NIS2 NIS2: Wie Produktionsdaten die Lücke zwischen Asset-Inventar und Risikomanagement schließen

Mit der NIS2-Richtlinie der Europäischen Union rückt für Unternehmen Sicherheit und Resilienz in der operativen Produktion in den Vordergrund. Gerade auf dem Shopfloor zeigt sich, wie groß die Lücke zwischen formaler Compliance und tatsächlicher Transparenz über Maschinen, Steuerungen und Konfigurationen ist.

Die NIS2-Richtlinie hätte bereits bis Ende 2024 in nationales Recht überführt werden müssen. Auch wenn sich die gesetzliche Umsetzung in Deutschland verzögert, ist die Stoßrichtung eindeutig. Unternehmen müssen künftig nachweisen können, dass sie ihre geschäftskritischen Systeme kennen, Risiken strukturiert bewerten und angemessene technische wie organisatorische Maßnahmen ableiten. Dabei beschränkt sich der Blick nicht auf klassische IT-Infrastrukturen.

Explizit adressiert NIS2 auch die Operational Technology (OT), die Hardware und Software zur direkten Überwachung und Steuerung physischer Geräte, Prozesse und Infrastrukturen, primär in industriellen Umgebungen umfasst – und damit Produktionsanlagen, industrielle Steuerungen und vernetzte Maschinen. Im Gegensatz zur IT steuert OT Maschinen, wie in Fertigung, Energieversorgung oder Logistik.

Für viele Unternehmen entsteht hier ein Spannungsfeld. Während Asset-Inventare und Risikobewertungen in der IT seit Jahren etabliert sind, fehlt in der OT oft die gleiche Systematik. NIS2 macht diese Lücke sichtbar und verlangt belastbare Entscheidungsgrundlagen. Wer sich auf Risiken fokussieren will, muss wissen, welche Anlagen existieren, in welchem Zustand sie sich befinden, wie sie miteinander interagieren und welche Folgen ein Ausfall hätte.

Produktionsdaten als Grundlage von Wertschöpfung und Risiko

Moderne Produktionsumgebungen wirken auf den ersten Blick hochautomatisiert und kontrolliert. Tatsächlich bestehen sie häufig aus einem historisch gewachsenen Verbund unterschiedlichster Maschinen, Steuerungen und Softwarestände. Neue Anlagen arbeiten Seite an Seite mit Systemen, die seit Jahrzehnten im Einsatz sind. Ihre Konfigurationen wurden über Jahre angepasst, erweitert oder pragmatisch verändert, ohne dass alle Änderungen konsequent dokumentiert wurden. „In der OT steckt der eigentliche Fertigungskompetenz eines Unternehmens“, betont David Petrikat, Chief Strategy & Communications Officer bei AMDT. „Dort ist zum Beispiel hinterlegt, wie lange ein Werkstück erhitzt, gehärtet oder gelötet wird. Dieses Wissen entscheidet darüber, ob am Ende ein hochwertiges Produkt entsteht oder nicht.“

„Diese Produktionsdaten bilden also das Herzstück industrieller Wertschöpfung. Gleichzeitig sind sie hochsensibel. Sie stellen geistiges Eigentum dar, sind für Industriespionage ebenso interessant wie für Cyberkriminelle und können im Fall von Manipulation oder Verlust unmittelbare physische Auswirkungen haben. „Unerwünschte Änderungen können sowohl intern als auch extern verursacht werden.“, erklärt Petrikat. „Und das Ergebnis ist oft identisch: Die Maschine befindet sich nicht mehr im vorgesehenen Konfigurationszustand.“

Wenn Veränderungen schleichend wirken

Nicht jeder Vorfall führt zu einem sofortigen Produktionsstillstand. Häufiger sind schleichende Abweichungen, bei denen Parameter verändert, Programme überschrieben oder Versionen aktualisiert werden, ohne dass dies unmittelbar auffällt. Solche Veränderungen können über längere Zeit die Produktqualität beeinträchtigen und sich erst spät bemerkbar machen. Gerade in regulierten Industrien kann das erhebliche wirtschaftliche und organisatorische Folgen haben. Das zentrale Problem liegt dabei weniger im fehlenden Sicherheitsbewusstsein als in der mangelnden Nachvollziehbarkeit. Ohne eine konsistente Historie von Konfigurationen und Änderungen fehlt die Grundlage, um Ursachen zuverlässig zu identifizieren und Risiken realistisch zu bewerten. Für ein risikobasiertes Vorgehen, wie es NIS2 fordert, ist diese Transparenz jedoch zwingend erforderlich.

