MES-Anforderungen IT-Leitung: Integration, Sicherheit und Deployment im Überblick
Ein MES berührt SAP-Landschaft, OT-Netzwerk, Datenschutz und IT-Sicherheit gleichzeitig. Für IT-Leitungen in DACH-Fertigungsunternehmen ist das MES 2026 oft das technisch anspruchsvollste Integrationsprojekt im Portfolio: Es verbindet drei Systemwelten und muss dabei Sicherheitsnormen wie IEC 62443 und Datenschutzpflichten nach DSGVO erfüllen. Diese Seite gibt Ihnen den strukturierten Überblick für die technische Absicherung der Auswahlentscheidung.
Das MES als Middleware zwischen ERP und Shopfloor
IT-Leiter begegnen dem MES meist als neuem Element in einer bereits bestehenden Systemlandschaft. Wer das MES strukturiert einordnet, vermeidet Doppelzuständigkeiten, Datenkonflikte und Integrationsprojekte, die nachträglich teuer nachgearbeitet werden müssen.
Die Norm ISA-95 (international als IEC 62264 ratifiziert) beschreibt fünf Automatisierungsebenen und macht die Zuständigkeiten sauber handhabbar. Level 0 bis 2 umfassen Sensoren, Aktoren, SPS-Steuerungen und SCADA-Systeme: das klassische OT-Terrain. Level 4 ist die Unternehmensplanung, also ERP-Systeme wie SAP. Das MES arbeitet auf Level 3, der Produktionsausführungsebene, und bildet damit die Middleware zwischen dem kaufmännischen Planungshorizont des ERP und den Echtzeitsignalen der Maschinen.
Diese ISA-95-konforme Einordnung hat konkrete Konsequenzen für die IT-Architektur: Das MES empfängt Fertigungsaufträge, Materialstämme und Stücklisten aus dem ERP, gibt Rückmeldungen (Mengen, Zeiten, Qualitätsergebnisse) zurück und übersetzt dabei die auftragsgetriebene Logik des ERP in maschinenlesbare Schritt-für-Schritt-Anweisungen. In die andere Richtung sammelt es Maschinensignale, BDE-Buchungen und Messwerte und verdichtet sie zu Kennzahlen wie OEE (Overall Equipment Effectiveness nach ISO 22400:2014) und Ausschussquoten.
Die IT-Leitung verantwortet in diesem Gefüge die Netzwerkgrenzen: Die Level-2/3-Grenze zwischen SCADA und MES sowie die Level-3/4-Grenze zwischen MES und ERP müssen durch klare Schnittstellendefinitionen, Firewalls und Zugriffskonzepte abgesichert werden. Ein MES, das direkt auf die SAP-Produktionsdatenbank schreibt oder ungefiltert auf SPS-Adressen zugreift, ist keine moderne Architektur. Suchen Sie deshalb im Auswahlprozess gezielt nach MES-Systemen, die ISA-95-konforme Schnittstellen mitbringen und die Entkopplung der Ebenen technisch durchsetzen.
Mehr zur grundsätzlichen Einordnung lesen Sie in unserem Überblick Was ist ein MES sowie in der detaillierten Abgrenzung MES vs. ERP. Die Zusammenhänge zwischen MES, ERP und SCADA aus Systemarchitektur-Sicht beschreibt die Seite MES, ERP und SCADA im Überblick.
SAP-Anbindung, OPC UA und REST: die drei Integrationsschichten im MES
Ein MES steht nicht für sich allein. Technisch betrachtet schließt es drei verschiedene Integrationsbeziehungen gleichzeitig: nach oben zum ERP, nach unten zur Maschinenebene und seitlich zu weiteren Systemen wie CAQ, PLM oder Instandhaltungssoftware. Für die IT-Leitung sind Schnittstellen nicht nur ein Projektvorteil, sondern ein handfestes Betriebsrisiko: Proprietäre Konnektoren erzeugen Abhängigkeiten, die bei Updates teuer werden.
