NIS2 für Maschinenbauer: zwischen Lieferkette und CRA

Stand: 2026-05-16 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Wer im Maschinenbau direkt unter NIS2 fällt

Anhang II NIS2 listet die Produktions-Sektoren:

• Herstellung von Datenverarbeitungsgeräten (Computer, Server, IT-Hardware).
• Herstellung elektronischer und optischer Geräte.
• Herstellung elektrischer Ausrüstungen (Schaltschränke, Antriebstechnik).
• Maschinenbau im engeren Sinne (Werkzeugmaschinen, Förderanlagen, Anlagen-Bau).
• Fahrzeugbau (Automobile, Schienenfahrzeuge, Wasserfahrzeuge, Luftfahrzeuge).
• Sonstige Fahrzeugbau (Spezialfahrzeuge).

Schwellen-Logik (mittleres Unternehmen nach EU-Empfehlung 2003/361/EG):

• 50-249 Mitarbeitende und
• Umsatz 10-50 Mio. Euro oder Bilanzsumme 10-43 Mio. Euro.

Größere Unternehmen sind ohnehin erfasst. Kleinere (Kleinstunternehmen unter 10 Mitarbeitenden) sind direkt nicht NIS2-pflichtig, aber durch Lieferketten oft indirekt.

Direkt-Pflicht vs. Lieferanten-Pflicht

Zwei Pflicht-Pfade können parallel laufen:

Direkt-Pflicht (eigene NIS2-Erfassung)

Maschinenbauer ist selbst Anhang-II-Akteur über Schwelle. Konsequenzen:

• Eigene Registrierung bei der zuständigen Behörde, in Deutschland beim BSI.
• 11 Mindestmaßnahmen nach Art. 21 NIS2 umsetzen.
• Meldepflicht nach Art. 23 (24h/72h/1 Monat).
• Geschäftsleitungs-Pflichten nach Art. 20.
• Bußgeld-Risiko bis 7 Mio. Euro oder 1,4 % Umsatz (wichtige Einrichtung).

Lieferanten-Pflicht (indirekt über Kunden-Verträge)

Maschinenbauer ist unter Schwelle, aber liefert an einen NIS2-pflichtigen Kunden, etwa einen Energie-Versorger, ein Krankenhaus, einen Automotive-OEM. Der Kunde überträgt seine Art.-21-Abs.-2-Lit.-d-Pflicht („Sicherheit der Lieferkette") in vertragliche Klauseln.

Konsequenzen vertraglich:

• Sicherheits-Klauseln in Liefer-Verträgen (Audit-Rechte, Mindest-Standards, Incident-Meldung an den Kunden).
• Lieferanten-Audits durch den Kunden oder beauftragte Dienstleister.
• Geschäftsverlust-Risiko bei Nicht-Erfüllung.

Mehr zur indirekten Betroffenheit im Artikel „NIS2-Lieferanten: bin ich indirekt betroffen?".

Der Cyber Resilience Act: die parallele Produktregulierung

Der Cyber Resilience Act (CRA) ist eine direkt anwendbare EU-Verordnung, die ab Ende 2027 in vollem Umfang wirksam wird. Adressat: Hersteller, Importeure und Händler von „Produkten mit digitalen Elementen".

Maschinenbauer sind regelmäßig betroffen, wenn Maschinen Software-Komponenten, Steuerungen, Netzwerk-Schnittstellen oder Cloud-Anbindungen haben, also faktisch fast alle modernen Industrie-Anlagen.

CRA-Kernpflichten für Hersteller:

• Security-by-Design: Sicherheits-Anforderungen während Entwicklung, Produktion und Bereitstellung.
• Software Bill of Materials (SBOM): nachvollziehbare Inventarisierung der eingesetzten Software-Komponenten.
• Vulnerability-Handling-Prozess: systematisches Erkennen, Bewerten und Beheben von Schwachstellen über die gesamte Produkt-Lebensdauer (Support-Periode meist 5 Jahre).
• Meldepflicht aktiv ausgenutzter Schwachstellen an ENISA und betroffene Behörden innerhalb 24/72/1-Monat-Fristen, analog zur NIS2-Logik, aber produkt-bezogen.
• CE-Kennzeichnung für Cybersecurity-Konformität.

