{"id":51405,"date":"2026-09-06T18:50:27","date_gmt":"2026-09-06T16:50:27","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51405"},"modified":"2026-09-06T18:50:27","modified_gmt":"2026-09-06T16:50:27","slug":"nis2-ot-sicherheit-produktion-51405","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/nis2-ot-sicherheit-produktion-51405\/","title":{"rendered":"NIS2: IT-Sicherheitsprozesse passen nicht auf Produktionsanlagen"},"content":{"rendered":"<p>Acht Monate nach Inkrafttreten des <a href=\"https:\/\/overcentral.com\/de\/nis2-zugangsdatenkontrollen-compliance-risiken-49848\/\" title=\"NIS2: 7 Zugangsdatenkontrollen senken Compliance-Risiken\" data-iacss-internal=\"1\">NIS2<\/a>aaa-Umsetzungs- und Cybersicherheitsst\u00e4rkungsgesetzes zeigt sich in deutschen Werken ein ern\u00fcchterndes Bild: W\u00e4hrend die IT-Abteilungen vielerorts mit den Risikomanagement-Ma\u00dfnahmen aus \u00a7 30 BSIG vorankommen, bleibt die Operational Technology (OT) auf einem Reifegrad zur\u00fcck, der die Gesch\u00e4ftsleitung ihren Aufsichtsr\u00e4ten ungern vorlegt. Verantwortlich daf\u00fcr ist nicht das Vers\u00e4umnis einzelner Unternehmen, sondern eine strukturelle Fehlannahme: dass sich die NIS2-Umsetzung als reines IT-Compliance-Projekt aus dem etablierten Werkzeugkasten der Office-Sicherheit realisieren lasse. Der Grund liegt nicht am fehlenden Willen, sondern an einer folgenreichen Fehlannahme \u2013 was <a href=\"https:\/\/overcentral.com\/de\/uta-dresch-docuware-coo-50604\/\" title=\"Docuware-COO Uta Dresch: Vier Kinder und Karriere in der IT\" data-iacss-internal=\"1\">in der IT<\/a> funktioniert, scheitert auf dem Shopfloor.<\/p>\n<h2>Warum IT-Sicherheitsprozesse in der Produktion versagen<\/h2>\n<p>Die zentrale Problematik liegt in der Natur der Betriebstechnik. Eine jahrzehntealte Steuerungsanlage l\u00e4sst sich nicht einfach patchen wie ein B\u00fcro-Laptop. In der IT gelten schnelle Patch-Zyklen, standardisierte Software-Updates und die Priorit\u00e4t von Vertraulichkeit und Integrit\u00e4t. In der OT dagegen steht die Verf\u00fcgbarkeit an oberster Stelle. Ein ungeplanter Neustart einer Produktionslinie kann Millionensch\u00e4den verursachen. Genau an dieser Realit\u00e4t scheitern viele NIS2-Umsetzungen in der Produktion.<\/p>\n<p>Die Industrie hat jahrelang auf Segregation gesetzt: Produktionsnetze waren physisch von der IT getrennt. Doch die zunehmende Digitalisierung, Industrie 4.0 und die Integration von IoT-Ger\u00e4ten heben diese Grenzen auf. Pl\u00f6tzlich greifen IT-Sicherheitsprozesse auf Anlagen zu, die daf\u00fcr nie ausgelegt waren. Die typischen vier Fehler, die die NIS2-Umsetzung in der OT verz\u00f6gern, sind dabei immer wieder dieselben.<\/p>\n<ul>\n<li><strong><a href=\"https:\/\/overcentral.com\/de\/patch-management-unter-druck-50171\/\" title=\"KI treibt Schwachstellen-Flut: Patch-Management unter Druck\" data-iacss-internal=\"1\">Patch-Management<\/a> nach IT-Logik:<\/strong> In der OT k\u00f6nnen Sicherheitsupdates oft erst nach aufwendigen Tests in geplanten Wartungsfenstern eingespielt werden. Ein sofortiges Patchen ist in vielen F\u00e4llen technisch unm\u00f6glich oder wirtschaftlich nicht vertretbar.<\/li>\n<li><strong>Fehlende Bestandsaufnahme:<\/strong> Viele Unternehmen kennen ihren OT-Altbestand nicht vollst\u00e4ndig. Anlagen, die vor Jahren installiert wurden, laufen mit veralteten Betriebssystemen, die keine Sicherheitsupdates mehr erhalten und nicht im Inventar der IT erfasst sind.<\/li>\n<li><strong>Mangelnde Netzsegmentierung:<\/strong> Trotz der bekannten Risiken sind Produktionsnetze oft flach aufgebaut. Einmal im OT-Netz angekommen, k\u00f6nnen sich Angreifer lateral bewegen und kritische Steuerungssysteme erreichen.<\/li>\n<li><strong>Unzureichende OT-Kompetenz:<\/strong> IT-Sicherheitsteams kennen h\u00e4ufig die spezifischen Protokolle (wie Profinet, Modbus) und die Betriebsanforderungen der Produktion nicht. Umgekehrt haben OT-Mitarbeiter selten tiefgehende Cybersicherheitskenntnisse.