NIS 2 Anforderungen: Pflichten und Fahrplan für KMU

Am 6. Dezember 2025 erreicht die NIS-2-Pflicht den Maschinenbau nicht als abstrakte EU-Vorgabe, sondern als konkrete Organisationsaufgabe. In vielen KMU liegen IT, Konstruktion, Qualität, Einkauf und Geschäftsführung noch in getrennten Zuständigkeiten. Genau dort entstehen die größten Lücken: Fernwartung bleibt unbewertet, Lieferantenanforderungen stehen nicht im Vertrag, und im Vorfall weiß niemand, wer innerhalb kurzer Zeit die Geschäftsleitung informiert.

Dieser Beitrag ordnet die NIS 2 Anforderungen für deutsche Maschinenbau-KMU ein. Im Mittelpunkt stehen nicht nur technische Schutzmassnahmen, sondern auch Betroffenheitsprüfung, Registrierung, Lieferkettensicherheit, Meldeketten, Nachweise und die Verantwortung der Geschäftsleitung.

Inhaltsverzeichnis

• Warum NIS 2 ab dem 6. Dezember 2025 kein Vorratsthema mehr ist
  • Was das für die Geschäftsführung bedeutet
• Geltungsbereich und betroffene Sektoren in Deutschland
  • Die Prüfung erfolgt in mehreren Schritten
• Die zehn Pflichtmaßnahmen des Risikomanagements
  • Die Massnahmen müssen im Betrieb nachweisbar sein
• Meldepflichten und Eskalationswege bei Sicherheitsvorfällen
  • Eine funktionierende Kette braucht klare Rollen
  • Fernwartung verändert die Eskalation
• Registrierung, Geschäftsleitungshaftung und Sanktionen
  • Die Geschäftsleitung muss Aufsicht nachweisen
• Bußgelder und wirtschaftliche Folgen bei Verstößen
  • So sollte die Geschäftsführung das Risiko bewerten
• 90-Tage-Fahrplan zur Umsetzung im Maschinenbau-KMU
  • Woche eins bis zwei
  • Woche drei bis sechs
  • Woche sieben bis zehn
  • Woche elf bis zwölf

<a id="warum-nis-2-ab-dem-6-dezember-2025-kein-vorratsthema-mehr-ist"></a>

Warum NIS 2 ab dem 6. Dezember 2025 kein Vorratsthema mehr ist

Kurz nach dem Inkrafttreten des deutschen Umsetzungsgesetzes meldet sich in einem Maschinenbauunternehmen das BSI. Die Nachricht landet zunächst bei der IT. Der Geschäftsführer ist auf einer Kundenreise, die Konstruktionsleitung arbeitet an einer Anlagenabnahme, und der Qualitätsverantwortliche kennt NIS 2 nur aus einer kurzen Lieferantenanfrage. Niemand kann sofort beantworten, ob das Unternehmen betroffen ist, welche Systeme als kritisch gelten und wer im Ernstfall eine Meldung freigibt.

Dieses Szenario ist realistisch, weil die NIS-2-Pflichten mehrere Unternehmensbereiche gleichzeitig berühren. Ein Maschinenbauer betreibt nicht nur Büro-IT. Zum Geschäft gehören häufig Produktionsnetzwerke, Engineering-Arbeitsplätze, Steuerungssoftware, Fernzugänge, Cloud-Dienste, externe Wartung und Lieferanten mit Zugriff auf technische Systeme. Ein Sicherheitsvorfall kann deshalb Konstruktion, Fertigung, Service und Kundenbetrieb gleichzeitig beeinträchtigen.

Die zeitliche Entwicklung hat den Handlungsdruck zusätzlich erhöht. Die EU-NIS-2-Richtlinie wurde am 27. Dezember 2022 im Amtsblatt der Europäischen Union veröffentlicht. In Deutschland beschloss der Bundestag das NIS-2-Umsetzungsgesetz am 13. November 2025, der Bundesrat stimmte am 21. November 2025 zu, die Verkündung erfolgte am 5. Dezember 2025, und das Gesetz trat am 6. Dezember 2025 in Kraft, wie das BSI zum NIS-2-Umsetzungsgesetz dokumentiert. Damit wurde die europäische Vorgabe mit rund dreijähriger Verzögerung national wirksam. Für betroffene Stellen entfiel zugleich eine Übergangsfrist.