SAP-Integration: IDoc, RFC und REST/OData
Die SAP-MES-Integration ist für die meisten DACH-Fertigungsbetriebe das kritischste Integrationsthema. Relevante SAP-Module sind PP (Produktionsplanung), QM (Qualitätsmanagement) und PM (Instandhaltung). Die technischen Integrationswege unterscheiden sich nach Synchronizität und Datenvolumen:
- ›IDoc (Intermediate Document): Das asynchrone Standardformat für Massen- und Stammdaten. Typische IDocs zwischen SAP PP und MES sind MATMAS (Materialstamm), LOIROU04 (Arbeitspläne) und PPCC2REQCONF (Produktionsauftragsrückmeldungen). IDoc-basierte Integration ist stabil und gut dokumentiert, aber nicht echtzeitfähig.
- ›RFC/BAPI: Synchrone Schnittstellen für transaktionale Daten, die eine unmittelbare Antwort erfordern, etwa beim Sperren eines Fertigungsauftrags oder beim Abrufen einer aktuellen Bestandsauskunft.
- ›REST/OData via SAP Cloud Integration: Der moderne Weg für Cloud-Szenarien und S/4HANA-Umgebungen. Laut Erfahrungswert von Find-Your-MES liegt der Aufwand bei SAP-zertifizierten Standardkonnektoren bei 20 bis 45 Personentagen, bei Projektentwicklung ohne zertifizierten Connector bei 60 bis 150 Personentagen.
- ›Middleware (SAP PI/PO): Sinnvoll, wenn das MES keine eigene SAP-Kopplung mitbringt oder wenn mehrere Systeme entkoppelt werden sollen.
Fragen Sie MES-Anbieter konkret: Ist der SAP-Connector SAP-zertifiziert? Welche IDoc-Typen werden unterstützt? Wie werden Mapping-Konflikte bei SAP-Releases behandelt? Details zur SAP-MES-Kopplung finden Sie auf der Seite MES-SAP-Integration.
OPC UA: der Standard für die Maschinenebene
OPC UA (Unified Architecture, normiert als IEC 62541) ist seit 2008 der Industriestandard für die herstellerneutrale Maschinenkommunikation. Ein MES, das OPC UA beherrscht, kann Signale aus SPS-Steuerungen (Siemens S7, Beckhoff, Rockwell), Werkzeugmaschinen, Robotern und Prüfanlagen lesen, ohne für jede Maschinenmarke einen Sonderkonnektor zu entwickeln.
Für die IT-Leitung relevant: OPC UA verwendet asymmetrische Kryptographie (X.509-Zertifikate) zur Authentifizierung und Transportverschlüsselung. Das bedeutet, dass ein vollständiges Zertifikatsmanagement aufgebaut werden muss. Wer dies unterschätzt, findet im Betrieb abgelaufene Zertifikate, die still und leise die Verbindung unterbrechen. Klären Sie vor der Beschaffung: Bringt der MES-Anbieter ein integriertes Zertifikats-Management mit, oder ist das Ihre Aufgabe? Lesen Sie dazu auch unsere Seite OPC UA im MES.
REST-API und weitere Schnittstellen
Moderne MES bieten eine dokumentierte REST-API (idealerweise OpenAPI 3.0 spezifiziert) für den Zugriff durch Drittsysteme: CAQ-Anbindung, Business-Intelligence-Tools, Dashboards oder übergeordnete Konzernreportsysteme. Achten Sie auf Versionierung der API (semantische Versionierung mit Break-Change-Policy), auf OAuth-2.0-basierte Authentifizierung und auf Dokumentationsqualität. Eine undokumentierte interne API gilt als proprietäres System und erhöht Ihre Abhängigkeit vom Anbieter erheblich.
Direktkonnektor oder Middleware: Welche Integrationsarchitektur passt zu Ihrer IT-Landschaft?
Eine Frage, die viele IT-Leiter erst nach dem ersten Anbieter-Gespräch stellen, ist: Wie wird das MES technisch angebunden, und welche IT-Infrastruktur brauchen wir dafür? Die Antwort hängt davon ab, welche Systeme integriert werden müssen, ob ein SAP-zertifizierter Direktkonnektor verfügbar ist und welche Integrationsplattformen im Unternehmen bereits existieren. Wer diese Frage vor der Anbieterauswahl klärt, vermeidet teure Architekturänderungen in der Implementierungsphase.
Direktkonnektor (Vendor-eigene Schnittstelle)
Der MES-Anbieter liefert einen fertigen SAP-Konnektor und OPC-UA-Stack mit. Das ist der Standardfall bei spezialisierten MES-Anbietern mit DACH-Marktpräsenz.