Die NIS2-CRA-Verzahnung in der Praxis

Beide Regelwerke ergänzen sich, aber adressieren unterschiedliche Ebenen:

In der Praxis braucht ein typischer Maschinenbauer zwei parallele Compliance-Programme, die organisatorisch zusammen-laufen sollten:

• NIS2-Compliance für das eigene Unternehmen als regulierte Einrichtung.
• CRA-Compliance für die hergestellten Produkte.

Beide Programme teilen sich gemeinsame Bausteine: zentrales ISMS, Geschäftsleitungs-Compliance, Lieferanten-Management, Incident-Response. Sie unterscheiden sich in den produkt-spezifischen Themen: SBOM-Management, Product-Vulnerability-Disclosure, Update-Mechanismen.

Produktions-IT vs. Office-IT: die Architektur-Frage

Maschinenbauer haben in ihrer eigenen Produktion oft drei IT-Welten gleichzeitig:

• Office-IT für Verwaltung, Vertrieb, Konstruktion, vergleichbar mit anderen Branchen.
• Engineering-IT für CAD/CAM, PLM, Simulation, mit besonders schützenswertem geistigem Eigentum.
• Shop-Floor-IT/OT für die eigene Fertigung, Steuerungen, MES, Werkzeug-Daten.

NIS2-Compliance muss alle drei Welten adressieren, was in der Architektur regelmäßig zu zwei Spannungsfeldern führt: einerseits die Trennung zwischen Office und OT zur Schadens-Begrenzung, andererseits die nahtlose Daten-Übergabe für effiziente Fertigung. Lösungs-Muster: Industrial DMZ mit klarer Daten-Diode-Logik, gemeinsame Identitäts-Plattform für Office und Engineering, dedizierte Identitäts-Stränge für OT.

VDMA-Hilfen für den Mittelstand

Der VDMA hat eine Reihe von Hilfsmitteln zur Verfügung gestellt:

• VDMA-Standard-Sicherheits-Anforderungen für Industrie-Anlagen (analog zur VDA-ISA-Logik im Automotive).
• Mustertexte für Lieferanten-Verträge mit NIS2- und CRA-Klauseln.
• VDMA-Schulungs-Programme zu Industrial Security.

Diese Hilfsmittel sind kein offizieller Compliance-Nachweis, dienen aber als Mittelstand-taugliche Ausgangsbasis.

Lieferketten-Wirkung in beide Richtungen

Maschinenbauer stehen typischerweise in einer doppelten Lieferketten-Rolle:

• Als Lieferant an OEMs, KRITIS-Betreiber, andere NIS2-Einrichtungen, sie erhalten Lieferanten-Verträge mit Sicherheits-Klauseln, Audit-Rechten und Incident-Meldepflichten von ihren Kunden.
• Als Kunde ihrer eigenen Unter-Lieferanten, Software-Hersteller, Komponenten-Zulieferer, IT-Dienstleister, OT-Wartung. Hier müssen Maschinenbauer ihrerseits Sicherheits-Anforderungen vertraglich verankern (Pass-through-Logik).

Praktische Konsequenz: das Lieferanten-Management muss bidirektional aufgesetzt sein. Eingehend werden Kunden-Klauseln verhandelt und nachgewiesen; ausgehend werden eigene Lieferanten geprüft und vertraglich gebunden. Mehr im Artikel „Was müssen NIS2-konforme Lieferantenverträge enthalten?".

VDMA-Empfehlungen für Praktiker

Der VDMA fasst die Industrie-Erwartungen wie folgt zusammen:

• Security-by-Design als Pflicht-Disziplin in allen Produkt-Lebenszyklen ab Vorentwicklung, nicht erst als Nachklapper-Modul vor Produkt-Launch.
• Industrie-spezifische Härtungs-Profile für Steuerungen, HMI-Panels, Engineering-Workstations. Standardisierte Default-Konfigurationen erleichtern Wartung und Audits.
• Vulnerability-Disclosure-Policies für Industrie-Produkte mit konkret benannten Sicherheits-Kontakten und Reaktions-Fristen.
• Mit-Lieferanten-Workshop mindestens jährlich zu Cyber-Themen, idealerweise sektor-spezifisch organisiert über Branchen-Verbände.