<\/li>\n<\/ul>\n<h2>NIS2 in der OT erfordert einen eigenen Ansatz<\/h2>\n<p>Die <a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/nis2-directive\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">NIS2-Richtlinie<\/a> ist technologie- und branchenneutral formuliert, aber ihre Umsetzung in der Produktion erzwingt eine andere Denkweise. Der \u00a7 30 BSIG verlangt von Unternehmen technische und organisatorische Ma\u00dfnahmen, die dem Stand der Technik entsprechen. Was in der IT als &#8222;Stand der Technik&#8220; gilt \u2013 etwa die automatische Verteilung von Signature-Updates \u2013 ist in der OT oft kontraproduktiv. Der Schl\u00fcssel liegt in einer risiko- und betriebsorientierten Analyse. Welche Anlage ist wirklich kritisch? Welche Segmentierung ist umsetzbar, ohne die Produktion zu st\u00f6ren? Wie lassen sich alte Systeme durch Kompensationsma\u00dfnahmen wie Netzwerk-Monitoring oder applizierte Whitelisting-L\u00f6sungen sch\u00fctzen?<\/p>\n<p>Die formale Schonfrist ist seit dem Ablauf der BSI-Registrierungsfrist am 6. M\u00e4rz 2026 endg\u00fcltig verstrichen. Wer heute noch glaubt, die IT-Abteilung k\u00f6nne die Produktion einfach nach den gleichen Prozessen absichern, handelt fahrl\u00e4ssig. Die Aufsichtsbeh\u00f6rden werden bei Audits nicht nur pr\u00fcfen, ob ein Informationssicherheits-Managementsystem existiert, sondern auch, ob es die spezifischen Risiken der Operational Technology adressiert.<\/p>\n<h3>Die Zukunft der OT-Sicherheit unter NIS2<\/h3>\n<p>Die n\u00e4chsten Monate werden zeigen, ob der produzierende Mittelstand den Paradigmenwechsel vollzieht. Die Einrichtung dedizierter OT-Sicherheitsteams, die enge Zusammenarbeit zwischen IT und Automation sowie die Investition in spezialisierte L\u00f6sungen wie OT-Security-Information-and-Event-Management (SIEM) oder spezielle Firewalls f\u00fcr industrielle Protokolle sind keine optionalen Extras mehr, sondern regulatorisch gefordert. Unternehmen, die NIS2 in der OT als reines IT-Projekt behandeln, laufen nicht nur Gefahr, die gesetzlichen Vorgaben zu verfehlen, sondern setzen ihre gesamte Produktion einem existenziellen Risiko aus. Die Produktion ist das Herz des Unternehmens \u2013 und dieses Herz darf nicht mit Methoden behandelt werden, die f\u00fcr die B\u00fcro-IT konzipiert sind.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Acht Monate nach Inkrafttreten des NIS2aaa-Umsetzungs- und Cybersicherheitsst\u00e4rkungsgesetzes zeigt sich in deutschen Werken ein ern\u00fcchterndes Bild: W\u00e4hrend die IT-Abteilungen vielerorts mit den Risikomanagement-Ma\u00dfnahmen aus \u00a7 30 BSIG vorankommen, bleibt die Operational Technology (OT) auf einem Reifegrad zur\u00fcck, der die Gesch\u00e4ftsleitung ihren Aufsichtsr\u00e4ten ungern vorlegt. Verantwortlich daf\u00fcr ist nicht das Vers\u00e4umnis einzelner Unternehmen, sondern eine strukturelle [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":54852,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51405.png","fifu_image_alt":"NIS2: IT-Sicherheitsprozesse passen nicht auf Produktionsanlagen","footnotes":""},"categories":[6672],"tags":[],"class_list":["post-51405","post","type-post","status-publish","format-standard","has-post-thumbnail","category-technologie"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51405.png","fifu_image_alt":"NIS2: IT-Sicherheitsprozesse passen nicht auf Produktionsanlagen","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51405","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51405"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51405\/revisions"}],"predecessor-version":[{"id":51407,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51405\/revisions\/51407"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54852"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51405"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51405"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51405"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}