- SAP-zertifizierter Konnektor: 20 bis 45 PT Integrationsaufwand
- Ein Ansprechpartner für alle Schnittstellenprobleme
- Hohe Abhängigkeit vom Anbieter bei Versionswechseln
SAP Integration Suite (ehemals SAP PI/PO)
Wenn das Unternehmen bereits SAP PI/PO oder die SAP Integration Suite betreibt, kann das MES über diese Plattform angebunden werden.
- Wiederverwendung bestehender Infrastruktur
- Zentrale Überwachung aller Integrations-Flows
- Erfordert SAP-Basis-Know-how, 40 bis 80 PT SAP-Seite
Third-Party-Middleware (iPaaS)
Für heterogene Systemlandschaften (MES, CAQ, PLM, WMS, ERP) kann eine Plattform wie MuleSoft, Azure Logic Apps oder Talend die zentrale Drehscheibe bilden.
- Systemunabhängige Integrationsarchitektur
- Erleichtert zukünftige Systemwechsel
- Zusätzliche Lizenz- und Betriebskosten; 60 bis 150 PT Gesamtaufwand
Typischer Integrationsaufwand nach Architektur (Erfahrungswert von Find-Your-MES)
| Architektur-Option | SAP-Integration (PT) | OT-Integration (PT) | Gesamt-Initialaufwand (PT) |
|---|---|---|---|
| Direktkonnektor (SAP-zertifiziert) | 20 bis 45 | 15 bis 30 | 35 bis 75 |
| SAP PI/PO oder Integration Suite | 40 bis 80 | 15 bis 30 | 55 bis 110 |
| Third-Party-Middleware (iPaaS) | 60 bis 120 | 15 bis 50 | 75 bis 170 |
| Eigenentwicklung ohne Middleware | 80 bis 150 | 30 bis 80 | 110 bis 230 |
Diese Personentage umfassen den Integrationsaufwand, nicht die Konfiguration des MES selbst. Den vollständigen Rollout-Ablauf beschreibt die Seite MES einführen: Phasen, Rollen und Erfolgsfaktoren.
IEC 62443: Sicherheitsanforderungen für das MES im OT-Umfeld
Das MES ist das Bindeglied zwischen dem klassischen IT-Netz (ERP, Office, Internet) und dem OT-Netz (SPS, SCADA, Maschinen). Genau dort entstehen Angriffspfade, die Produktionsunterbrechungen oder Anlagenschäden verursachen können. Die Normenreihe IEC 62443 (identisch mit ISA/IEC 62443) ist der internationale Standard für Cybersicherheit in industriellen Automatisierungs- und Steuerungssystemen (IACS).
Schutz gegen unbeabsichtigte Fehler
Basisschutz ohne gezielten Angreifer. Kein ausreichendes Niveau für MES in der Serienproduktion.
Schutz gegen einfache, gezielte Angriffe
Verlangt Benutzerauthentifizierung, Zugriffsprotokollierung, Netzwerksegmentierung und strukturiertes Patch-Management. Mindeststandard für MES in der Serienproduktion.
Schutz gegen Angreifer mit erheblichen Ressourcen
Für Lieferanten kritischer Infrastruktur und sicherheitsrelevanter Güter empfohlen. Erfordert erweitertes Zonenkonzept und strukturiertes Schwachstellenmanagement.
Zones und Conduits: Netzwerksegmentierung nach IEC 62443
IEC 62443 arbeitet mit dem Konzept von Zonen (Gruppen von Geräten mit gleichem Schutzbedarf) und Conduits (kontrollierten Kommunikationskanälen zwischen Zonen). Das MES liegt typischerweise in einer eigenen Zone zwischen IT-Zone (ERP, Office-Netz) und OT-Zone (SPS, SCADA). Jede Kommunikationsbeziehung über Zonengrenzen muss durch einen Conduit mit definierten Protokollen, Firewallregeln und Authentifizierung abgesichert sein.
Praktisch bedeutet das für die IT-Leitung: Das MES-System darf nicht im gleichen Netz-Segment wie die Büro-PCs liegen und nicht ungefiltert mit den SPS kommunizieren. Eine DMZ-ähnliche Architektur mit gerichteten Firewallregeln ist der Mindeststandard.
