NIS2 Fertigung.
Wer betroffen ist und was MES und OT leisten müssen.

Ist mein Fertigungsbetrieb von NIS2 betroffen?

Ihr Betrieb ist betroffen, wenn Ihr Unternehmen einer Einrichtungsart in Anlage 1 oder 2 BSIG zuzuordnen ist und die jeweilige Größenschwelle erreicht: mindestens 50 Mitarbeiter oder jeweils über 10 Mio. € Jahresumsatz und Jahresbilanzsumme (§ 28 Abs. 2 BSIG). Es zählt das ganze Unternehmen samt verbundener Unternehmen, nicht der einzelne Standort (§ 28 Abs. 4). Das BSI teilt die Betroffenheit nicht mit, Sie prüfen selbst. Die BSI-Betroffenheitsprüfung hilft, bleibt aber unverbindlich.

Welche Hersteller fallen unter NIS2: Maschinenbau, Elektronik, Fahrzeuge?

Anlage 2 BSIG nennt im verarbeitenden Gewerbe Hersteller von Medizinprodukten und In-vitro-Diagnostika, von Datenverarbeitungsgeräten sowie elektronischen und optischen Erzeugnissen (NACE-Abteilung 26), elektrischen Ausrüstungen (27), Maschinen (28), Kraftwagen und Kraftwagenteilen (29) und sonstigem Fahrzeugbau (30). Maßgeblich ist NACE Rev. 2, also WZ 2008. Metallerzeugnisse (Abteilung 25) und Gummi- und Kunststoffwaren (22) stehen nicht in der Anlage. Chemie, Lebensmittel und Pharma sind eigene Einrichtungsarten. Eine zweite Tätigkeit zählt zusätzlich, sofern sie nicht vernachlässigbar ist (§ 28 Abs. 3).

Was unterscheidet wichtige von besonders wichtigen Einrichtungen?

Für Fertiger ohne kritische Anlage sind die Pflichten nach §§ 30, 32, 33 und 38 BSIG gleich. Unterschiede liegen bei Größe, Aufsicht und Bußgeld. Besonders wichtig sind Einrichtungen der Anlage 1 ab 250 Mitarbeitern oder über 50 Mio. € Umsatz bei über 43 Mio. € Bilanzsumme sowie Betreiber kritischer Anlagen. Bei ihnen kann das BSI Audits anordnen (§ 61), bei wichtigen Einrichtungen prüft es nach § 62 bei Anhaltspunkten. Bußgelder reichen bis 10 Mio. € beziehungsweise 7 Mio. € (§ 65 Abs. 5).

Bis wann und wie registriere ich mich beim BSI?

Die Registrierung nach § 33 Abs. 1 BSIG ist spätestens drei Monate nach Eintritt der Betroffenheit fällig. Für Betriebe, die schon am 06.12.2025 betroffen waren, endete die Frist am 06.03.2026. Das BSI nennt sie abgelaufen und verlangt die sofortige Nachholung. Der Weg hat zwei Schritte: ein ELSTER-Organisationszertifikat über Mein Unternehmenskonto beantragen, dann im BSI-Portal registrieren. Bei Verstößen kann das BSI die Registrierung auch selbst vornehmen (§ 33 Abs. 3). Änderungen Ihrer Angaben melden Sie nach § 33 Abs. 5.

Wann muss ich einen Vorfall im MES an das BSI melden?

Melden müssen Sie einen erheblichen Sicherheitsvorfall, also einen Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann (§ 2 Nr. 11 BSIG). Ein Schadprogramm, das das MES und damit die Fertigung stilllegt, kann dazu gehören, das beurteilen Sie im Einzelfall. Die Fristen laufen ab Kenntnis: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat danach (§ 32 Abs. 1). Laut BSI gilt Schnelligkeit vor Vollständigkeit.

Haftet die Geschäftsführung persönlich?

Geschäftsleitungen müssen die Risikomanagementmaßnahmen umsetzen und überwachen (§ 38 Abs. 1 BSIG). Verletzen sie diese Pflicht, haften sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts ihrer Rechtsform. Das BSIG selbst greift nur, wenn diese Regeln keine Haftung vorsehen (§ 38 Abs. 2). Zusätzlich müssen alle Mitglieder der Geschäftsleitung regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3). Ob im Einzelfall gehaftet wird, klärt die Rechtsberatung, diese Einordnung ersetzt sie nicht.

Muss ich ISO 27001 oder IEC 62443 nachweisen?

