Wie berücksichtigt man OT- und Produktionsanlagen in der NIS2-Risikoanalyse?

Alexander Brütsch · 13 Okt. 2026

OT- und Produktionsanlagen müssen in der NIS2-Risikoanalyse dann berücksichtigt werden, wenn sie Teil kritischer oder wichtiger Einrichtungen sind und deren Betrieb oder Sicherheit durch Cyberangriffe beeinträchtigt werden kann. Für betroffene Unternehmen bedeutet das: Steuerungssysteme, Maschinenanbindungen und Netzwerkkomponenten in der Produktion sind keine Randthemen, sondern gehören zum Kern der Pflichten. Die folgenden Abschnitte zeigen, welche Systeme relevant sind, wie die Analyse konkret abläuft und wo die praktischen Hürden liegen.

Welche OT-Systeme fallen überhaupt unter NIS2?

Unter NIS2 fallen OT-Systeme dann in den Anwendungsbereich, wenn sie zur Steuerung, Überwachung oder zum Betrieb von Prozessen genutzt werden, die für die Erbringung wesentlicher oder wichtiger Dienste notwendig sind. Dazu zählen speicherprogrammierbare Steuerungen (SPS), SCADA-Systeme, industrielle Netzwerkkomponenten und Mensch-Maschine-Schnittstellen (HMI), sofern sie in den relevanten Betriebsprozessen eingesetzt werden.

Entscheidend ist nicht die Technologie selbst, sondern ihre Funktion im Gesamtprozess. Ein SPS-System in einer Fertigungsanlage, das Produktionsabläufe steuert, ist ebenso relevant wie ein SCADA-System zur Überwachung von Versorgungsinfrastruktur. Für Unternehmen im produzierenden Mittelstand, in der Automobilzulieferbranche oder in der Logistik bedeutet das: Wer unter die NIS2-Pflichten fällt, muss seine Operational Technology systematisch erfassen und bewerten, nicht nur die klassische IT-Infrastruktur.

Ausgenommen sind in der Regel rein mechanische Anlagen ohne Netzwerkanbindung oder digitale Steuerungskomponenten. Sobald jedoch eine Verbindung zu Netzwerken, zur Cloud oder zu übergeordneten IT-Systemen besteht, entsteht eine Angriffsfläche, die NIS2 adressiert.

Wie unterscheidet sich die OT-Risikoanalyse von der klassischen IT-Risikoanalyse?

Der wesentliche Unterschied liegt in den Schutzzielen und den Konsequenzen eines Ausfalls. Während in der IT-Risikoanalyse Vertraulichkeit, Integrität und Verfügbarkeit gleichwertig behandelt werden, steht in der OT-Welt die Verfügbarkeit klar im Vordergrund. Ein Produktionsstillstand kann innerhalb von Minuten zu erheblichen wirtschaftlichen Schäden führen, in sicherheitskritischen Umgebungen sogar zu physischen Risiken.

Hinzu kommen strukturelle Unterschiede: OT-Systeme haben oft Laufzeiten von zehn bis zwanzig Jahren, lassen sich nicht ohne Weiteres patchen und sind häufig nicht für regelmäßige Sicherheitsupdates ausgelegt. Viele Protokolle in der Produktionsumgebung (etwa Modbus, Profinet oder OPC UA) wurden ursprünglich ohne Sicherheitsmechanismen entwickelt. Das macht klassische IT-Sicherheitsmaßnahmen wie automatische Patch-Zyklen oder Endpoint-Detection-Software oft schwer übertragbar.

Die Risikoanalyse muss deshalb OT-spezifische Bedrohungsszenarien berücksichtigen: gezielte Angriffe auf Steuerungssysteme, Manipulation von Prozessparametern, unbefugter Zugriff über schlecht gesicherte Fernwartungszugänge oder Lateral Movement aus dem IT-Netz in die OT-Umgebung.

Welche Schritte umfasst eine NIS2-konforme OT-Risikoanalyse?

Eine NIS2-konforme OT-Risikoanalyse folgt einem strukturierten Prozess, der mit der vollständigen Inventarisierung aller OT-Komponenten beginnt, dann Bedrohungen und Schwachstellen bewertet und schließlich Maßnahmen priorisiert. Ohne eine belastbare Asset-Übersicht lässt sich keine sinnvolle Risikoeinschätzung vornehmen.

Die wesentlichen Schritte im Überblick:

Asset-Inventar: Alle OT-Komponenten erfassen, inklusive Hersteller, Firmware-Version, Netzwerkanbindung und Kommunikationsbeziehungen.
Netzwerksegmentierung analysieren: Prüfen, ob und wie OT-Netze vom IT-Netz getrennt sind und wo Übergangspunkte existieren.
Bedrohungsmodellierung: Relevante Angriffsszenarien für die spezifische Produktionsumgebung identifizieren, zum Beispiel Ransomware-Einschleusung über Wartungszugänge.
Schwachstellenbewertung: Bekannte Schwachstellen in eingesetzten Systemen prüfen, auch wenn kein Patch verfügbar ist.
Risikobewertung: Eintrittswahrscheinlichkeit und Auswirkung für jedes identifizierte Szenario einschätzen, unter Berücksichtigung der OT-spezifischen Schutzprioritäten.
Maßnahmenplan: Geeignete Schutzmaßnahmen ableiten und nach Umsetzbarkeit und Wirksamkeit priorisieren.

Die Dokumentation dieses Prozesses ist nicht nur intern nützlich, sondern auch eine Nachweispflicht gegenüber Behörden im Rahmen von NIS2.