Zugriffskonzept und Patch-Management
Ein MES speichert Passwörter, Buchungsbelege und Maschinenkonfigurationen. Anforderungen an das Zugriffskonzept: Rollenbasierte Zugriffskontrolle (RBAC) mit minimalen Rechten je Rolle, Active-Directory- oder LDAP-Anbindung für zentrales Benutzermanagement (Single Sign-On), Mehrstufige Authentifizierung (MFA) für administrative Zugänge, Protokollierung aller Zugriffsaktionen (Audit Trail) gemäß IEC 62443-3-3.
Nach dem EU Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847, in Kraft seit 10. Dezember 2024) müssen Hersteller von Produkten mit digitalen Elementen ab 11. September 2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle binnen 24 Stunden per Frühwarnung an das zuständige CSIRT und die ENISA melden. Die übrigen Pflichten, darunter Sicherheitsupdates für einen Unterstützungszeitraum von in der Regel mindestens fünf Jahren, gelten ab 11. Dezember 2027. Dieser Rahmen gilt auch für MES-Hersteller, die ihr System als vernetztes Produkt in der EU vertreiben.
ISO 27001, IEC 62443-2-4 und BSI C5: Welche Zertifizierungen ein MES-Anbieter nachweisen muss
Technische Sicherheitsfunktionen im MES-Produkt sind notwendig, aber nicht hinreichend. IT-Leitungen, die ein MES beschaffen, kaufen auch eine dauerhafte Beziehung zum Anbieter, dessen Entwicklungs- und Betriebsprozesse die Sicherheit des Systems über den gesamten Lebenszyklus hinweg bestimmen.
ISO/IEC 27001: Informationssicherheits-Managementsystem
ISO/IEC 27001 belegt, dass der MES-Anbieter Risiken für Vertraulichkeit, Integrität und Verfügbarkeit von Daten systematisch identifiziert, bewertet und behandelt. Für Cloud-MES-Anbieter ist ISO 27001 ein Mindestanspruch.
- Ausstellung durch akkreditierte Stellen (TÜV, BSI, Bureau Veritas)
- Dreijährige Laufzeit mit jährlichen Überwachungsaudits
- Scope-Beschreibung im Zertifikat prüfen: umfasst es Entwicklung und Support?
IEC 62443-2-4: Sicherheitsanforderungen für IACS-Dienstleister
Beschreibt die Sicherheitsanforderungen an Service-Provider und Systemintegratoren industrieller Automatisierungssysteme. Im DACH-Markt haben erst wenige MES-Anbieter eine formelle Zertifizierung (Erfahrungswert von Find-Your-MES).
- Prüft sichere Fernzugriffsverfahren und Konfigurationsmanagement
- Dokumentierte Selbstauskunft als Zwischenstufe akzeptabel
- Muss extern auditierbar sein
SOC 2 Type II und BSI C5 für Cloud-Anbieter
SOC 2 Type II prüft technische und organisatorische Schutzmaßnahmen über mindestens sechs Monate durch unabhängige Wirtschaftsprüfer. BSI C5 ist das deutsche Pendant und im DACH-Behörden- und Rüstungsumfeld oft vertraglich gefordert.
- Klären: Auf welchem Rechenzentrum läuft die Instanz?
- Besitzt das RZ ein BSI-C5-Testat oder ISO-27001-Zertifizierung?
- Drittlandtransfer vermeiden oder durch Standardvertragsklauseln absichern
Fordern Sie im RFI folgende Dokumente ein: ISO-27001-Zertifikat mit Scope-Beschreibung, IEC-62443-2-4-Selbstauskunft oder Zertifizierung, SOC-2-Type-II-Bericht oder BSI-C5-Testat (Cloud), Security-Konzept-Dokument gemäß IEC 62443-2-1, CVE-Disclosure-Policy. Für den Gesamtprozess der MES-Auswahl lesen Sie MES auswählen: Vorgehen, Kriterien und typische Fehler und den MES-Anbietervergleich DACH.
16 Prüfpunkte für IT-Leiter: Checkliste für den RFI und das Anbieter-Gespräch
Die folgende Checkliste kann direkt in einem Request for Information (RFI) oder als Fragebogen im MES-Auswahlprozess eingesetzt werden. Nutzen Sie sie parallel zur Erstellung des MES-Lastenhefts und zum Vorgehen auf der Seite MES auswählen.
