Ostwestfalen-Lippe ist eine der großen Industrieregionen Deutschlands. Maschinenbau, Elektrotechnik und Automatisierung, Lebensmittelherstellung und Zulieferindustrie prägen den Mittelstand zwischen Herford, Bielefeld, Gütersloh, Minden und Paderborn. Genau diese Branchen hat der Gesetzgeber mit NIS2 neu in die Pflicht genommen.
Dieser Artikel ist für Geschäftsführung und IT-Leitung in Produktionsunternehmen geschrieben. Er ersetzt keine Rechtsberatung, zeigt aber, was technisch und organisatorisch konkret auf Sie zukommt.
Der Stand im Herbst 2026
- Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfrist. Die Pflichten stehen im neu gefassten BSI-Gesetz (BSIG).
- Die Zahl der beaufsichtigten Einrichtungen steigt nach Schätzungen von rund 4.500 auf etwa 29.500.
- Das Registrierungsportal des BSI ist seit Januar 2026 offen. Die Registrierungsfrist von drei Monaten ist für Einrichtungen, die seit Inkrafttreten betroffen sind, abgelaufen; das BSI hatte eine Nachfrist bis Ende Juli 2026 eingeräumt.
Wenn Sie betroffen und noch nicht registriert sind, ist das der erste Punkt auf der Liste, und zwar diese Woche.
Ist Ihr Unternehmen betroffen?
Zwei Kriterien müssen zusammenkommen: Sektor und Größe.
Sektor: welche Produktionsbetriebe NIS2 erfasst
Im Bereich Verarbeitendes Gewerbe / Herstellung von Waren (Anlage 2 BSIG) sind das:
- Herstellung von Medizinprodukten und In-vitro-Diagnostika
- Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen
- Herstellung von elektrischen Ausrüstungen
- Maschinenbau
- Herstellung von Kraftwagen und Kraftwagenteilen
- sonstiger Fahrzeugbau
Dazu kommen als eigene Sektoren die Produktion, Verarbeitung und der Vertrieb von Lebensmitteln sowie Produktion, Herstellung und Handel mit chemischen Stoffen.
Für OWL heißt das: Ein großer Teil der Maschinenbauer, der Elektrotechnik- und Automatisierungsbetriebe, der Zulieferer für die Automobilindustrie und der Lebensmittelhersteller in der Region ist grundsätzlich im Anwendungsbereich.
Wichtig für OWL: Die Möbelherstellung steht nicht im Katalog. Ein Möbelhersteller aus dem Raum Herford oder Löhne ist deshalb in der Regel nicht direkt betroffen. Indirekt trifft es ihn trotzdem, wenn Kunden, etwa große Handelsketten oder Industriekunden, die NIS2-Anforderungen an ihre Lieferkette weitergeben.
Größe: die Schwellenwerte
- Wichtige Einrichtung: ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Jahresbilanzsumme.
- Besonders wichtige Einrichtung: ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme, allerdings nur in den Sektoren der Anlage 1 (zum Beispiel Energie, Wasser, Gesundheit).
Produktionsunternehmen der Anlage 2 sind deshalb auch bei 800 Mitarbeitenden in aller Regel wichtige Einrichtungen. Die Pflichten sind weitgehend dieselben, die Aufsicht ist etwas weniger streng (das BSI prüft eher anlassbezogen) und die Bußgelder sind niedriger.
Zwei Feinheiten, die Sie mit Ihrem Rechtsberater klären sollten: Bei Unternehmensgruppen zählen verbundene Unternehmen bei der Größenberechnung mit. Umgekehrt können Geschäftstätigkeiten, die im Verhältnis zur Gesamttätigkeit vernachlässigbar sind, bei der Zuordnung unberücksichtigt bleiben.
Die Pflichten im Überblick
1. Registrieren (§ 33 BSIG)
Registrierung beim BSI mit Kontaktdaten, Sektor und erreichbarer Ansprechperson. Das klingt banal, setzt aber voraus, dass Sie intern festgelegt haben, wer diese Ansprechperson ist.
2. Risikomanagementmaßnahmen (§ 30 BSIG)
Das Gesetz nennt zehn Bereiche, die Sie mit "geeigneten, verhältnismäßigen und wirksamen" Maßnahmen abdecken müssen:
- Konzepte für Risikoanalyse und Sicherheit der Informationssysteme
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Erwerb, Entwicklung und Wartung, inklusive Schwachstellenmanagement
- Bewertung der Wirksamkeit der Maßnahmen
- Cyberhygiene und Schulungen
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Asset-Management
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation
Entscheidend: Das gilt für alle IT- und OT-Systeme, die Sie für Ihre Dienste nutzen, also ausdrücklich auch für das Produktionsnetz.
3. Melden (§ 32 BSIG)
Bei einem erheblichen Sicherheitsvorfall gilt ein dreistufiges Meldeverfahren:
- binnen 24 Stunden nach Kenntnis: Frühe Erstmeldung
- binnen 72 Stunden: Meldung mit erster Bewertung, Schweregrad und Auswirkungen
- nach einem Monat: Abschlussmeldung
24 Stunden sind kurz. Wer an einem Freitagabend einen Ransomware-Vorfall hat und erst am Montag bemerkt, dass die Steuerung der Lackieranlage nicht mehr erreichbar ist, hat die Frist bereits gerissen, wenn "Kenntnis" früher bestand. Ohne 24/7-Überwachung ist das kaum zu schaffen.
