Mit der NIS2-Richtlinie, die nun in weiten Teilen der EU in Kraft ist, sehen sich Energie- und Fertigungsunternehmen mit einem deutlich strengeren Cybersicherheitsregime konfrontiert. Die meisten Mitgliedstaaten haben die Richtlinie in nationales Recht umgesetzt, allerdings mit unterschiedlichen Definitionen, Meldefristen und Prüfungserwartungen. Dieses Flickwerk bedeutet, dass Unternehmen, die in mehreren Rechtsordnungen tätig sind, verschiedene Pflichten gleichzeitig erfüllen müssen – eine Herausforderung, die einige bereits unvorbereitet getroffen hat. 

Nach NIS2 gelten sowohl für „wesentliche“ als auch für „wichtige“ Einrichtungen strengere Anforderungen in Bezug auf Risikomanagement, Sicherheit in der Lieferkette, Incident-Meldungen und Verantwortlichkeit auf Vorstandsebene. Für Energie- und Fertigungsunternehmen, deren Systeme das tägliche Leben und kritische Lieferketten stützen, ist dies keine reine Formalität mehr, sondern eine strategische Frage der Resilienz und des guten Rufs. 

Die neue Realität für Energiebetreiber 

Energieinfrastrukturen sind ein zentrales Ziel für Cyberkriminelle und staatlich unterstützte Akteure. Die Richtlinie verpflichtet Betreiber dazu, ihre Systeme zu härten, Lieferanten zu überprüfen und robuste Erkennungs- und Reaktionsfähigkeiten einzuführen. 

Stellen Sie sich beispielsweise einen regionalen Übertragungsnetzbetreiber vor, der Umspannwerke und Netzregelungsplattformen in zwei EU-Ländern betreibt. Da jedes Land NIS2 unterschiedlich umgesetzt hat, muss der Betreiber zwei Regelwerke parallel verfolgen und sicherstellen, dass seine Kontrollen, Prozesse und Meldungen den strengeren Anforderungen entsprechen. Er muss zudem Multi-Faktor-Authentifizierung (MFA) für Fernzugriffe und Auftragnehmer-Logins durchsetzen, kritische Netzwerke segmentieren und alle Änderungen dokumentieren. 

Wenn eine Ransomware-Gruppe die Zugangsdaten eines Auftragnehmers kompromittiert und die Steuerlogik eines Umspannwerks manipuliert, ist der Betreiber verpflichtet, innerhalb von 24 Stunden eine Frühwarnung und innerhalb von 72 Stunden einen detaillierten Bericht einzureichen – während gleichzeitig der Betrieb wiederhergestellt und die öffentliche Kommunikation gemanagt werden muss. Ohne einen gut eingeübten Incident-Response-Plan können diese parallelen Anforderungen interne Teams schnell überfordern. 

Die Herausforderung für die Fertigung 

Hersteller von kritischen Komponenten für Luft- und Raumfahrt, Automobilindustrie oder Chemie gelten nun als „wichtige Einrichtungen“ im Sinne von NIS2. Dies bringt verpflichtende Cybersicherheits- und Meldepflichten sowohl für IT- als auch für OT-Systeme (Operational Technology) mit sich. 

Stellen Sie sich einen Hersteller mit mehreren Standorten, Hunderten von IoT-Sensoren, Robotik und einer komplexen Lieferkette vor. Nach NIS2 muss er: 

• OT- und IT-Netzwerke trennen und Systeme zur Angriffserkennung in industriellen Umgebungen einsetzen. 

• Patch- und Änderungsmanagement durchsetzen oder kompensierende Maßnahmen dokumentieren, wenn Patches nicht möglich sind. 

• Lieferanten verpflichten, definierte Sicherheitsstandards einzuhalten, einschließlich vertraglicher Klauseln und Prüfungsrechte. 

• Incident-Response- und Business-Continuity-Pläne aufrechterhalten und regelmäßig testen. 

Wenn ein Lieferant kompromittiert wird und ein manipuliertes Firmware-Update an einen Robotercontroller sendet, was die Produktion stoppt, muss der Hersteller die betroffenen Linien isolieren, die Behörden unverzüglich informieren und nachweisen, dass „geeignete und verhältnismäßige“ Kontrollen vorhanden waren. Die Geschäftsleitung trägt die Verantwortung dafür, dass dieser Rahmen existiert und regelmäßig überprüft wird. 