Asset-Transparenz als Voraussetzung für Risikomanagement

Genau an dieser Stelle wird deutlich, wie eng Asset-Inventar und Risikomanagement miteinander verknüpft sind. NIS2 fordert keine abstrakten Risikoannahmen, sondern eine konkrete Bewertung realer Systeme. Doch solange unklar ist, welche Maschinen tatsächlich im Einsatz sind, welche Steuerungen sie enthalten und welche Softwareversionen darauf laufen, bleibt jede Risikobewertung zwangsläufig unvollständig. In der Praxis zeigt sich, dass viele Unternehmen Risiken auf Basis von Annahmen bewerten, nicht auf Basis belastbarer Daten. Das betrifft nicht nur die Anzahl der Komponenten, sondern auch deren Kritikalität innerhalb des Produktionsprozesses. Fällt eine einzelne Maschine aus, kann dies je nach Einbindung entweder kompensierbar sein oder einen gesamten Produktionsfluss zum Erliegen bringen. Ohne detaillierte Kenntnis dieser Abhängigkeiten bleibt Risikomanagement theoretisch.

Segmentierung schafft nicht automatisch Übersicht

Als Reaktion auf steigende Cyberrisiken setzten viele Unternehmen auf eine stärkere Segmentierung ihrer Produktionsnetze. Was in der IT als bewährte Sicherheitsmaßnahme gilt, stößt in der OT jedoch schnell an praktische Grenzen. „Maschinen wurden in immer kleinere Netzbereiche aufgeteilt, um Risiken zu isolieren“, so Petrikat. „In der Praxis hat das oft dazu geführt, dass die Übersicht weiter verloren ging und netzwerkbasierte Werkzeuge kaum noch funktionierten.“

Die Folge: Abgeschottete Bereiche, in denen zwar einzelne Komponenten geschützt erscheinen, das Gesamtbild jedoch fehlt. Abhängigkeiten zwischen Anlagen bleiben verborgen, zentrale Analysen werden erschwert und Verantwortlichkeiten sind nicht eindeutig zuordenbar. Für NIS2 ist jedoch genau diese ganzheitliche Sicht entscheidend, da Risiken nicht isoliert, sondern im Kontext kompletter Produktionsprozesse bewertet werden müssen.

Asset-Inventare als strukturelle Schwachstelle

Besonders deutlich wird die Herausforderung beim Asset-Inventar. „Ich war lange überzeugt, dass Unternehmen genau wissen, welche Maschinen sie betreiben“, sagt Petrikat. „In der Praxis zeigt sich jedoch, dass oft nur grobe Schätzungen existieren.“ Solche Unschärfen seien für ein risikobasiertes Vorgehen unzureichend. Ein zentraler Grund liegt in der langen Lebensdauer industrieller Anlagen. Maschinen werden weiterbetrieben, obwohl sie buchhalterisch längst abgeschrieben sind. Sie verschwinden sogar aus Inventarlisten, bleiben aber physisch Teil der Produktion. Dadurch entsteht eine strukturelle Lücke zwischen formaler Dokumentation und realem Betrieb.

NIS2 als Impuls für belastbare Transparenz

Genau hier setzt NIS2 an. Die Richtlinie zwingt Unternehmen, ihre Produktionslandschaften systematisch zu erfassen, Abhängigkeiten sichtbar zu machen und Risiken auf Basis realer Daten zu bewerten. Das ist aufwendig, bildet jedoch die Grundlage für wirksames Risikomanagement und langfristige Resilienz. „Wer seine Risiken kennt, kann sie steuern“, fasst Petrikat zusammen. „Wer seine eigene OT nicht kennt, hat kein wirksames Risikomanagement.“ NIS2 macht diese Erkenntnis verbindlich und rückt den Shopfloor dauerhaft in den Mittelpunkt der Cybersicherheitsstrategie. (mk)

(ID:50797397)