4. Geschäftsleitung (§ 38 BSIG)
Die Geschäftsleitung muss die Maßnahmen billigen und ihre Umsetzung überwachen. Sie muss selbst regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzungen haftet sie gegenüber der Gesellschaft. Das Thema lässt sich also nicht mehr vollständig an die IT delegieren.
Bußgelder
Für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Was in der Produktion anders ist
In der Büro-IT sind die meisten Maßnahmen Standard: Patchen, MFA, EDR, Backup. In der Produktion stoßen diese Standards an Grenzen.
Veraltete Systeme. Die Bedienstation der Spritzgießmaschine läuft unter Windows 7, weil der Hersteller nichts anderes freigibt. Patchen ist keine Option. Die Lösung sind kompensierende Maßnahmen: Isolation in eine eigene Zone, Zugriff nur über definierte Kommunikationswege, Überwachung des Datenverkehrs.
Fernwartung durch Hersteller. In vielen Betrieben haben drei, fünf oder zehn Maschinenhersteller dauerhaften Fernzugriff, oft über eigene Router, die niemand im Blick hat. Genau das adressiert die Pflicht zur Sicherheit der Lieferkette.
Verfügbarkeit vor Vertraulichkeit. Ein Virenscanner, der eine Steuerung verlangsamt, oder ein Patch, der eine Anlage neu startet, kann teurer sein als der Angriff, vor dem er schützen soll. Maßnahmen in der OT müssen deshalb mit der Instandhaltung abgestimmt und in Wartungsfenstern umgesetzt werden.
Segmentierung ist der größte Hebel. Wenn Büro-IT und Produktionsnetz in einem flachen Netz hängen, kann sich Ransomware vom Buchhaltungsrechner bis zur Anlagensteuerung ausbreiten. Eine saubere Trennung in Zonen, etwa angelehnt an IEC 62443 oder das Purdue-Modell, ist technisch gut beherrschbar und reduziert das Risiko erheblich.
Ein realistischer 90-Tage-Plan
So gehen wir bei Produktionsunternehmen typischerweise vor. Die Reihenfolge ist wichtiger als die Vollständigkeit.
Tage 1 bis 14: Klarheit schaffen
- Betroffenheit prüfen (Sektor, Größe, Unternehmensgruppe) und dokumentieren
- BSI-Registrierung vornehmen, falls noch nicht geschehen
- Verantwortliche benennen: Wer meldet, wer entscheidet, wer ist BSI-Ansprechpartner?
- Geschäftsleitung informieren und erste Schulung terminieren
Tage 15 bis 45: Sichtbarkeit und schnelle Wirkung
- Inventar von IT und OT: Welche Systeme, welche Netze, welche externen Zugänge?
- Liste aller Dienstleister und Hersteller mit Fernzugriff, nicht genutzte Zugänge sofort schließen
- MFA für alle Fernzugänge (VPN, Fernwartung, Cloud-Admin)
- Backups: mindestens eine Kopie offline oder unveränderbar, Wiederherstellung einmal real testen
- Incident-Response-Playbook auf einer Seite: wer, was, wann, inklusive der 24-/72-Stunden-Meldungen
Tage 46 bis 90: Struktur aufbauen
- Netzsegmentierung zwischen Büro-IT und Produktion mit einer Next-Generation Firewall
- Fernwartung über einen zentralen, protokollierten Zugang statt über Einzelrouter
- EDR auf allen Büro-Endgeräten und Servern, Überwachung der Logs rund um die Uhr
- Schriftliche Risikoanalyse als erste Fassung, nicht perfekt, aber vorhanden und fortschreibbar
- Wirksamkeitsprüfung planen, zum Beispiel ein interner und externer Netzwerk-Pentest
Nach 90 Tagen ist ein Produktionsunternehmen damit nicht "NIS2-fertig". Aber es hat die größten Risiken adressiert, kann im Vorfall fristgerecht melden und kann gegenüber Aufsicht, Versicherer und Kunden belegen, dass es systematisch vorgeht. Genau das verlangt das Gesetz.
Was wir dabei übernehmen
Wir sind keine Rechtsanwälte und keine ISMS-Berater, die nur Dokumente schreiben. Wir übernehmen die technischen Maßnahmen, die Security-Expertise verlangen, und liefern die Nachweise dazu:
- Managed Firewall mit Segmentierung zwischen IT und OT
- OT-Security für Produktionsnetze und sichere Fernwartung
- SOC-as-a-Service mit 24/7-Überwachung, damit die 24-Stunden-Frist realistisch wird
- Endpoint-Schutz und EDR für Büro-IT und Server
- automatisierte Netzwerk-Pentests als Wirksamkeitsnachweis
Die organisatorischen Themen behalten Sie oder vergeben sie an einen ISMS-Berater, wir arbeiten mit beiden Modellen.
Wenn Sie in OWL produzieren und unsicher sind, wo Sie stehen: Im kostenfreien Erstgespräch klären wir in 30 Minuten Betroffenheit, größte Lücken und sinnvolle erste Schritte. Telefon 05221 1714333 oder Termin vereinbaren. Mehr zu unserem Einsatzgebiet: IT-Sicherheit in OWL.
Rechtsstand: NIS2UmsuCG, in Kraft seit 06.12.2025; Paragrafen nach BSIG n. F. Dieser Artikel ist keine Rechtsberatung.