<a id="was-das-fur-die-geschaftsfuhrung-bedeutet"></a>

Was das für die Geschäftsführung bedeutet

Die Geschäftsführung kann NIS 2 nicht dauerhaft an die IT delegieren. Sie muss klären, welche Rolle das Unternehmen einnimmt, welche Ressourcen für Schutzmassnahmen bereitstehen und wie Vorfälle eskaliert werden. Die Konstruktionsleitung muss zusätzlich verstehen, welche Entwicklungs- und Wartungsprozesse, externen Zugänge und Softwarekomponenten in den Geltungsbereich der Sicherheitsorganisation fallen können.

Praktische Regel: Wenn die erste Reaktion auf einen Cybervorfall lautet „Das muss die IT prüfen“, fehlt meist bereits die definierte Meldekette.

NIS 2 ist deshalb kein reines IT-Projekt. IT liefert technische Kontrollen und Protokolle. Einkauf bewertet Lieferanten, die Geschäftsleitung übernimmt Aufsicht und Entscheidungen, Qualität strukturiert Nachweise, und technische Verantwortliche kennen die Abhängigkeiten in Produktion und Service. Wer diese Rollen nicht verbindet, kann einzelne Massnahmen umsetzen und trotzdem im Nachweis oder bei der Vorfallmeldung scheitern.

<a id="geltungsbereich-und-betroffene-sektoren-in-deutschland"></a>

Geltungsbereich und betroffene Sektoren in Deutschland

Die Betroffenheit ergibt sich nicht aus dem Begriff Maschinenbau allein. Entscheidend sind der konkrete Tätigkeitsbereich, die Einordnung in einen regulierten Sektor und die Unternehmensgrösse. In der deutschen Praxis greifen dafür die EU-Grössenschwellen von mindestens 50 Mitarbeitenden und 10 Mio. Euro Umsatz in 18 Sektoren. Unternehmen müssen ihre Einstufung selbst sektor- und grössenbasiert prüfen, weil die Klassifizierung den Pflichtumfang bestimmt, wie das BSI zu den NIS-2-Pflichten erläutert.

<a id="die-prufung-erfolgt-in-mehreren-schritten"></a>

Die Prüfung erfolgt in mehreren Schritten

Zuerst beschreibt das Unternehmen seine tatsächlichen Leistungen. Produziert es Maschinen, die in einem regulierten Bereich eingesetzt werden? Betreibt es digitale oder kommunikationstechnische Dienste? Erbringt es Wartung, Hosting oder andere Leistungen, deren Ausfall die Systeme eines regulierten Kunden beeinträchtigen könnte?

Danach ordnet das Unternehmen jede relevante Tätigkeit einem Sektor zu. Erst anschliessend folgt die Grössenprüfung. Eine pauschale Aussage wie „Wir sind nur Zulieferer“ reicht nicht aus, wenn das Unternehmen zugleich digitale Dienste, industrielle Steuerungstechnik oder sicherheitsrelevante Serviceleistungen anbietet.

Der Maschinenbauer sollte die Entscheidung dokumentieren, nicht nur das Ergebnis. In die Akte gehören Unternehmensdaten, Tätigkeitsbeschreibung, betroffene Sektoren, Grössenmerkmale, verbundene Unternehmen und die Begründung der Einstufung. Bei komplexen Gruppenstrukturen oder Mischgeschäften sollte die Prüfung mit fachkundiger rechtlicher Unterstützung erfolgen.

<a id="die-zehn-pflichtmanahmen-des-risikomanagements"></a>

Die zehn Pflichtmaßnahmen des Risikomanagements

Für Maschinenbau-KMU sind die mindestens zehn konkreten Risikomanagementmassnahmen kein IT-Listenpunkt, sondern eine Organisationsaufgabe. Dazu gehören unter anderem Incident-Handling, Lieferkettensicherheit, sichere Entwicklung und Wartung, Wirksamkeitskontrollen, Schulungen sowie Kryptographie-Konzepte. Entscheidend ist, dass Geschäftsleitung, Einkauf, Produktion und IT ihre jeweiligen Aufgaben kennen und nachweisen können.

