Im Maschinenbau kommen gerade zwei Regelwerke zusammen: NIS2 betrifft die IT-Sicherheit Ihres Betriebs, der Cyber Resilience Act die Sicherheit Ihrer Produkte. Dieser Beitrag ist für Sie, wenn Sie einen Maschinenbaubetrieb führen und einen ruhigen, sortierten Überblick suchen, was davon für Sie gilt und womit Sie anfangen.
NIS2: die IT Ihres Betriebs
Das deutsche Gesetz zur Umsetzung der NIS2-Richtlinie ist am 6. Dezember 2025 in Kraft getreten. Es erfasst auch das verarbeitende Gewerbe und damit viele Maschinenbauer, in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Ob Sie betroffen sind, müssen Sie selbst prüfen. Das BSI bietet dafür eine Betroffenheitsprüfung an. Betroffene Unternehmen müssen sich beim BSI registrieren, Risikomanagement betreiben, erhebliche Sicherheitsvorfälle melden, und die Geschäftsleitung muss die Maßnahmen billigen, überwachen und sich schulen lassen.
Cyber Resilience Act: Ihre Produkte
Der Cyber Resilience Act (CRA) der EU gilt für Produkte mit digitalen Elementen, also zum Beispiel für vernetzte Maschinen, Steuerungen oder Software, die Sie mitliefern. Seit dem 11. September 2026 gelten die ersten Pflichten: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle in ihren Produkten innerhalb kurzer Fristen melden. Die übrigen Anforderungen, etwa an sichere Entwicklung und Updates über die Lebensdauer, folgen im Dezember 2027.
So starten Sie geordnet
- Betroffenheit klären. Prüfen Sie mit der Betroffenheitsprüfung des BSI, ob NIS2 für Ihr Unternehmen gilt, und halten Sie das Ergebnis schriftlich fest.
- Produkte auflisten. Notieren Sie, welche Ihrer Maschinen vernetzt sind oder Software enthalten. Das ist die Grundlage für alle CRA-Fragen.
- Meldeweg festlegen. Legen Sie fest, wer intern Schwachstellen und Vorfälle aufnimmt, bewertet und meldet. Fristen von wenigen Stunden schaffen Sie nur mit einem klaren Ablauf.
- Die eigene IT absichern. Mehrstufige Anmeldung, aktuelle Systeme, ein getestetes Backup und getrennte Netze für Büro und Fertigung sind die Basis für beides.
- Geschäftsleitung einbinden. NIS2 nimmt die Geschäftsführung ausdrücklich in die Pflicht. Planen Sie eine Schulung und regelmäßige Berichte ein.
Für rechtliche Detailfragen, etwa zur genauen Einstufung eines Produkts, ziehen Sie am besten Ihren Branchenverband oder eine Rechtsberatung hinzu.
Kurz-Check für Ihren Betrieb
- Haben Sie die Betroffenheit nach NIS2 geprüft und das Ergebnis dokumentiert?
- Gibt es eine Liste Ihrer vernetzten Produkte und der enthaltenen Software?
- Ist klar, wer Schwachstellen in Ihren Produkten aufnimmt und meldet?
- Sind Büro- und Fertigungsnetz getrennt?
- Ist die Geschäftsleitung über die neuen Pflichten informiert und geschult?
Wenn Sie bei einer Frage zögern, ist das kein Grund zur Sorge. Es ist einfach ein guter Startpunkt für die nächsten Wochen, und Sie müssen nicht alles auf einmal angehen.
Wie es weitergeht
Auf unserer Seite IT für den Maschinenbau zeigen wir, worauf wir in der Branche achten, und unser NIS2-Leitfaden erklärt die Pflichten Schritt für Schritt. Mit ITNG Care kümmern wir uns um die Grundlagen Ihrer Betriebs-IT: Updates, Geräteverwaltung, Backup von Microsoft 365 und Überwachung rund um die Uhr.