Gezielte Cyberangriffe auf Anlagen und Maschinen sind längst bittere Realität. Aspekte wie unsichere Fernwartungszugänge oder ein vernachlässigtes Patch-Management machen dabei aus mangelnder IT- und OT-Sicherheit ein echtes Betriebsrisiko. Mit CRA, NIS2 und der neuen EU-Maschinenverordnung reagiert der Gesetzgeber nicht nur mit klaren Empfehlungen, sondern auch mit konkreten Meldepflichten, Vorgaben und Sanktionen.
NTT DATA zeigt, was sich hinter den drei gesetzlichen Vorgaben versteckt und welche Auswirkungen sie haben. Auch für das produzierende Gewerbe entscheiden neben physischen Anlagen längst Software, Netzwerke und Schnittstellen über die Stabilität und Verfügbarkeit. Im Sinne der Effizienzsteigerung und Kostensenkungen sind die Tage der abgeschotteten OT-Umgebungen vorbei, entsprechende Systeme sind heute dauerhaft mit dem Firmennetzwerk verbunden. Die strukturelle Verwundbarkeit, die dieser Paradigmenwechsel mit sich gebracht hat, wird allerdings in vielen Betrieben unterschätzt.
Für den Schutz sensibler Systeme, Anwendungen und Produktionsabläufe greifen Gesetzgeber auf nationaler und auch EU-Ebene jetzt in Bereiche ein, die bisher als rein technische oder organisatorische Entscheidungsfelder galten. Für Hersteller, Betreiber und Integratoren bedeutet das: Sie geraten in die direkte Verantwortung für Risiken, die bislang oft unsichtbar blieben – und die erstmals systematisch überprüfbar werden. NTT DATA hat die drei wichtigsten Bestimmungen genauer unter die Lupe genommen:
Cyber Resilience Act (CRA)
Der CRA verpflichtet Hersteller von Produkten mit digitalen Elementen, Sicherheitsrisiken bereits in der Entwicklungsphase systematisch zu berücksichtigen. Produkte dürfen nicht mit bekannten Schwachstellen in Verkehr gebracht werden, Standardkonfigurationen müssen ab Werk sicher ausgelegt sein und unbefugte Zugriffe sowie Manipulationen sind technisch konsequent zu verhindern. Hersteller müssen außerdem während des gesamten Produktlebenszyklus Sicherheits-Updates sowie Patches bereitstellen und sind verpflichtet, Schwachstellen aktiv zu kommunizieren – sowohl gegenüber Kunden als auch gegenüber zuständigen Behörden. Für OT-nahe Komponenten wie Steuerungen, Gateways und industrielle IoT-Geräte bedeutet das einen Paradigmenwechsel: Sie gelten regulatorisch nicht mehr als reine Funktionsträger, sondern als sicherheitskritische Systeme mit dauerhafter Pflegepflicht.
EU-Maschinenverordnung
Die neue EU-Maschinenverordnung erweitert den bisherigen Sicherheitsbegriff deutlich und verankert Cyberrisiken als festen Bestandteil der Maschinensicherheit. Hersteller müssen nachweisen, dass vernetzte Maschinen auch bei Angriffen, fehlerhaften Daten, gestörten Verbindungen oder Softwaremanipulationen keine Bedrohung für Abläufe und das Firmennetzwerk darstellen. Steuerungs- und Sicherheitssysteme sind nach der Verordnung so zu gestalten, dass sie sowohl widerstandsfähig gegenüber Cyberangriffen als auch robust gegenüber Hardware- und Softwarefehlern sind. Veränderungen an Software und Parametern müssen nachvollziehbar protokolliert werden. Hinzu kommen neue Anforderungen für den Einsatz von KI in teil- oder vollautonomen Maschinen, insbesondere im Hinblick auf Nachvollziehbarkeit von Entscheidungen und die sichere Begrenzung von Fehlfunktionen.