Datenbankformat und Exportierbarkeit
Welches Datenbankprodukt wird eingesetzt (SQL Server, PostgreSQL, Oracle)? Ist ein vollständiger Export der historischen Daten als SQL-Dump oder CSV ohne Sonderbeauftragung möglich? Ist das Datenbankschema dokumentiert?
SAP-Zertifizierung und Connector-Dokumentation
Ist der SAP-Connector SAP-zertifiziert? Welche IDoc-Typen (LOIROU04, MATMAS, PPCC2REQCONF) werden nativ unterstützt? Wie werden Mapping-Änderungen bei SAP-Release-Wechseln behandelt?
OPC-UA-Zertifikatsmanagement
Bringt das MES ein integriertes X.509-Zertifikatsmanagement mit? Wie werden abgelaufene Zertifikate überwacht und erneuert? Welche OPC-UA-Sicherheitsprofile (Basic256Sha256 oder höher) werden unterstützt?
Netzwerkarchitektur und Zonenkonzept
In welchem Netzwerksegment läuft das MES-Leitrechner-Backend? Gibt es ein dokumentiertes Zonenkonzept gemäß IEC 62443? Welche Ports und Protokolle müssen in der Firewall freigegeben werden?
Security Level nach IEC 62443
Auf welches Security Level (SL 1 bis SL 4) ist das System ausgelegt? Gibt es ein Sicherheitskonzeptdokument gemäß IEC 62443-2-1? Wie wird mit Sicherheitslücken (CVEs) umgegangen und wie schnell erscheinen Patches?
Active Directory / LDAP-Anbindung und SSO
Unterstützt das MES Active Directory / LDAP für zentrales Benutzermanagement? Ist Single Sign-On (SSO, z.B. über SAML 2.0 oder OpenID Connect) möglich? Können Benutzerrollen aus AD-Gruppen abgeleitet werden?
DSGVO-Konformität und Auftragsverarbeitung
Welche personenbezogenen Daten werden verarbeitet (Benutzer-IDs, Leistungsdaten)? Wird ein AVV nach Art. 28 DSGVO angeboten? Wo werden Daten gespeichert? Werden Subunternehmer eingesetzt und sind diese im AVV benannt?
Patch- und Update-Strategie
Wie häufig erscheinen Sicherheits-Patches? Werden sie separat von Feature-Releases bereitgestellt? Gibt es einen CVE-Notification-Service? Was kostet Extended Support für ältere Versionen?
Lizenzmodell und Skalierungspfad
Werden Named-User-, Concurrent-User- oder Machine-Lizenzen angeboten? Was kostet eine Lizenz für einen weiteren Produktionsstandort? Sind Datenbanklizenzen im Wartungsvertrag enthalten?
Container-Readiness und Skalierbarkeit
Läuft das MES in Docker-Containern? Unterstützt es Kubernetes-Orchestrierung? Ist ein Multi-Site-Betrieb aus einer zentralen Instanz heraus möglich?
Exit-Klausel und Datenverfügbarkeit
Wie lange werden Daten nach Vertragsende noch abrufbar gehalten? In welchem Format und Umfang kann die vollständige Datenbasis exportiert werden? Ist dies vertraglich fixiert?
High Availability und Disaster Recovery
Welche Verfügbarkeits-SLAs bietet der Anbieter (99,5 %, 99,9 %)? Gibt es ein dokumentiertes Disaster-Recovery-Konzept? Was ist die maximal tolerierbare Ausfallzeit (RTO) und der Datenverlust (RPO) laut Vertrag?
Middleware-Entscheidung und Integrationsarchitektur
Bringt der MES-Anbieter einen SAP-zertifizierten Direktkonnektor für die eingesetzte SAP-Version (ECC oder S/4HANA) mit? Welche weiteren Systeme (CAQ, PLM, WMS) müssen angebunden werden? Ist eine Middleware-Schicht einzuplanen und wer trägt deren Betriebskosten?
Sicherheitszertifizierungen des Anbieters
Weist der Anbieter eine gültige ISO-27001-Zertifizierung nach? Gibt es eine Zertifizierung oder dokumentierte Selbstauskunft gemäß IEC 62443-2-4? Für Cloud-Angebote: Liegt ein SOC-2-Type-II-Bericht oder ein BSI-C5-Testat des Rechenzentrums vor?