Nein, das Gesetz verlangt weder eine bestimmte Zertifizierung noch eine bestimmte Norm. § 30 Abs. 2 BSIG verlangt Maßnahmen nach dem Stand der Technik, die einschlägige europäische und internationale Normen berücksichtigen. Laut BSI kann eine Zertifizierung nach ISO/IEC 27001 oder IT-Grundschutz den Nachweis erleichtern, muss aber am Maßnahmenkatalog des Gesetzes geprüft und gegebenenfalls ergänzt werden. Für OT-Netze ist IEC 62443 der etablierte Bezugsrahmen. Nachweise legen Sie dem BSI nur auf Anordnung vor.

Ist das MES selbst ein Pflichtgegenstand von NIS2?

Nein, NIS2 regelt keine einzelnen Systeme, sondern die Sicherheit der informationstechnischen Systeme, Komponenten und Prozesse, die Sie für Ihre Dienste nutzen (§ 30 Abs. 1 BSIG). In einem Werk gehört das MES dazu, weil es Aufträge, Rezepte und Maschinenzugriffe bündelt. Es taucht in Risikoanalyse, Asset-Inventar, Backup-Konzept, Zugriffssteuerung und Lieferantenbewertung auf. Die Zuordnung zu den zehn Mindestmaßnahmen ist eine Einordnung von Find-Your-MES, keine Vorgabe des Gesetzes. Das gilt für On-Premise und Cloud gleichermaßen.

Was ändert sich bei Cloud-MES und Fernwartung?

Ihre Verantwortung bleibt: Laut BSI entbindet selbst die vollständige Auslagerung der IT nicht, Sie müssen sicherstellen, dass Dienstleister die Vorgaben umsetzen und Vorfälle gemeldet werden. Ein Cloud-MES als Software as a Service kann nach BSI-Auslegung ein Cloud-Computing-Dienst sein (§ 2 Nr. 4 BSIG), ein Dienstleister mit Administratorzugriff ein Managed Service Provider (§ 2 Nr. 26). Klären Sie Verantwortungsmatrix, Meldekette, Zugriffsschutz mit Multi-Faktor-Authentifizierung und Ausstieg schriftlich im Vertrag. Ihr Vertrag mit dem Anbieter ist damit Teil Ihres Nachweises.

Muss ich NIS2 erfüllen, wenn nur mein Kunde betroffen ist?

Direkt nicht, indirekt oft. Die Lieferkettenpflicht nach § 30 Abs. 2 Nr. 4 BSIG trifft die betroffene Einrichtung. Laut BSI verpflichtet das Gesetz nicht alle Zulieferer, doch Ihre Kunden müssen Sicherheitsanforderungen mit Lieferanten vereinbaren und können womöglich nicht mehr mit jedem Unternehmen zusammenarbeiten. Rechnen Sie mit Fragebögen zu Patchfristen, Meldewegen und Sicherheitsprozessen. Prüfen Sie intern, ob Sie die Maßnahmen nach § 30 Abs. 2 für solche Vereinbarungen erfüllen. Das trifft auch Zulieferer ohne eigene Betroffenheit.

Wie unterscheiden sich NIS2 und der Cyber Resilience Act?

NIS2 regelt den Betrieb, der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) das Produkt. NIS2 trifft über das BSIG Ihr Werk als Einrichtung, der CRA den MES-Anbieter als Hersteller. Die NIS2-Pflichten gelten seit 06.12.2025, die CRA-Meldepflichten seit 11.09.2026 und die übrigen CRA-Pflichten ab 11.12.2027 (Art. 71). Beide Meldewege bestehen nebeneinander und schließen sich nicht aus. Was der Anbieter nach CRA liefert, hilft Ihnen bei der Lieferkettenpflicht nach NIS2. Das Produktrecht erklärt Cyber Resilience Act MES.

Was gilt in Österreich und in der Schweiz?

In Österreich gilt das NISG 2026 (BGBl. I Nr. 94/2025). Es tritt nach neun Monaten zum nächsten Monatsersten in Kraft, also am 01.10.2026, und nennt den Sektor Verarbeitendes Gewerbe und Herstellung von Waren. Die Registrierung hat binnen drei Monaten ab Inkrafttreten zu erfolgen (§ 29 Abs. 3). In der Schweiz gilt kein NIS2, aber seit 01.04.2025 eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen mit 24 Stunden Frist nach dem Informationssicherheitsgesetz (BACS). Nicht jeder Fertiger ist dort meldepflichtig.