Die Europäische Union hat mit der NIS-2-Richtlinie die Anforderungen an die Cybersicherheit deutlich verschärft. Seit Ende 2025 müssen zahlreiche Unternehmen aus kritischen und wichtigen Sektoren strengere Sicherheitsmaßnahmen umsetzen und Vorfälle melden. Besonders betroffen sind Energieversorger, Transport- und Logistikunternehmen, Betreiber digitaler Dienste – aber auch Teile des Maschinenbaus und der industriellen Automatisierung.
Viele Betriebe haben jedoch noch nicht alle notwendigen Schritte umgesetzt. Dabei ist der Handlungsdruck hoch: Unternehmen mit mehr als 50 Mitarbeitenden oder über 10Mio.€ Jahresumsatz können unter die Richtlinie fallen. Bei Verstößen drohen Bußgelder in Millionenhöhe. Hinzu kommt eine neue Dimension der Verantwortung: Denn die Unternehmensleitung selbst steht stärker in der Pflicht.
1. Betroffenheit und Risiken analysieren
Der erste Schritt besteht darin, zu prüfen, ob das Unternehmen tatsächlich unter den Anwendungsbereich der Richtlinie fällt. Entscheidend sind dabei Branche, Unternehmensgröße sowie die Rolle innerhalb kritischer Lieferketten. Gerade Unternehmen aus der Automatisierungstechnik sollten genau hinschauen. Wer beispielsweise Steuerungssysteme für Energieanlagen, Verkehrsinfrastruktur oder industrielle Produktionsanlagen entwickelt oder betreibt, kann schnell Teil einer kritischen Wertschöpfungskette sein.
Parallel dazu empfiehlt sich eine strukturierte Risikoanalyse. Dabei wird untersucht, welche IT- und OT-Systeme besonders kritisch sind, welche Daten geschützt werden müssen und welche möglichen Angriffsszenarien bestehen. Diese Bestandsaufnahme bildet die Grundlage für alle weiteren Sicherheitsmaßnahmen.
2. Verantwortlichkeiten klar definieren
NIS-2 markiert einen klaren Perspektivwechsel: Informationssicherheit ist keine reine IT-Aufgabe mehr. Vielmehr trägt die Geschäftsleitung die Verantwortung dafür, dass Risiken erkannt und angemessen adressiert werden. In der Praxis bedeutet das, dass klare Rollen und Zuständigkeiten definiert werden müssen. Typischerweise gehören dazu:
• mindestens zwei verantwortliche Personen für Informationssicherheit
• definierte Meldewege für Sicherheitsvorfälle
• klare Entscheidungsstrukturen im Krisenfall
Wichtig ist dabei: Aufgaben können delegiert werden, die Verantwortung der Unternehmensleitung bleibt jedoch bestehen. Gerade im Falle eines Sicherheitsvorfalls wird entscheidend sein, ob Managemententscheidungen nachvollziehbar dokumentiert wurden.
3. Technische und organisatorische Schutzmaßnahmen umsetzen
Die Richtlinie verlangt ein Risikomanagementsystem für Informationssicherheit. Auf Basis dieser müssen risikomindernde technische und organisatorische Maßnahmen abgeleitet werden. Für Unternehmen der Automatisierungstechnik sind insbesondere folgende Punkte relevant:
• Segmentierung von IT- und OT-Netzwerken
• sichere Zugriffskontrollen und Multi-Faktor-Authentifizierung
• regelmäßige Updates und Patch-Management
• Monitoring und Protokollierung von Systemzugriffen
• Backup- und Wiederherstellungskonzepte
Insbesondere die Sicherheit der Lieferkette spielt eine wichtige Rolle. Viele Cyberangriffe erfolgen nicht unmittelbar, sondern über externe Dienstleister, Lieferanten oder kompromittierte Softwarekomponenten. Entsprechend sollten Unternehmen ihre Partner stärker in Sicherheitsprozesse einbeziehen und diese regelmäßig prüfen.
4. Meldeprozesse und Krisenmanagement vorbereiten
Ein zentraler Bestandteil von NIS-2 sind Meldepflichten bei Sicherheitsvorfällen. Unternehmen müssen relevante Vorfälle innerhalb kurzer Fristen an die zuständigen Behörden melden. Dafür braucht es klar definierte Prozesse: Wer erkennt einen Vorfall? Wer bewertet seine Relevanz? Und wer übernimmt die Kommunikation mit Behörden und Partnern?
Neben diesen Meldewegen sollte auch ein Krisenmanagement etabliert werden. Dazu gehören Notfallpläne, Wiederanlaufstrategien für kritische Systeme und Prozesse sowie regelmäßige Tests der Abläufe. Ziel ist es, im Ernstfall schnell reagieren zu können und den Betrieb möglichst stabil aufrechtzuerhalten.
5. Schulung und Sensibilisierung der Führungsebene
Ein häufig unterschätzter Punkt der Richtlinie betrifft die Qualifikation der Unternehmensleitung. Der Gesetzgeber erwartet ausdrücklich, dass sich Geschäftsleitungen regelmäßig im Bereich Informationssicherheit schulen lassen. Dabei geht es nicht darum, technische Spezialisten auszubilden. Entscheidend ist vielmehr, dass Führungskräfte Risiken verstehen, Prioritäten setzen und fundierte Entscheidungen treffen können.
Typische Inhalte solcher Schulungen sind:
• Grundlagen der Informationssicherheit
• Bewertung von Cyberrisiken für Geschäftsprozesse
• Managementmethoden für Risikosteuerung
• Grundlagen des Business-Continuity-Managements
Dokumentierte Schulungen erfüllen dabei gleich zwei Funktionen: Sie stärken die Kompetenz der Führungsebene und dienen gleichzeitig als Nachweis gegenüber Aufsichtsbehörden.
Ethische Leitlinien als langfristige Strategie
Wie alle Richtlinien kann auch NIS-2 nicht alle vorstellbaren Fälle im Bereich der Cybersicherheit regeln, zumal sich die digitale Welt in rasantem Tempo verändert. Empfehlenswert ist es deshalb für Unternehmen, ethische Leitlinien für den Umgang mit den neuen Fragen der Digitalisierung zu erarbeiten: dazu zählen nicht nur Sicherheitsfragen, sondern auch Themen wie künstliche Intelligenz, autonome Fahrzeuge oder Robotik. Betriebe, die entsprechende Leitlinien ausarbeiten und im täglichen Geschäft authentisch leben, sind gut auf zukünftige Herausforderungen vorbereitet. Und heben sich zudem positiv im Wettbewerb ab.
Für die aktuelle Anwendung bei NIS-2 bedeutet ein strukturiertes Sicherheitskonzept Schutz vor regulatorischen Risiken, aber auch vor ganz realen Betriebsunterbrechungen aufgrund von Sicherheitslücken. Eine wichtige Investition in die Widerstandsfähigkeit von Produktions- und Steuerungssystemen.