Verantwortlichkeit des Managements unter NIS2 

Eine der bedeutendsten Änderungen der NIS2-Richtlinie betrifft die Managementverantwortung. Artikel 20 der Richtlinie (Governance) legt klare Pflichten für Geschäftsführer und Führungskräfte fest und macht Cybersicherheit zu einer Führungsaufgabe, nicht nur zu einem technischen Thema. 

Leitungsorgane haben nun drei zentrale Verpflichtungen: 

• Genehmigung von Risikomanagementmaßnahmen – Der Vorstand muss das Rahmenwerk für das Cybersicherheitsrisikomanagement des Unternehmens formell genehmigen und sicherstellen, dass es mit der Risikobereitschaft und den regulatorischen Anforderungen übereinstimmt. Dies kann nicht mehr vollständig an IT- oder Sicherheitsteams delegiert werden. 

• Überwachung der Umsetzung – Die Führungsebene muss aktiv überwachen, wie das Cybersicherheitsrahmenwerk umgesetzt wird. Das bedeutet, regelmäßige Berichte einzufordern, die Leistung anhand von Kennzahlen zu verfolgen und Teams für Fortschritte verantwortlich zu machen. 

• Teilnahme und Förderung von Schulungen – Vorstandsmitglieder müssen selbst an Cybersicherheitsschulungen teilnehmen und eine Sicherheitskultur im gesamten Unternehmen fördern. Dies bedeutet einen kulturellen Wandel, bei dem die Führung mit gutem Beispiel vorangehen muss. 

Für viele Unternehmen, in denen Cyberrisiken traditionell als technisches und nicht als strategisches Thema gesehen wurden, stellt dies einen echten Mentalitätswandel dar. Bußgelder und Haftung können nicht nur das Unternehmen, sondern in bestimmten Fällen auch einzelne Führungspersonen betreffen, wenn diese Pflichten vernachlässigt werden. 

Wie Integrity360 unterstützt 

Da NIS2 nicht nur eine technische, sondern auch eine Governance- und Lieferkettenherausforderung darstellt, profitieren Organisationen von externer Expertise, die beide Bereiche abdeckt. Integrity360 arbeitet mit Energieversorgern und Herstellern in ganz Europa zusammen, um: 

• Systeme, die unter NIS2 fallen, einschließlich grenzüberschreitender Operationen, zu kartieren und zu klassifizieren. 

• Lücken zwischen bestehenden Kontrollen und nationalen NIS2-Anforderungen zu identifizieren. 

• Sicherheitsverbesserungen wie MFA, Netzwerksegmentierung, Endpoint-Erkennung und Schwachstellenmanagement in IT- und OT-Umgebungen zu entwerfen und umzusetzen. 

• Die Incident-Response-Fähigkeit durch Playbooks, Tabletop-Übungen und 24/7-Überwachung zu stärken. 

• Drittrisiken durch Due-Diligence, Vertragsunterstützung und kontinuierliche Lieferantenbewertungen zu managen. 

• Berichterstattung auf Vorstandsebene bereitzustellen, damit die Führung ihre Verantwortlichkeit nachweisen kann. 

Durch die Kombination aus Beratung, Managed Services und praktischer technischer Expertise helfen wir Organisationen, über reine Compliance hinauszugehen und echte Resilienz aufzubauen – wodurch Wahrscheinlichkeit und Auswirkungen von Störungen reduziert werden. 

Wenn Ihr Unternehmen in der Energie-, Fertigungs- oder einer anderen von NIS2 abgedeckten Branche tätig ist, ist jetzt der richtige Zeitpunkt zum Handeln. Auch in Ländern, in denen die nationale Umsetzung verzögert ist, erwarten Aufsichtsbehörden, dass Unternehmen sich auf die Einhaltung vorbereiten. Ein einzelner Vorfall oder eine verpasste Meldefrist kann Bußgelder, Reputationsschäden und Betriebsstörungen zur Folge haben. 

Beginnen Sie damit, Ihre Pflichten in allen Rechtsordnungen zu kartieren, Ihre Kontrollen und Lieferketten zu bewerten und den Vorstand einzubinden. Testen Sie dann Ihre Pläne, bevor sie benötigt werden. Mit dem richtigen Ansatz und dem richtigen Partner kann NIS2 von einer Compliance-Herausforderung zu einem Katalysator für stärkere, widerstandsfähigere Betriebsabläufe werden. 

Um zu erfahren, wie Integrity360 Ihr Unternehmen bei der Einhaltung von NIS2 unterstützen kann, sprechen Sie noch heute mit einem unserer Spezialisten.