Rollout-Phasenplan und Produktionsstillstandskonzept
Welchen phasenweisen Rollout-Plan sieht der Anbieter vor (Pilotwerk, Pilotlinie, Gesamtrollout)? Wie werden SAP-Transportaufträge und MES-Updates koordiniert, um Produktionsstopps zu minimieren? Details bietet die Seite MES einführen.
Referenzprojekte mit vergleichbarer Systemlandschaft
Hat der Anbieter dokumentierte Referenzprojekte mit vergleichbarer SAP-Version, vergleichbarer OT-Infrastruktur (Siemens, Beckhoff, Rockwell) und vergleichbarer Betriebsgröße? Nutzen Sie für den strukturierten Vergleich auch das MES-Selection-Portal von Find-Your-MES.
NIS2, Grundschutz und IEC 62443-3-2: was für das MES jetzt gilt
Seit Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz mit dem neu gefassten BSI-Gesetz (BSIG). Für viele Fertigungsunternehmen im DACH-Raum wird damit IT-Sicherheit in der Produktion zur gesetzlichen Pflicht mit Registrierung, Meldefristen und Haftung der Geschäftsleitung. Das MES liegt mitten in diesem Geltungsbereich, weil es Produktion, ERP und Maschinen verbindet.
Wann ein Fertiger unter NIS2 fällt
Anlage 2 des BSIG nennt unter Verarbeitendes Gewerbe die Herstellung von Medizinprodukten sowie die Wirtschaftszweige NACE C26 bis C30: Elektronik, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Teile, sonstiger Fahrzeugbau. Hinzu kommen Chemie und Lebensmittel. Ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme gilt ein solches Unternehmen nach § 28 Abs. 2 BSIG als wichtige Einrichtung.
- WZ-Code der Gesellschaft aus dem Handelsregister oder der Statistik prüfen
- Schwellenwerte nach EU-KMU-Empfehlung ermitteln, Konzernverbund beachten
- Die BSI-Betroffenheitsprüfung als ersten Schritt nutzen
Fristen von 24 Stunden bis einem Monat
Betroffene Einrichtungen müssen sich nach § 33 BSIG spätestens drei Monate nach Eintritt der Betroffenheit beim BSI registrieren, laut BSI ist diese Frist für bestehende Unternehmen bereits abgelaufen. Bei einem erheblichen Sicherheitsvorfall verlangt § 32 BSIG eine Erstmeldung binnen 24 Stunden, eine Meldung mit erster Bewertung binnen 72 Stunden und eine Abschlussmeldung nach einem Monat.
- MES-Protokolle so auslegen, dass Ablauf und Ausmaß eines Vorfalls in 72 Stunden bewertbar sind
- Ansprechpartner beim MES-Anbieter für den Vorfall vertraglich benennen
- Meldeweg und Vertretung im Notfallhandbuch festhalten
Zehn Mindestmaßnahmen nach § 30 BSIG
Das Gesetz verlangt geeignete technische und organisatorische Maßnahmen und deren Dokumentation. Für die MES-Beschaffung sind fünf der zehn Punkte unmittelbar relevant.
- Sicherheit der Lieferkette, also auch des MES-Anbieters und seiner Dienstleister
- Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement
- Backup, Wiederherstellung und Krisenmanagement
- Konzepte für Kryptographie und Zugriffskontrolle
- Multi-Faktor-Authentifizierung
Umsetzung, Überwachung, Schulung
Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen umsetzen und überwachen, haftet bei schuldhafter Verletzung nach Gesellschaftsrecht und muss regelmäßig an Schulungen teilnehmen. Sicherheitsanforderungen an das MES sind damit eine Entscheidung der Geschäftsführung, nicht nur der IT.
- Security-Budget als eigene Position im MES Business Case für CFO und Geschäftsführung
- Sicherheitsanforderungen im Lastenheft von der Geschäftsleitung freigeben lassen
- Status der Maßnahmen regelmäßig an die Geschäftsleitung berichten
Die IND-Bausteine für den Shopfloor
Für industrielle Steuerungssysteme führt das BSI die Bausteine IND.1 Betriebs- und Steuerungstechnik, IND.2.1 Allgemeine ICS-Komponente, IND.2.2 Speicherprogrammierbare Steuerung, IND.2.3 Sensoren und Aktoren, IND.2.4 Maschine und IND.2.7 Safety Instrumented Systems. Parallel baut das BSI den Grundschutz zu Grundschutz++ um, eine Zertifizierung danach soll laut heise ab 1. Januar 2027 möglich sein.
