NIS2 für Maschinenbauer: zwischen Lieferkette und CRA

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Wer im Maschinenbau direkt unter NIS2 fällt

Anhang II NIS2 führt unter Nr. 5 den Sektor „Verarbeitendes Gewerbe/Herstellung von Waren“ (in Deutschland Anlage 2 Nr. 5 BSIG) mit diesen Teilsektoren:

• Herstellung von Medizinprodukten und In-vitro-Diagnostika.
• Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen (NACE C26).
• Herstellung elektrischer Ausrüstungen (NACE C27, z. B. Schaltschränke, Antriebstechnik).
• Maschinenbau (Anlage 2 Nr. 5.4 BSIG, NACE C28, z. B. Werkzeugmaschinen, Förderanlagen).
• Herstellung von Kraftwagen und Kraftwagenteilen (NACE C29).
• Sonstiger Fahrzeugbau (NACE C30, z. B. Schienen-, Wasser- und Luftfahrzeuge).

Schwellen-Logik nach § 28 Abs. 2 BSIG (Berechnung nach EU-Empfehlung 2003/361/EG, § 28 Abs. 4 BSIG). Erfasst ist, wer eine der beiden Bedingungen erfüllt:

• mindestens 50 Mitarbeitende oder
• Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro.

Größere Unternehmen sind ohnehin erfasst. Kleinst- und kleine Unternehmen, die beide Bedingungen verfehlen, sind direkt nicht NIS2-pflichtig, über Lieferketten aber oft indirekt betroffen.

Direkt-Pflicht vs. Lieferanten-Pflicht

Zwei Pflicht-Pfade können parallel laufen:

Direkt-Pflicht (eigene NIS2-Erfassung)

Maschinenbauer ist selbst Anhang-II-Akteur über Schwelle. Konsequenzen:

• Eigene Registrierung bei der zuständigen Behörde, in Deutschland beim BSI.
• 10 Risikomanagementmaßnahmen nach § 30 Abs. 2 BSIG (Art. 21 Abs. 2 NIS2) umsetzen.
• Meldepflicht nach § 32 BSIG (24 h / 72 h / 1 Monat).
• Geschäftsleitungs-Pflichten nach § 38 BSIG.
• Bußgeld-Risiko bis 7 Mio. Euro, bei über 500 Mio. Euro Jahresumsatz bis 1,4 % des Umsatzes (§ 65 BSIG, wichtige Einrichtung).

Lieferanten-Pflicht (indirekt über Kunden-Verträge)

Maschinenbauer ist unter Schwelle, aber liefert an einen NIS2-pflichtigen Kunden, etwa einen Energie-Versorger, ein Krankenhaus, einen Automotive-OEM. Der Kunde überträgt seine Art.-21-Abs.-2-Lit.-d-Pflicht („Sicherheit der Lieferkette") in vertragliche Klauseln.

Konsequenzen vertraglich:

• Sicherheits-Klauseln in Liefer-Verträgen (Audit-Rechte, Mindest-Standards, Incident-Meldung an den Kunden).
• Lieferanten-Audits durch den Kunden oder beauftragte Dienstleister.
• Geschäftsverlust-Risiko bei Nicht-Erfüllung.

Mehr zur indirekten Betroffenheit im Artikel „NIS2-Lieferanten: bin ich indirekt betroffen?".

Der Cyber Resilience Act: die parallele Produktregulierung

Der Cyber Resilience Act (CRA) ist eine direkt anwendbare EU-Verordnung, die ab dem 11.12.2027 in vollem Umfang gilt; die Meldepflichten nach Art. 14 gelten bereits seit dem 11.09.2026. Adressat: Hersteller, Importeure und Händler von „Produkten mit digitalen Elementen".

Erfasst sind Produkte mit digitalen Elementen, deren Zweckbestimmung oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt (Art. 2 Abs. 1 CRA). Maschinen mit vernetzter Steuerung, Netzwerk-Schnittstelle oder Cloud-Anbindung fallen damit in der Regel darunter.