<a id="die-massnahmen-mussen-im-betrieb-nachweisbar-sein"></a>

Die Massnahmen müssen im Betrieb nachweisbar sein

Eine Richtlinie genügt nicht. Für jede Massnahme braucht das Unternehmen eine verantwortliche Person, einen festgelegten Anwendungsbereich, einen Umsetzungsnachweis und eine Regel für die Wirksamkeitskontrolle.

1. Risikoanalyse: Systeme, Prozesse, Abhängigkeiten und mögliche Auswirkungen werden erfasst. Im Maschinenbau zählen dazu ERP, CAD, Produktionssteuerung, Fernwartung und technische Daten.
2. Politiken für Informationssicherheit: Die Geschäftsleitung verabschiedet Regeln für Zugriffe, Geräte, Daten, Vorfälle und Verantwortlichkeiten.
3. Incident-Handling: Ein Vorfallplan regelt Erkennung, Bewertung, Eindämmung, Kommunikation und Nachbereitung. Kontaktlisten und Freigaben müssen aktuell sein.
4. Backup-Management und Notfallvorsorge: Sicherungen müssen wiederherstellbar und gegen unbefugte Veränderung geschützt sein.
5. Kryptographie und Verschlüsselung: Das Unternehmen legt fest, wann Daten und Kommunikation geschützt werden und wer Verfahren freigibt.
6. Personal und Schulung: Mitarbeitende erhalten rollenbezogene Schulungen. Die Geschäftsleitung muss ihre Aufsichtspflichten kennen.
7. Lieferkettensicherheit: Einkauf und IT bewerten kritische Lieferanten, Dienstleister und Fernwartungspartner. Sicherheitsanforderungen gehören in Verträge.
8. Sicherheit bei Beschaffung und Entwicklung: Software, Steuerungen und Dienstleister werden vor der Freigabe sicherheitstechnisch bewertet.
9. Sichere Wartung und Schwachstellenmanagement: Patches, Herstellerinformationen und technische Änderungen werden verfolgt und dokumentiert.
10. Wirksamkeitsprüfung: Audits, Tests, Wiederanlaufübungen und Korrekturmassnahmen zeigen, ob Kontrollen funktionieren.

In der Praxis fehlen selten einzelne Kontrollen. Häufiger fehlen Zuordnung und Nachweis. Ein Fernwartungszugang ist abgesichert, aber niemand hält fest, welcher Lieferant ihn wann nutzt. Ein Backup läuft automatisch, doch ein Wiederherstellungstest wurde nie dokumentiert. Eine Schulung findet statt, aber Teilnehmer, Inhalte und Folgemassnahmen bleiben unklar.

Für technische Dokumentationsprozesse bietet ein Audit-Trail für technische Nachweise Anhaltspunkte für Änderungsstände und Verantwortlichkeiten. Auch ein strukturierter Audit-Trail nach TRBS 1115 kann als Denkanstoss dienen. Er ersetzt jedoch keine NIS-2-Risikomanagementorganisation.

Aus der Umsetzungspraxis: Eine Massnahme zählt erst dann, wenn belegbar ist, wer sie freigegeben, umgesetzt und zuletzt geprüft hat.

<a id="meldepflichten-und-eskalationswege-bei-sicherheitsvorfallen"></a>

Meldepflichten und Eskalationswege bei Sicherheitsvorfällen

Ein Sicherheitsvorfall darf nicht im Postfach des Administrators hängen bleiben. Die deutsche Umsetzung verlangt einen organisatorisch belastbaren Dreiklang aus 24-Stunden-Erstmeldung, 72-Stunden-Zwischenmeldung und Abschlussbericht nach einem Monat, wie die BSI-FAQ zu NIS 2 beschreibt.

