href=\"https:\/\/overcentral.com\/de\/nis2-zugangsdatenkontrollen-compliance-risiken-49848\/\" title=\"NIS2: 7 Zugangsdatenkontrollen senken Compliance-Risiken\" data-iacss-internal=\"1\">NIS2<\/a> zeigt sich in deutschen Produktionsbetrieben ein unbequemer Befund: Die IT ist vorbereitet, die Produktion nicht. Der Grund liegt nicht am fehlenden Willen, sondern an einer folgenreichen Fehlannahme. Was in der Office-IT funktioniert, scheitert an der Realit\u00e4t auf dem Shopfloor. Die Risikomanagement-Ma\u00dfnahmen aus <a href=\"https:\/\/www.gesetze-im-internet.de\/bsig_2021\/__30.html\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">\u00a7 30 BSIG<\/a> sind in der B\u00fcro-Umgebung vielerorts auf einem vorzeigbaren Weg, doch die Operational Technology bleibt auf einem Reifegrad zur\u00fcck, den die Gesch\u00e4ftsleitung ihren Aufsichtsr\u00e4ten ungern vorlegt.<\/p>\n<h2>NIS2 in der OT: Warum IT-Prozesse nicht greifen<\/h2>\n<p>Seit das <a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/nis2-directive\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">NIS2<\/a>-Umsetzungs- und Cybersicherheitsst\u00e4rkungsgesetz am 6. Dezember 2025 in Kraft getreten und mit dem Ablauf der BSI-Registrierungsfrist am 6. M\u00e4rz 2026 die letzte formale Schonfrist verstrichen ist, l\u00e4sst sich ein strukturelles Problem identifizieren. Verantwortlich ist nicht das Vers\u00e4umnis einzelner Unternehmen, sondern eine grundlegende Fehlannahme: dass NIS2 sich als reines IT-Compliance-Projekt aus dem etablierten Werkzeugkasten der Office-Sicherheit umsetzen lasse. Diese Annahme ignoriert die fundamentalen Unterschiede zwischen Informationstechnologie und Betriebstechnologie.<\/p>\n<h3>Die vier typischen Fehler bei der NIS2-Umsetzung in der OT<\/h3>\n<p>In der Praxis wiederholen sich immer wieder dieselben Fehler, die eine erfolgreiche \u00dcberf\u00fchrung der gesetzlichen Anforderungen in die Produktion verhindern. Sie betreffen alle Bereiche der Sicherheitsarchitektur und erfordern ein Umdenken.<\/p>\n<ul>\n<li><strong><a href=\"https:\/\/overcentral.com\/de\/patch-management-unter-druck-50171\/\" title=\"KI treibt Schwachstellen-Flut: Patch-Management unter Druck\" data-iacss-internal=\"1\">Patch-Management<\/a> als Stolperstein:<\/strong> Eine jahrzehntealte Steuerungsanlage l\u00e4sst sich nicht einfach patchen wie ein B\u00fcro-Laptop. Verf\u00fcgbarkeit und Produktionskontinuit\u00e4t haben oberste Priorit\u00e4t. Sicherheitsupdates m\u00fcssen oft erst aufw\u00e4ndig zertifiziert werden, bevor sie auf die Anlage aufgespielt werden d\u00fcrfen. Viele Unternehmen \u00fcbertragen dennoch die IT-Patch-Richtlinien eins zu eins auf die OT \u2013 mit fatalen Folgen f\u00fcr die Produktion.<\/li>\n<li><strong>Fehlende Netzwerksegmentierung:<\/strong> In klassischen IT-Infrastrukturen sind flache Netze verbreitet, aber in der OT-Umgebung f\u00fchren sie dazu, dass ein Befall eines einzelnen Sensors das gesamte Werk lahmlegen kann. Eine konsequente Segmentierung nach dem Purdue-Modell wird oft aus Kostengr\u00fcnden oder wegen fehlender OT-Kenntnisse unterlassen.<\/li>\n<li><strong>Unzureichende Risikoanalyse f\u00fcr OT:<\/strong> Die aus der IT bekannten Risikobewertungen ber\u00fccksichtigen kaum die spezifischen Gefahren f\u00fcr Produktionsanlagen: Prozessunterbrechungen, physische Sch\u00e4den oder Sicherheitsrisiken f\u00fcr Mitarbeiter. Ein IT-Risiko-Raster, das auf Datenverlust fokussiert, erfasst nicht die realen Bedrohungen auf dem Shopfloor.<\/li>\n<li><strong>Mangelnde Einbindung der Produktionsteams:<\/strong> Sicherheitsverantwortliche planen Ma\u00dfnahmen oft am gr\u00fcnen Tisch, ohne die Betriebsingenieure und Werksleiter einzubeziehen. Das f\u00fchrt zu Konflikten: Was aus IT-Sicht sicher ist, kann aus Produktionssicht unbrauchbar sein. Ohne gemeinsame Sprache und Zielsetzung entstehen Reibungsverluste.<\/li>\n<\/ul>\n<h2>Welche konkreten Ma\u00dfnahmen sind f\u00fcr die OT-Umsetzung von NIS2 erforderlich?<\/h2>\n<p>Die gesetzlichen Anforderungen aus \u00a7 30 BSIG verlangen ein Risikomanagement, das der besonderen Natur von Produktionsumgebungen Rechnung tr\u00e4gt. Das bedeutet: Schutzprofile f\u00fcr Steuerungssysteme, Notfallkonzepte f\u00fcr den Ausfall kritischer Anlagen und regelm\u00e4\u00dfige Sicherheits\u00fcberpr\u00fcfungen, die die Betriebsrealit\u00e4t abbilden. Unternehmen m\u00fcssen ihre OT-Assets vollst\u00e4ndig inventarisieren, die Abh\u00e4ngigkeiten zwischen IT und OT dokumentieren und f\u00fcr jede Netzwerkzone separate Sicherheitsrichtlinien definieren. Die Ma\u00dfnahmen m\u00fcssen nachweisbar sein \u2013 das BSI erwartet konkrete Nachweise \u00fcber die Implementierung.