CRA-Kernpflichten für Hersteller:

• Security-by-Design: Sicherheits-Anforderungen während Entwicklung, Produktion und Bereitstellung.
• Software Bill of Materials (SBOM): nachvollziehbare Inventarisierung der eingesetzten Software-Komponenten.
• Vulnerability-Handling-Prozess: systematisches Erkennen, Bewerten und Beheben von Schwachstellen über die gesamte Produkt-Lebensdauer (Supportzeitraum grundsätzlich mindestens fünf Jahre, kürzer nur bei kürzerer erwarteter Nutzungsdauer, Art. 13 Abs. 8 CRA).
• Meldepflicht aktiv ausgenutzter Schwachstellen an das als Koordinator benannte CSIRT und an ENISA (Art. 14 CRA): Frühwarnung binnen 24 h, Meldung binnen 72 h, Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme. Für schwerwiegende Sicherheitsvorfälle gilt ein Abschlussbericht binnen eines Monats. Die Logik ähnelt NIS2, ist aber produkt-bezogen.
• CE-Kennzeichnung für Cybersecurity-Konformität.

Die NIS2-CRA-Verzahnung in der Praxis

Beide Regelwerke ergänzen sich, aber adressieren unterschiedliche Ebenen:

In der Praxis braucht ein typischer Maschinenbauer zwei parallele Compliance-Programme, die organisatorisch zusammen-laufen sollten:

• NIS2-Compliance für das eigene Unternehmen als regulierte Einrichtung.
• CRA-Compliance für die hergestellten Produkte.

Beide Programme teilen sich gemeinsame Bausteine: zentrales ISMS, Geschäftsleitungs-Compliance, Lieferanten-Management, Incident-Response. Sie unterscheiden sich in den produkt-spezifischen Themen: SBOM-Management, Product-Vulnerability-Disclosure, Update-Mechanismen.

Produktions-IT vs. Office-IT: die Architektur-Frage

Maschinenbauer haben in ihrer eigenen Produktion oft drei IT-Welten gleichzeitig:

• Office-IT für Verwaltung, Vertrieb, Konstruktion, vergleichbar mit anderen Branchen.
• Engineering-IT für CAD/CAM, PLM, Simulation, mit besonders schützenswertem geistigem Eigentum.
• Shop-Floor-IT/OT für die eigene Fertigung, Steuerungen, MES, Werkzeug-Daten.

NIS2-Compliance muss alle drei Welten adressieren, was in der Architektur regelmäßig zu zwei Spannungsfeldern führt: einerseits die Trennung zwischen Office und OT zur Schadens-Begrenzung, andererseits die nahtlose Daten-Übergabe für effiziente Fertigung. Lösungs-Muster: Industrial DMZ mit klarer Daten-Diode-Logik, gemeinsame Identitäts-Plattform für Office und Engineering, dedizierte Identitäts-Stränge für OT.

VDMA-Hilfen für den Mittelstand

Der VDMA stellt auf seiner Cybersecurity-Seite unter anderem folgende Hilfsmittel bereit:

• Lieferantenselbstauskunft zu Cybersecurity: standardisierter Fragebogen, der Anforderungen der Maschinenverordnung und des CRA abbildet.
• FAQ zum Cyber Resilience Act und die VDMA CRA Vulnerability Handling Guideline zum Schwachstellenmanagement.
• Factsheets zu NIS-2 und CRA im VDMA-Regulierungscockpit sowie das OT-Risiko Kochbuch.

Diese Hilfsmittel sind kein offizieller Compliance-Nachweis, dienen aber als Mittelstand-taugliche Ausgangsbasis.

Lieferketten-Wirkung in beide Richtungen

Maschinenbauer stehen typischerweise in einer doppelten Lieferketten-Rolle:

• Als Lieferant an OEMs, KRITIS-Betreiber, andere NIS2-Einrichtungen, sie erhalten Lieferanten-Verträge mit Sicherheits-Klauseln, Audit-Rechten und Incident-Meldepflichten von ihren Kunden.
• Als Kunde ihrer eigenen Unter-Lieferanten, Software-Hersteller, Komponenten-Zulieferer, IT-Dienstleister, OT-Wartung. Hier müssen Maschinenbauer ihrerseits Sicherheits-Anforderungen vertraglich verankern (Pass-through-Logik).

Praktische Konsequenz: das Lieferanten-Management muss bidirektional aufgesetzt sein. Eingehend werden Kunden-Klauseln verhandelt und nachgewiesen; ausgehend werden eigene Lieferanten geprüft und vertraglich gebunden.

Praxis-Bausteine für Produkt-Security

Für die Umsetzung bieten sich diese Bausteine an:

• Security-by-Design als Pflicht-Disziplin in allen Produkt-Lebenszyklen ab Vorentwicklung, nicht erst als Nachklapper-Modul vor Produkt-Launch.
• Industrie-spezifische Härtungs-Profile für Steuerungen, HMI-Panels, Engineering-Workstations. Standardisierte Default-Konfigurationen erleichtern Wartung und Audits.
• Vulnerability-Disclosure-Policies für Industrie-Produkte mit konkret benannten Sicherheits-Kontakten und Reaktions-Fristen.

Empfohlene Reihenfolge für die Umsetzung

Für einen mittelständischen Maschinenbauer ohne bestehendes ISMS:

1. Anwendungs-Klärung: Anhang-II-Mapping und Schwellen-Check. Direkt-pflichtig oder nur Lieferanten-betroffen?
2. ISMS-Aufbau nach ISO 27001 oder BSI-Grundschutz als Basis.
3. NIS2-Delta-Module: Meldekette, Geschäftsleitungs-Compliance, Lieferanten-Management.
4. CRA-Vorbereitung: Product-Security-Programm parallel aufbauen, SBOM-Pipeline, Vulnerability-Disclosure-Policy, zunächst für die ersten Modelle, dann Roll-out.
5. Konformität zu den Stichtagen: NIS2-Pflichten gelten seit dem 06.12.2025, CRA-Meldepflichten seit dem 11.09.2026, die übrigen CRA-Pflichten ab dem 11.12.2027.

FAQ

Sind alle Maschinenbauer ab 50 Mitarbeitenden NIS2-pflichtig?

Wenn ihre Tätigkeit unter Anlage 2 BSIG fällt (Maschinenbau = NACE C28), ja: § 28 Abs. 2 BSIG erfasst Unternehmen mit mindestens 50 Mitarbeitenden oder mit Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro. Die Mitarbeiterschwelle allein genügt. Geschäftstätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können nach § 28 Abs. 3 BSIG unberücksichtigt bleiben.

Was kostet die NIS2-Erst-Compliance für einen typischen Mittelstand-Maschinenbauer?

Das hängt vom Einzelfall ab: vom Reifegrad, von der Größe, davon, ob bereits ein ISMS nach ISO 27001 besteht, und von den Angeboten externer Dienstleister. Kostentreiber sind ISMS-Aufbau, Schulungen, Tooling, externe Beratung und der laufende Betrieb mit Audits. Belastbare Zahlen liefert erst ein Angebot auf Basis einer Gap-Analyse.

Wirkt sich der CRA bereits jetzt auf Konstruktions-Entscheidungen aus?

Ja. Maschinen mit digitalen Elementen, die ab dem 11.12.2027 in Verkehr gebracht werden, müssen CRA-konform sein. Konstruktions-Entscheidungen für Produkte mit mehrjährigen Entwicklungszyklen müssen schon heute CRA-Anforderungen berücksichtigen, insbesondere Update-Fähigkeit, Authentifizierung, sichere Default-Konfigurationen.

Reicht TISAX für Maschinenbauer als NIS2-Nachweis?

Nein. TISAX ist ein Branchenstandard der Automobilindustrie und kein gesetzlicher Nachweis nach dem BSIG. Ein bestehendes TISAX-Label kann als Grundlage für die Maßnahmen nach § 30 BSIG dienen; Registrierung (§ 33), Meldepflicht (§ 32) und Geschäftsleitungspflichten (§ 38 BSIG) bleiben eigenständig zu erfüllen. Mehr im Artikel „NIS2 oder TISAX, Automotive-Zulieferer?". Für reinen Allgemein-Maschinenbau ist TISAX weniger naheliegend, ISO 27001 oder BSI-Grundschutz sind die häufigere Wahl.

Wer macht eigentlich die Marktüberwachung für CRA in Deutschland?

Nach Art. 52 Abs. 2 CRA benennt jeder Mitgliedstaat eine oder mehrere Marktüberwachungsbehörden. In Deutschland geschieht das durch ein nationales Durchführungsgesetz; maßgeblich ist erst die im Bundesgesetzblatt verkündete Fassung. Unabhängig davon gehen Meldungen nach Art. 14 CRA an das als Koordinator benannte CSIRT und an ENISA.