<a id="eine-funktionierende-kette-braucht-klare-rollen"></a>

Eine funktionierende Kette braucht klare Rollen

Die Erstmeldung darf nicht davon abhängen, dass die technische Analyse bereits abgeschlossen ist. Das Unternehmen braucht eine interne Bewertung, ob ein Vorfall meldepflichtig sein kann, einen festen Verteiler und eine Person, die die Meldung koordiniert. Die Geschäftsführung muss wissen, wann sie informiert wird und welche Entscheidung sie selbst trifft.

• Erstmeldung: Die Organisation meldet den erheblichen Vorfall innerhalb von 24 Stunden nach Kenntnis. Das Format muss eine schnelle erste Einordnung ermöglichen.
• Zwischenmeldung: Innerhalb von 72 Stunden ergänzt sie die erste Meldung um belastbarere Informationen zu Schweregrad, Auswirkungen und vermuteter Ursache.
• Abschlussbericht: Nach einem Monat dokumentiert sie den Vorfall, die Ursachen, die Gegenmassnahmen und offene Verbesserungen.

Die Vorlagen sollten nicht erst im Ernstfall entstehen. Sinnvoll sind ein einseitiges Erstmeldeformular, ein erweitertes Lagebild, eine Kontaktliste mit Stellvertretungen und ein Freigabeprozess für externe Kommunikation. Das Qualitätsmanagement kann diese Dokumente in bestehende Abweichungs- und Korrekturmassnahmenprozesse integrieren, solange die kurzen Meldefristen nicht durch interne Freigabeschleifen blockiert werden.

<a id="fernwartung-verandert-die-eskalation"></a>

Fernwartung verändert die Eskalation

Bei einer kompromittierten Steuerung oder einem missbrauchten Servicekonto muss der Betrieb möglicherweise weiterlaufen, während die Analyse beginnt. Dafür braucht das Unternehmen vorab Kriterien: Welche Systeme dürfen isoliert werden, wer darf einen Zugang sperren, welche Kunden müssen informiert werden, und wer entscheidet über einen Produktionsstopp?

Das BSI-Material zur NIS-2-Meldekaskade kann die interne Schulung ergänzen. Für die spätere Nachvollziehbarkeit sollten alle Entscheidungen, Zeitpunkte, Freigaben und technischen Massnahmen in einem belastbaren Audit-Trail für Compliance-Nachweise erfasst werden. Eine Meldung ist kein Ersatz für Incident Response. Sie funktioniert nur, wenn Erkennung, Bewertung und Eskalation bereits geübt sind.

<a id="registrierung-geschaftsleitungshaftung-und-sanktionen"></a>

Registrierung, Geschäftsleitungshaftung und Sanktionen

Die Registrierung ist kein Formalakt, den ein Unternehmen nach der Sicherheitsarbeit irgendwann nachholt. Sie zwingt zur Klärung, welche Einrichtung betroffen ist, wer sie vertritt und welche Kontaktdaten für Sicherheitsvorfälle gelten. In Deutschland erfolgt der Prozess zweistufig über das digitale Dienstkonto Mein Unternehmenskonto.

Für betroffene Organisationen begann die dreimonatige Registrierungsfrist am 6. Dezember 2025 und endete regulär am 6. März 2026. Das BSI setzte anschliessend eine Nachfrist bis 31. Juli 2026. Diese Fristen und der Umfang von rund 29.500 Unternehmen in 18 Sektoren sind in der BSI-Mitteilung zum Inkrafttreten des NIS-2-Umsetzungsgesetzes genannt.

<a id="die-geschaftsleitung-muss-aufsicht-nachweisen"></a>

Die Geschäftsleitung muss Aufsicht nachweisen

Die Geschäftsleitung trägt nicht automatisch jede technische Einzelentscheidung. Sie muss aber sicherstellen, dass Zuständigkeiten, Ressourcen, Schulungen und Kontrollen existieren. Der deutsche Umsetzungsrahmen sieht für die Geschäftsleitung regelmässige Schulungen vor, die laut deutschem Entwurf alle drei Jahre wiederkehren.