<\/p>\n<h3>Vom IT-Projekt zum OT-Programm<\/h3>\n<p>Erfolgreiche Unternehmen haben erkannt, dass NIS2 in der Produktion keine Checkliste abarbeitet, sondern einen Kulturwandel einleitet. Statt die OT-Sicherheit als Subprojekt der IT-Compliance zu behandeln, richten sie eigene OT-Sicherheitsteams ein, die eng mit der Produktion zusammenarbeiten. Diese Teams \u00fcbersetzen die gesetzlichen Vorgaben in operative Prozesse, die den Gegebenheiten vor Ort entsprechen. Sie entwickeln zum Beispiel segmentierte Patch-Fenster, die nur w\u00e4hrend geplanter Stillst\u00e4nde aktiviert werden, oder nutzen virtuelle Patches, die \u00fcber Netzwerkebenen greifen, ohne die Steuerungssoftware zu ver\u00e4ndern.<\/p>\n<h2>Die Haftungsfrage treibt die Gesch\u00e4ftsf\u00fchrung um<\/h2>\n<p>Mit der versch\u00e4rften Haftung f\u00fcr F\u00fchrungskr\u00e4fte nach NIS2 gewinnt die OT-Sicherheit eine neue Dringlichkeit. Gesch\u00e4ftsf\u00fchrer und Vorst\u00e4nde m\u00fcssen pers\u00f6nlich f\u00fcr die Einhaltung der Cybersicherheitsma\u00dfnahmen einstehen. Werden Produktionsausf\u00e4lle auf unzureichende Sicherheitsvorkehrungen zur\u00fcckgef\u00fchrt, drohen Bu\u00dfgelder bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Vor diesem Hintergrund wird das Argument &#8222;die Anlage l\u00e4sst sich nicht patchen&#8220; nicht mehr als Entschuldigung akzeptiert \u2013 vielmehr m\u00fcssen alternative Schutzma\u00dfnahmen wie Netzwerk-Monitoring, Zugangskontrollen und physische Sicherungen dokumentiert und nachgewiesen werden.<\/p>\n<h3>Warum der Zeitdruck jetzt steigt<\/h3>\n<p>Die formale Schonfrist ist abgelaufen, aber viele Unternehmen stehen noch am Anfang der OT-Integration. Die ersten Pr\u00fcfungen durch das BSI oder Aufsichtsbeh\u00f6rden werden f\u00fcr das zweite Halbjahr 2026 erwartet. Wer jetzt nicht handelt, riskiert nicht nur Sanktionen, sondern vor allem einen ungesch\u00fctzten Produktionsbetrieb. Die Angriffsfl\u00e4che w\u00e4chst mit jeder weiteren vernetzten Maschine, und die Bedrohungslage f\u00fcr kritische Infrastrukturen hat in den letzten Monaten signifikant zugenommen \u2013 auch durch hybride Angriffe, die \u00fcber die IT in die OT eindringen.<\/p>\n<p>Die Zukunft der NIS2-Umsetzung in der Produktion wird sich nicht an der Einf\u00fchrung neuer Software entscheiden, sondern an der F\u00e4higkeit von Unternehmen, ihre Sicherheitsprozesse von der Fertigungsebene aus zu denken. Wer weiterhin IT-L\u00f6sungen als Blaupause f\u00fcr den Shopfloor verwendet, wird die gesetzlichen Anforderungen nicht erf\u00fcllen und gleichzeitig die Produktion gef\u00e4hrden. Der notwendige Paradigmenwechsel erfordert keine radikale Digitalisierung, sondern eine ehrliche Bestandsaufnahme der spezifischen OT-Risiken und eine Sicherheitsarchitektur, die Verf\u00fcgbarkeit, Sicherheit und Compliance in Einklang bringt.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Acht Monate nach Inkrafttreten von NIS2 zeigt sich in deutschen Produktionsbetrieben ein unbequemer Befund: Die IT ist vorbereitet, die Produktion nicht. Der Grund liegt nicht am fehlenden Willen, sondern an einer folgenreichen Fehlannahme. Was in der Office-IT funktioniert, scheitert an der Realit\u00e4t auf dem Shopfloor. Die Risikomanagement-Ma\u00dfnahmen aus \u00a7 30 BSIG sind in der B\u00fcro-Umgebung [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":53874,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50445.png","fifu_image_alt":"NIS2-\u00dcbernahme in der Produktion scheitert an falschen IT-Prozessen","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-50445","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50445.png","fifu_image_alt":"NIS2-\u00dcbernahme in der Produktion scheitert an falschen IT-Prozessen","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50445","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50445"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50445\/revisions"}],"predecessor-version":[{"id":50447,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50445\/revisions\/50447"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53874"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50445"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50445"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50445"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}