Empfohlene Reihenfolge für die Umsetzung

Für einen typischen Mittelstand-Maschinenbauer mit 100-300 Mitarbeitenden ohne bestehendes ISMS:

1. Anwendungs-Klärung: Anhang-II-Mapping und Schwellen-Check. Direkt-pflichtig oder nur Lieferanten-betroffen?
2. ISMS-Aufbau nach ISO 27001 oder BSI-Grundschutz als Basis. Aufwand: 6-12 Monate.
3. NIS2-Delta-Module: Meldekette, Geschäftsleitungs-Compliance, Lieferanten-Management. Aufwand: 2-4 Monate.
4. CRA-Vorbereitung: Product-Security-Programm parallel aufbauen, SBOM-Pipeline, Vulnerability-Disclosure-Policy. Aufwand: 6-12 Monate für Erst-Modelle, dann roll-out.
5. Erst-Audit / Erst-Konformität: vor dem konkreten Stichtag (NIS2 ab Geltung, CRA ab 2027 für neue Produkte).

FAQ

Sind alle Maschinenbauer ab 50 Mitarbeitenden NIS2-pflichtig?

Nicht automatisch. NIS2 erfasst Anhang-II-Sektoren ab den Schwellen mittlerer Unternehmen, das sind 50-249 Mitarbeitende plus Umsatz/Bilanzsumme-Schwellen. Wer nur die Mitarbeiter-Schwelle erreicht, aber nicht die wirtschaftlichen Schwellen, fällt nicht direkt unter NIS2. Größere Unternehmen sind ohnehin erfasst.

Was kostet die NIS2-Erst-Compliance für einen typischen Mittelstand-Maschinenbauer?

Sehr variabel, je nach Reifegrad. Ohne bestehendes ISMS: 100.000-300.000 Euro Erst-Aufwand für ISMS-Aufbau, Schulungen, Tooling, externe Beratung. Mit ISO-27001-ISMS: 30.000-80.000 Euro für NIS2-Delta. Plus laufende Kosten von 30.000-100.000 Euro/Jahr für ISMS-Betrieb, Audits, Schulungen.

Wirkt sich der CRA bereits jetzt auf Konstruktions-Entscheidungen aus?

Ja. Neue Maschinen-Generationen, die nach Ende 2027 in Verkehr gebracht werden, müssen CRA-konform sein. Konstruktions-Entscheidungen für Produkte mit längeren Entwicklungs-Zyklen (3-5 Jahre) müssen schon heute CRA-Anforderungen berücksichtigen, insbesondere Update-Fähigkeit, Authentifizierung, sichere Default-Konfigurationen.

Reicht TISAX für Maschinenbauer als NIS2-Nachweis?

Wenn der Maschinenbauer als Automotive-Zulieferer TISAX zertifiziert ist, deckt das einen Großteil der NIS2-Anforderungen ab, aber nicht alle. Mehr im Artikel „NIS2 oder TISAX, Automotive-Zulieferer?". Für reinen Allgemein-Maschinenbau ist TISAX weniger naheliegend, ISO 27001 oder BSI-Grundschutz sind die häufigere Wahl.

Wer macht eigentlich die Marktüberwachung für CRA in Deutschland?

Aktuell ist die Aufgaben-Verteilung in finaler Klärung. Die BNetzA als zentrale Marktüberwachungs-Behörde für Funk- und Telekommunikations-Anlagen wird voraussichtlich eine zentrale Rolle übernehmen, ergänzt durch das BSI für sicherheits-spezifische Aspekte und die Länder-Marktüberwachungs-Behörden für produkt-bezogene Aspekte. Die BMI-Konsultationen dazu laufen.