In der Praxis sollte die Geschäftsführung deshalb ein kleines Steuerungsset erhalten:

• Entscheidungsprotokoll: Betroffenheitsprüfung, Einstufung und Prioritäten.
• Massnahmenstatus: Verantwortliche, Frist, Status und Nachweis je Pflichtmassnahme.
• Risikobericht: Kritische Systeme, Lieferanten, offene Schwachstellen und Abhängigkeiten.
• Vorfallprozess: Eskalationsstufen, Stellvertretungen und Freigaben.
• Schulungsnachweis: Inhalte, Teilnehmer, Datum und erkannte Handlungsbedarfe.

Für besonders wichtige Einrichtungen nennt die deutsche Umsetzung einen Nachweiszeitraum von drei Jahren bis Dezember 2028, um die Massnahmen gegenüber dem BSI zu belegen. Das verändert die Priorität: Unternehmen sollten nicht nur schnell einzelne Controls installieren, sondern eine fortlaufende Nachweisführung aufbauen. Ein Screenshot aus einem System ist kein vollständiges Governance-Modell.

Die Kategorien „besonders wichtig“ und „wichtig“ unterscheiden sich bei der Sanktionshöhe und bei der aufsichtsrechtlichen Einordnung. Für beide gilt jedoch: Eine unklare Verantwortlichkeit erhöht das Risiko, dass ein Vorfall verspätet bewertet oder eine Pflichtmassnahme nicht nachweisbar umgesetzt wird.

<a id="bugelder-und-wirtschaftliche-folgen-bei-verstoen"></a>

Bußgelder und wirtschaftliche Folgen bei Verstößen

Bußgeldobergrenzen machen das Risiko greifbar, bilden aber nur einen Teil der wirtschaftlichen Folgen ab. Ein Maschinenbauer kann zusätzlich mit Kundenfragen, verschobenen Abnahmen, vertraglichen Diskussionen und erhöhtem Prüfaufwand konfrontiert werden. Besonders kritisch wird es, wenn ein Kunde nach einem Vorfall nicht nur die technische Behebung, sondern belastbare Lieferanten- und Nachweisprozesse verlangt.

Für Verstöße nennt das BSI Bußgeldobergrenzen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen sowie bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes für wichtige Einrichtungen. Diese Werte werden auch in der Einordnung der NIS-2-Meldepflichten und Sanktionen gegenübergestellt.

<a id="so-sollte-die-geschaftsfuhrung-das-risiko-bewerten"></a>

So sollte die Geschäftsführung das Risiko bewerten

Eine brauchbare Risikobetrachtung beginnt nicht mit der maximalen Geldbuße. Sie verbindet vier Fragen:

1. Welche Einstufung gilt für das Unternehmen?
2. Welche Pflichtmassnahmen sind nicht oder nur teilweise umgesetzt?
3. Wie schnell kann das Unternehmen einen erheblichen Vorfall erkennen und melden?
4. Welche Kunden, Lieferanten und Produktionsprozesse hängen von den betroffenen Systemen ab?

Persönliche Verantwortung der Geschäftsleitung ist dabei nicht mit einer pauschalen persönlichen Haftung für jeden Vorfall gleichzusetzen. Entscheidend sind die konkreten gesetzlichen Voraussetzungen, die Organisationspflichten und das nachweisbare Verhalten der verantwortlichen Personen. Eine dokumentierte Entscheidung, ein genehmigter Massnahmenplan und regelmässige Kontrolle sind deshalb mehr als Formalitäten.

Wer nur die mögliche Geldbuße betrachtet, unterschätzt die Kosten von fehlender Lieferfähigkeit und verlorener Kundenfreigabe.

Die wirtschaftlich sinnvolle Reihenfolge lautet: zuerst Meldefähigkeit und kritische Abhängigkeiten sichern, danach die übrigen Lücken nach Risiko priorisieren. Ein vollständiges Regelwerk ohne funktionierende Eskalation hilft im Vorfall weniger als ein schlanker, getesteter Prozess mit klaren Verantwortlichen.

