Die Europäische Union hat mit der NIS-2-Richtlinie die Anforderungen an die Cybersicherheit deutlich verschärft. Seit Ende 2025 müssen zahlreiche Unternehmen aus kritischen und wichtigen Sektoren strengere Sicherheitsmaßnahmen umsetzen und Vorfälle melden. Besonders betroffen sind Energieversorger, Transport- und Logistikunternehmen, Betreiber digitaler Dienste – aber auch Teile des Maschinenbaus und der industriellen Automatisierung.
Viele Betriebe haben jedoch noch nicht alle notwendigen Schritte umgesetzt. Dabei ist der Handlungsdruck hoch: Unternehmen mit mehr als 50 Mitarbeitenden oder über 10Mio.€ Jahresumsatz können unter die Richtlinie fallen. Bei Verstößen drohen Bußgelder in Millionenhöhe. Hinzu kommt eine neue Dimension der Verantwortung: Denn die Unternehmensleitung selbst steht stärker in der Pflicht.
1. Betroffenheit und Risiken analysieren
Der erste Schritt besteht darin, zu prüfen, ob das Unternehmen tatsächlich unter den Anwendungsbereich der Richtlinie fällt. Entscheidend sind dabei Branche, Unternehmensgröße sowie die Rolle innerhalb kritischer Lieferketten. Gerade Unternehmen aus der Automatisierungstechnik sollten genau hinschauen. Wer beispielsweise Steuerungssysteme für Energieanlagen, Verkehrsinfrastruktur oder industrielle Produktionsanlagen entwickelt oder betreibt, kann schnell Teil einer kritischen Wertschöpfungskette sein.
Parallel dazu empfiehlt sich eine strukturierte Risikoanalyse. Dabei wird untersucht, welche IT- und OT-Systeme besonders kritisch sind, welche Daten geschützt werden müssen und welche möglichen Angriffsszenarien bestehen. Diese Bestandsaufnahme bildet die Grundlage für alle weiteren Sicherheitsmaßnahmen.
2. Verantwortlichkeiten klar definieren
NIS-2 markiert einen klaren Perspektivwechsel: Informationssicherheit ist keine reine IT-Aufgabe mehr. Vielmehr trägt die Geschäftsleitung die Verantwortung dafür, dass Risiken erkannt und angemessen adressiert werden. In der Praxis bedeutet das, dass klare Rollen und Zuständigkeiten definiert werden müssen. Typischerweise gehören dazu:
• mindestens zwei verantwortliche Personen für Informationssicherheit
• definierte Meldewege für Sicherheitsvorfälle
• klare Entscheidungsstrukturen im Krisenfall
Wichtig ist dabei: Aufgaben können delegiert werden, die Verantwortung der Unternehmensleitung bleibt jedoch bestehen. Gerade im Falle eines Sicherheitsvorfalls wird entscheidend sein, ob Managemententscheidungen nachvollziehbar dokumentiert wurden.
3. Technische und organisatorische Schutzmaßnahmen umsetzen
Die Richtlinie verlangt ein Risikomanagementsystem für Informationssicherheit. Auf Basis dieser müssen risikomindernde technische und organisatorische Maßnahmen abgeleitet werden. Für Unternehmen der Automatisierungstechnik sind insbesondere folgende Punkte relevant:
