Produzierende KMU 2026: Orientierung zu Bausteinen einer Cyber-Grundsicherung im OT-IT-Umfeld

Welche regulatorischen Vorgaben sind im produzierenden KMU einschlägig?

Drei Regelungsbereiche sind typischerweise zu prüfen:

Cyber-Sicherheit (NIS2-Richtlinie und BSIG). Anhang II Nummer 5 der NIS2-Richtlinie listet das verarbeitende Gewerbe mit definierten Unterkategorien. In Deutschland gilt seit 6.12.2025 das BSIG: Sind Einrichtungsart (Anlage 2 BSIG) und Größenschwelle (§ 28 BSIG) erfüllt, greifen die zehn Risikomanagementmaßnahmen nach § 30 Abs. 2 BSIG, u. a. Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Krisenmanagement, Lieferketten-Sicherheit, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung, außerdem die Meldepflichten nach § 32 BSIG und die Registrierung nach § 33 BSIG.

Produkthaftung und Produktsicherheit. Je nach Produktart greifen sektor-spezifische Regelwerke: Maschinenverordnung (EU) 2023/1230, Medizinprodukte-Verordnung (MDR) 2017/745, EMV-Richtlinie, RoHS-Richtlinie. Im Cyber-Bereich kommt zunehmend der Cyber Resilience Act (CRA, VO (EU) 2024/2847) hinzu, mit gestaffelten Anwendungsfristen und Pflichten für Hersteller von Produkten mit digitalen Elementen.

Datenschutz (DSGVO). Für Mitarbeiter-, Lieferanten- und ggf. Kundendaten gelten die allgemeinen DSGVO-Pflichten. In OT-Umgebungen sind zusätzlich Verarbeitungen von Beschäftigtendaten zu würdigen: Biometrische Zugangskontrollen verarbeiten besondere Kategorien nach Art. 9 DSGVO, Videoüberwachung und personenbezogene Maschinenbedienungs-Logs brauchen eine Rechtsgrundlage nach Art. 6 DSGVO.

Welche Konstellation passt typisch zum mittelständischen produzierenden KMU?

Für einen produzierenden Mittelständler ist häufig die folgende Konstellation zu prüfen, eine abschließende Einordnung hängt vom Einzelfall ab:

• NIS2-Status ist schwellenwert-abhängig: Unter 50 Mitarbeitenden und ohne Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. EUR besteht keine direkte Pflicht nach dem BSIG; oberhalb kann die Einstufung als „wichtige Einrichtung" (§ 28 Abs. 2 BSIG i. V. m. Anlage 2) einschlägig sein.
• OT-IT-Mischumgebung: Office-IT mit klassischer Patch-Routine neben Produktions-IT (SPS, SCADA, CNC, Mess- und Prüfsysteme), die typischerweise eigene Lebens- und Patch-Zyklen aufweist.

• Lieferketten-Druck: Automotive-Kunden verlangen verbreitet TISAX-Nachweise; Pharma-Kunden stellen eigene Anforderungen, für computergestützte Systeme in der GMP-Umgebung etwa nach EU-GMP-Leitfaden Anhang 11.
• DSGVO-Verantwortlicher für Mitarbeiter-, Lieferanten- und Kundendaten.

Welche Bausteine einer Grundsicherung sind in der Beratungspraxis verbreitet?

Die folgenden fünf Bausteine eignen sich als Einstieg in die OT-IT-Sicherheit. Sie sind weder vollständig noch ein Ersatz für eine systematische Risikoanalyse nach § 30 BSIG oder nach den IT-Grundschutz-Bausteinen der Schicht IND. Ob sie im konkreten Fall passen und welche weiteren Bausteine zusätzlich sinnvoll sind, ist im Einzelfall zu beurteilen.

Erster Baustein, Netzwerk-Segmentierung Office gegen Produktion. Eine konsequente Trennung von Office-Netz und Produktions-Netz mit kontrolliertem Übergang über eine Firewall ist in OT-Sicherheits-Frameworks (BSI-IT-Grundschutz Schicht IND, Normreihe ISA/IEC 62443) eine verbreitete Erstmaßnahme. Konkrete Umsetzungen reichen von VLAN-Trennungen bis zu hardware-getrennten Demilitarisierten Zonen, die angemessene Tiefe hängt vom Schutzbedarf ab.

Zweiter Baustein, Zugriffskontrolle auf Steuerungs-Systeme. Lese- und Schreib-Zugriffe auf SPS, SCADA und Maschinen-HMI sind verbreitet rollenbasiert zu trennen. Standard-Konten mit eingeschränkten Rechten, Programmier-Zugriff über separates Admin-Konto mit erweiterten Authentifizierungs-Anforderungen.

Dritter Baustein, Wechseldatenträger- und Schnittstellen-Kontrolle. USB-Wechseldatenträger zählen in OT-Umgebungen zu den verbreiteten Infektionsvektoren. Endpoint-Protection-Lösungen oder physische Port-Blocker an Maschinen-PCs und Bediener-Workstations sind in OT-Sicherheits-Standards verbreitet vorgesehen.

Vierter Baustein, Schwachstellen-Management für die Office-IT. Regelmäßige Schwachstellen-Scans der Office-Systeme, Server und Netzwerk-Switches mit dokumentierter Bewertung und Behandlung kritischer Findings. Konkrete Tooling-Auswahl (kommerzielle Lösungen oder freie Werkzeuge) ist im Einzelfall zu treffen.

Fünfter Baustein, Notfallplan mit OT-spezifischen Eskalationswegen. Ein Notfallplan, der den Kontakt zum Maschinenhersteller bei Steuerungs-Ausfall, die Festlegung manuell betreibbarer und unverzüglich stillzulegender Anlagen, den manuellen Produktionsplan-Fallback bei ERP-Ausfall und die forensische Sicherung von Logs vor Wiederanlauf adressiert, ist in der OT-Sicherheits-Praxis verbreitet. Eine alleinige Übernahme eines IT-Notfallplans ohne OT-Spezifika ist typischerweise unzureichend.

Welche Konstellationen erfordern abweichendes Vorgehen?

In einer Reihe von Konstellationen reicht der pauschale Orientierungs-Rahmen für die Bausteine einer Grundsicherung nicht aus und es ist eine erweiterte fachliche Begleitung sinnvoll:

• NIS2-Pflichtigkeit als „wichtige" oder „besonders wichtige" Einrichtung: Sobald die Schwellen nach § 28 BSIG erreicht werden, sind die Risikomanagementmaßnahmen nach § 30 BSIG, die Meldepflichten nach § 32 BSIG und die Registrierung beim BSI nach § 33 BSIG umzusetzen.

• Medizinprodukte-Herstellung: Erweiterte Anforderungen aus MDR (VO (EU) 2017/745), gegebenenfalls IVDR, und für Hersteller von Gesundheits-Apps, Web-Anwendungen und Hintergrundsystemen die BSI TR-03161 „Anforderungen an Anwendungen im Gesundheitswesen" sind zusätzlich zu prüfen.

• Cyber Resilience Act (CRA, VO (EU) 2024/2847): Hersteller von Produkten mit digitalen Elementen unterliegen gestaffelt anwendbaren Pflichten zu Schwachstellen-Management, Sicherheits-Updates und Konformitätsbewertung, eine separate Befassung wird empfohlen.

• Automotive- oder Pharma-Lieferketten-Anforderungen: TISAX-Nachweise oder kunden-spezifische Audit-Standards können vertragliche Pflichten begründen, die über die gesetzlichen Mindestmaßnahmen hinausgehen.

• Datenpanne oder Cyber-Vorfall mit Produktionsstopp: Eine kombinierte Würdigung nach Art. 33 DSGVO, § 32 BSIG (frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung, bei andauerndem Vorfall stattdessen eine Fortschrittsmeldung), Versicherungs-Anzeigepflichten und produkthaftungsrechtlichen Folgen ist typischerweise geboten, eine Eskalation an spezialisierte Beratung wird empfohlen.

In diesen Konstellationen ist eine pauschale Orientierungshilfe unzureichend. Eine Einzelfall-Prüfung durch Branchen-Verband, OT-Sicherheits-spezialisierte Beratung oder BSI-zertifizierten Auditor wird typischerweise empfohlen.

Nächster Schritt

Eine erste Standort-Bestimmung zur NIS2-Betroffenheit liefert der NIS2-Check, ohne Anspruch auf Vollständigkeit oder Verbindlichkeit.

Für eine vertiefte Auseinandersetzung mit den sektor-spezifischen Anforderungen im Maschinenbau: NIS2 im Sektor Maschinenbau, Deep-Dive.