- IND.1 für das OT-Netz, in dem das MES mit Maschinen kommuniziert
- IND.2.4 für angebundene Maschinen mit Fernwartung durch den Hersteller
- Bei geplanter Zertifizierung den Zeitplan an Grundschutz++ ausrichten
Von der Risikoanalyse zum Ziel-Security-Level
Teil 3-2 der Normenreihe beschreibt die Sicherheitsrisikobewertung für den Systementwurf. Ihr Ergebnis ist je Zone ein Ziel-Security-Level (SL-T), das die eingesetzten Komponenten mit ihrer Fähigkeit (SL-C) erreichen müssen. Teil 3-3 enthält die Systemanforderungen, Teil 4-1 den sicheren Entwicklungsprozess beim Hersteller und Teil 4-2 die Anforderungen an einzelne Komponenten.
- Risikoanalyse nach 3-2 vor dem Lastenheft durchführen, nicht nach der Vergabe
- Vom MES-Anbieter Nachweise zu IEC 62443-4-1 für den Entwicklungsprozess anfragen
- SL-C der Komponenten je Zone gegen das SL-T prüfen
Quellen: BSI: NIS-2-regulierte Unternehmen, § 28 BSIG, § 30 BSIG, § 32 BSIG, § 33 BSIG, § 38 BSIG, Anlage 2 BSIG, BSI IT-Grundschutz-Bausteine ICS, heise zu Grundschutz++, ISA/IEC 62443 Normenreihe, Stand 2026. Keine Rechtsberatung.
Betriebskonzept: sechs Festlegungen vor dem Go-live
Die Supportzyklen von Betriebssystem und Datenbank sind oft kürzer als die geplante Nutzungsdauer des MES. Die folgenden sechs Festlegungen gehören ins Betriebskonzept, bevor das System produktiv geht. Sie ergänzen die Prüfpunkte der Checkliste oben um Lebenszyklus, Identitäten und Wiederanlauf.
Plattform-Lebenszyklus gegen Nutzungsdauer legen
Laut Microsoft endet der erweiterte Support für Windows Server 2016 im Januar 2027, für SQL Server 2016 ist er seit Juli 2026 beendet. SQL Server 2017 folgt im Oktober 2027, Windows Server 2019 im Januar 2029 und SQL Server 2019 im Januar 2030. Windows Server 2022 ist bis Oktober 2031 unterstützt, Windows Server 2025 bis November 2034 und SQL Server 2022 bis Januar 2033. Fordern Sie vom Anbieter die freigegebenen Versionen schriftlich an und planen Sie jeden Plattformwechsel als Kostenposition ein.
OPC-UA-Sicherheitsmodus verbindlich festlegen
Die BSI-Sicherheitsanalyse zu OPC UA empfiehlt, den Modus None unbedingt zu vermeiden. Sign reicht, wenn Vertraulichkeit keine Rolle spielt, bei vertraulichen Daten wie Rezepturen oder Prozessparametern ist SignAndEncrypt erforderlich. Veraltete Security Policies wie Basic128Rsa15 und Basic256 werden an Maschinen und MES deaktiviert, sobald alle Gegenstellen Basic256Sha256 oder neuer beherrschen.
Identitäten und Rollen trennen
Administratoren arbeiten mit persönlichen Konten und Multi-Faktor-Authentifizierung, wie sie § 30 BSIG verlangt. Werker melden sich am Terminal per Ausweis mit kurzer Sitzungsdauer an, Schnittstellen laufen über Dienstkonten mit minimalen Rechten und ohne interaktive Anmeldung. Ein versiegeltes Notfallkonto und eine Rezertifizierung der Rechte je Quartal schließen das Konzept ab. Wer Einzelauswertungen sehen darf, stimmen Sie früh mit der Arbeitnehmervertretung ab, siehe Betriebsrat bei der MES-Auswahl einbinden.
Protokolle zentral und zeitsynchron sammeln
MES-Anwendung, Datenbank, OPC-UA-Gateway und Firewall schreiben ihre Protokolle an eine zentrale Stelle mit einheitlicher Zeitquelle. Nur so lässt sich ein Vorfall innerhalb der 72-Stunden-Frist des § 32 BSIG bewerten. Der Audit Trail für Prüfdaten muss dabei unverändert bleiben, die Anforderungen beschreibt MES für das Qualitätsmanagement. Aufbewahrungsfristen für personenbezogene Protokolle regelt die Betriebsvereinbarung.