Was sind typische OT-Schwachstellen, die NIS2 adressiert?

Typische OT-Schwachstellen, die NIS2 in den Blick nimmt, sind unsichere Fernwartungszugänge, fehlende Netzwerksegmentierung zwischen IT und OT, veraltete Betriebssysteme ohne Sicherheitsupdates sowie schwache oder fehlende Authentifizierungsmechanismen an Steuerungskomponenten.

Fernwartungszugänge sind besonders häufig ein Einfallstor: Wartungsdienstleister erhalten oft dauerhaften Zugriff über VPN oder Remote-Desktop-Verbindungen, die weder protokolliert noch zeitlich begrenzt sind. NIS2 verlangt hier nachvollziehbare Zugriffskontrollen und Protokollierung.

Fehlende Segmentierung bedeutet in der Praxis, dass ein Angriff, der zunächst nur die Office-IT trifft, sich ungehindert in die Produktionsumgebung ausbreiten kann. Viele Betriebe haben historisch gewachsene Netzwerke, in denen SPS-Systeme direkt erreichbar sind, ohne dass eine Firewall oder eine DMZ dazwischenliegt.

Veraltete Betriebssysteme auf HMI-Rechnern (häufig Windows XP oder Windows 7) sind ein weiteres strukturelles Problem. Da ein Update oder Austausch mit Produktionsstillstand verbunden sein kann, werden diese Systeme oft jahrelang ohne Patches betrieben. NIS2 fordert auch hier einen dokumentierten Umgang mit Restrisiken, wenn ein Update nicht möglich ist.

Wie integriert man OT-Risiken in ein bestehendes ISMS?

OT-Risiken lassen sich in ein bestehendes ISMS integrieren, indem der Geltungsbereich des ISMS explizit auf OT-Systeme ausgedehnt wird und OT-spezifische Bedrohungsszenarien, Schutzmaßnahmen und Verantwortlichkeiten in die bestehenden Prozesse eingebettet werden. Eine parallele OT-Sicherheitsstruktur neben dem ISMS führt in der Praxis zu Lücken und Doppelarbeit.

Konkret bedeutet das: Die Asset-Datenbank des ISMS muss OT-Komponenten enthalten, die Risikoregister müssen OT-Szenarien abbilden, und die Maßnahmenverfolgung muss auch OT-seitige Kontrollen umfassen. Wer bereits nach ISO 27001 arbeitet, kann OT-relevante Aspekte aus der IEC 62443 als Ergänzung einbeziehen, ohne ein völlig neues Framework aufzubauen.

Wichtig ist die Klärung von Verantwortlichkeiten: In vielen Unternehmen liegt die Verantwortung für OT-Systeme beim Produktions- oder Instandhaltungsbereich, nicht bei der IT. Das ISMS muss diese organisatorische Realität abbilden und klare Schnittstellen zwischen IT-Sicherheit und Produktion definieren.

Wann sollte man externe Unterstützung für die OT-Risikoanalyse hinzuziehen?

Externe Unterstützung ist dann sinnvoll, wenn intern weder das OT-spezifische Sicherheitswissen noch die Kapazität vorhanden ist, eine strukturierte Risikoanalyse durchzuführen, oder wenn die Ergebnisse gegenüber Behörden oder Kunden nachweisbar dokumentiert werden müssen. Gerade bei erstmaliger Umsetzung der NIS2-Pflichten in der Produktion übersteigt der Aufwand häufig die internen Ressourcen.

Typische Situationen, in denen externe Expertise den Unterschied macht:

Die OT-Umgebung ist historisch gewachsen und es gibt kein vollständiges Asset-Inventar.
IT und Produktion haben bisher getrennt gearbeitet und es fehlt ein gemeinsames Sicherheitsverständnis.
Es besteht Zeitdruck durch Kundenanforderungen, Audits oder behördliche Fristen.
Die internen Ressourcen reichen nicht aus, um Bedrohungsmodellierung und Maßnahmenplanung parallel zum Tagesgeschäft durchzuführen.

Externe Unterstützung bedeutet dabei nicht, die Verantwortung abzugeben. Interne Mitarbeiter müssen die Ergebnisse verstehen und weiterführen können. Gute externe Partner arbeiten deshalb eng mit den internen Teams zusammen und sorgen für Wissenstransfer.

Wie UBESAFE die OT-Risikoanalyse nach NIS2 umsetzbar macht

UBESAFE begleitet Unternehmen bei der NIS2-Umsetzung von der ersten Betroffenheitsprüfung bis zur nachweisbaren Erfüllung aller Pflichten, auch wenn OT-Systeme und Produktionsanlagen zum Scope gehören. Das Leistungsangebot deckt dabei alle relevanten Phasen ab:

Analyse des aktuellen Stands durch ein strukturiertes NIS2-Audit, inklusive GAP-Analyse und Bewertung des Reifegrads in IT und OT
Aufbau von Governance-Strukturen, Meldeprozessen und Risikomanagement, abgestimmt auf die spezifische Unternehmensstruktur
Technische Umsetzung von Schutzmaßnahmen wie 24/7-Monitoring, Schwachstellen-Scans, SIEM und Patchmanagement, auch für OT-nahe Umgebungen
Kontinuierliche Begleitung durch einen Managed IT Service, der NIS2-Konformität nicht als einmaliges Projekt, sondern als dauerhaften Zustand sicherstellt

Wer wissen möchte, wo sein Unternehmen heute steht, kann mit einem kostenlosen Erstaudit beginnen. UBESAFE bewertet die Ausgangslage und zeigt konkret, welche Schritte als Nächstes notwendig sind.