<a id="90-tage-fahrplan-zur-umsetzung-im-maschinenbau-kmu"></a>

90-Tage-Fahrplan zur Umsetzung im Maschinenbau-KMU

Ein KMU ohne eigene IT-Sicherheitsabteilung braucht keinen monatelangen Grossumbau, sondern eine belastbare Reihenfolge. Die folgenden Arbeitspakete verbinden Betroffenheitsprüfung, Registrierung, technische Bestandsaufnahme und Managementnachweis.

<a id="woche-eins-bis-zwei"></a>

Woche eins bis zwei

• Betroffenheit klären: Tätigkeiten, Sektoren, Unternehmensgrösse, verbundene Unternehmen und kritische Kundenbeziehungen erfassen.
• Verantwortung benennen: Geschäftsführung, technische Leitung, IT, Einkauf, Qualität und Datenschutz in ein kleines Kernteam holen.
• Registrierung vorbereiten: Mein Unternehmenskonto einrichten, Unternehmensdaten prüfen und den zweistufigen Registrierungsprozess organisieren.
• Kritische Systeme markieren: ERP, CAD, Produktionsnetz, Fernwartung, zentrale Dateiablagen und externe Dienste aufnehmen.

<a id="woche-drei-bis-sechs"></a>

Woche drei bis sechs

• Risikomanagement abgleichen: Die mindestens zehn geforderten Massnahmen gegen vorhandene Richtlinien, Verträge, Protokolle und technische Kontrollen prüfen.
• Lieferanten priorisieren: Steuerungshersteller, Servicepartner, Cloud-Anbieter und IT-Dienstleister nach Zugriff und Ausfallwirkung ordnen.
• Vorfallprozess entwerfen: 24-Stunden-Erstmeldung, 72-Stunden-Zwischenmeldung und Abschlussbericht in Rollen, Vorlagen und Stellvertretungen übersetzen.
• Nachweise sammeln: Freigaben, Schulungen, Backup-Tests, Zugriffskontrollen, Wartungsprotokolle und Wirksamkeitsprüfungen zentral ablegen.

<a id="woche-sieben-bis-zehn"></a>

Woche sieben bis zehn

Jetzt schliesst das Unternehmen die grössten Lücken. Typische Prioritäten sind unkontrollierte Fernzugänge, fehlende Offline- oder unveränderbare Sicherungen, veraltete Dienstleisterverträge und nicht getestete Eskalationslisten. Die technische Massnahme sollte immer mit einem Verantwortlichen und einem prüfbaren Ergebnis verbunden sein.

<a id="woche-elf-bis-zwolf"></a>

Woche elf bis zwölf

Die Geschäftsleitung nimmt den Status ab, genehmigt Restmassnahmen und lässt den Vorfallprozess praktisch durchspielen. Jede Rolle muss wissen, wann sie eskaliert, welche Informationen sie liefert und wer eine externe Meldung freigibt. Parallel entsteht ein fortlaufender Nachweisplan für die folgenden Jahre.

Für die CE-seitige technische Dokumentation, Risikobeurteilung und konsistente Ablage kann ein strukturiertes Musterdossier als organisatorische Orientierung dienen. Es ersetzt weder die NIS-2-Betroffenheitsprüfung noch die sicherheitstechnische Bewertung, zeigt aber, wie Verantwortlichkeiten, Versionen und Nachweise aus unterschiedlichen Fachbereichen zusammengeführt werden können.

---

CE-Copilot unterstützt Maschinenbau-KMU bei der strukturierten Erstellung von Risikobeurteilungen, Betriebsanleitungen und technischer Dokumentation, damit technische Nachweise konsistent und nachvollziehbar bleiben. Besuchen Sie CE-Copilot, wenn Sie Ihre CE-Dokumentation und die Vorbereitung auf kommende Anforderungen wie die Cyber Resilience Act systematisch organisieren möchten. Die Inhalte dieses Artikels dienen der allgemeinen Information und ersetzen keine rechtsverbindliche Beratung. Die Verantwortung für die Konformitätserklärung und die Konformität des Produkts bleibt beim Hersteller.