Fernwartung über einen kontrollierten Zugang
Weder MES-Anbieter noch Maschinenhersteller erhalten eine dauerhaft offene VPN-Verbindung. Fernzugriffe laufen über einen zentralen Zugang mit Freigabe im Einzelfall, zeitlicher Begrenzung und Protokollierung. Das betrifft auch die Fernwartung von Anlagen, die meist die Instandhaltung beauftragt, siehe MES für die Instandhaltung. Nach § 30 BSIG gehört dieser Zugang zur Sicherheit der Lieferkette.
Wiederanlauf testen, nicht nur sichern
Die Sicherung umfasst Datenbank, Konfiguration, Zertifikate und Schnittstellendefinitionen. Mindestens einmal jährlich wird die vollständige Wiederherstellung auf einer Testumgebung geprobt und die tatsächliche Dauer gemessen. Legen Sie mit der Fertigung fest, wie lange Terminals ohne Server weiterbuchen können und wie Rückmeldungen nachgetragen werden, Hinweise dazu bietet MES für die Produktionsleitung.
Quellen: Microsoft Lifecycle Windows Server 2016, Microsoft Lifecycle SQL Server 2016, Microsoft Lifecycle Windows Server 2022, Microsoft Lifecycle SQL Server 2022, BSI Sicherheitsanalyse OPC UA 2022, open62541 Security Policies, § 30 BSIG, Stand 2026.
MES und IT-Leitung: 18 Fragen, die wir am häufigsten hören
Aus über 50 MES-Auswahlprojekten im DACH-Raum haben wir die häufigsten Fragen von IT-Leitungen zusammengestellt und beantwortet (Erfahrungswert von Find-Your-MES).
Sie verantworten die technische Seite der MES-Entscheidung.
Unsicher, welches System zu Ihrer SAP-Landschaft und Ihrem OT-Netz passt?
Die technischen Anforderungen an Integration, Sicherheit und Deployment unterscheiden sich je nach Fertigungsumfeld stark. Find-Your-MES hilft Ihnen, MES-Systeme gezielt auf technische Eignung zu prüfen und die richtige Architekturentscheidung zu treffen.
Erste Vorauswahl technisch passender MES-Systeme
URL eingeben, KI analysiert die Fertigung anhand öffentlicher Daten und gleicht sie auf Basis von über 80 Merkmalen mit dem Anbietermarkt ab. Kein Verkaufsgespräch, kein Anbieter-Bias: neutrales Matching auf Basis Ihrer Anforderungen.
- Fragen zu SAP-Version, OT-Infrastruktur und Sicherheitsanforderungen
- Shortlist mit Match-Score, gefiltert auf technische Eignung
- Kein Formular, keine Registrierung, provisionsfrei
MES Selection Portal mit IT-seitigem Fokus
Strukturiertes Lastenheft mit technischen Anforderungen (SAP-Schnittstellen, OPC-UA-Umfang, Security-Level), Marktscreening und Anbietervergleich mit IT-seitigem Fokus.
- Anforderungs-Workshop mit IT- und OT-Sicht
- Lastenheft aus 150+ Anforderungen, moderierter Anbieter-Dialog
- Begleitung der Pilotphase und technische Abnahmeunterstützung
Sparringspartner für die technische MES-Absicherung
Direkte Einschätzung zu Ihrem konkreten Integrationskonzept (SAP, OPC UA, Cloud vs. On-Premise). 50+ Projekte, herstellerneutral, keine Provision.
- Bewertung Ihres Integrationsarchitektur-Entwurfs
- Zugang zur Projektdatenbank von Find-Your-MES: reale Aufwände und Risiken
- 30 Minuten Erstgespräch kostenlos und unverbindlich
Technische MES-Eignung prüfen:
Jetzt passende Systeme identifizieren
Das Matching-Tool von Find-Your-MES führt Sie in sechs Minuten durch die technisch relevanten Anforderungen und zeigt Ihnen, welche MES-Systeme zu Ihrer IT-Landschaft passen. Starten Sie jetzt kostenlos.