NIS2
Die NIS2-Richtlinie verschiebt IT-Sicherheit von einer technischen Aufgabe in eine unternehmerische Pflicht. Unternehmen in kritischen und wichtigen Sektoren müssen ihre Cyberrisiken systematisch analysieren, geeignete technische und organisatorische Maßnahmen nachweisen und Sicherheitsvorfälle innerhalb enger Fristen melden. Sicherheitsanforderungen beschränken sich nicht mehr auf klassische IT, sondern erfassen ausdrücklich auch Produktions- und OT-Umgebungen. Zusätzlich rückt die Lieferkette in den Fokus, sodass Risiken bei Zulieferern und Dienstleistern regulatorisch relevant werden. Die Geschäftsleitung trägt damit eine deutlich verschärfte Verantwortung, da Versäumnisse bei der Cybersicherheit haftungs- und sanktionsrechtliche Folgen haben können.
„Weder NIS2, die EU-Maschinenverordnung noch der CRA sind reine Bußgeldthemen, sondern längst zentrale Voraussetzungen für den Marktzugang und die Wettbewerbsfähigkeit“, verdeutlicht Christian Koch, Senior Vice President Cybersecurity IT/OT, Innovations & Business Development bei NTT DATA DACH. „Nur die Unternehmen, die diese Anforderungen konsequent umsetzen, bauen die notwendigen internen Sicherheitsstrukturen auf und erhöhen langfristig ihre Krisenfestigkeit. Und damit letztendlich auch das Vertrauen bei Kunden und Partnern.“
Mehr bei NTTData.com
Über NTT DATA GROUP
NTT DATA ist in der DACH-Region Teil der NTT DATA Unternehmensgruppe. Mit einem jährlichen globalen Umsatz von über 30 Milliarden US-Dollar ist sie ein führender Anbieter von Business- und Technologie-Services, die 75 Prozent der Fortune Global 100 zu ihren Kunden zählt. Gruppenweit engagiert sich NTT DATA für den Erfolg seiner Kunden und ist bestrebt, die Gesellschaft mit verantwortungsvollen Innovationen positiv zu verändern. Sie ist einer der weltweit führenden Anbieter von KI und digitalen Infrastrukturen. Außerdem bietet sie einzigartige Fähigkeiten bei der Enterprise-Skalierung von KI, Cloud, Security, Konnektivität, Rechenzentren und Application Services.
Passende Artikel zum Thema
Hier ist die Analyse der regulatorischen Entwicklungen gemäß dem B2BCS-Muster:
Regulatorischer Dreiklang im produzierenden Gewerbe: Wie CRA, NIS2 und EU-Maschinenverordnung die OT-Sicherheit erzwingen
Fachliche Einordnung Die Fachplattform B2BCS beleuchtet mit dieser regulatorischen Analyse von NTT DATA den tiefgreifendsten Umbruch in der Geschichte der industriellen Fertigung (OT). Die Zeiten abgeschotteter Werkshallen sind endgültig vorbei. Weil moderne Maschinen im Zuge von Effizienzsteigerungen permanent mit dem Firmennetzwerk und dem Internet verbunden sind, greift der Gesetzgeber nun drastisch ein. Christian Koch, Senior Vice President Cybersecurity IT/OT bei NTT DATA DACH, macht unmissverständlich klar, dass die Erfüllung dieser Richtlinien keine rein organisatorische Pflichtübung mehr ist, sondern eine elementare Voraussetzung für den Marktzugang und die Wettbewerbsfähigkeit im DACH-Raum.
Key-Takeaways
- Ganzheitliche Produkthaftung (CRA): Der Cyber Resilience Act zwingt Hersteller von digitalen Produkten und industriellen IoT-Geräten zu „Security by Design“: Bekannte Schwachstellen sind beim Marktstart verboten, Standardkonfigurationen müssen ab Werk sicher sein und Updates müssen über den gesamten Produktlebenszyklus geliefert werden. (Quelle: NTT DATA)
- Cybersecurity wird Maschinensicherheit: Die neue EU-Maschinenverordnung verankert Cyberrisiken im klassischen Sicherheitsbegriff. Hersteller müssen nachweisen, dass vernetzte Steuerungen und teil-/vollautonome KI-Maschinen auch bei Cyberangriffen, fehlerhaften Daten oder manipulierter Software keine Bedrohung für das Firmennetzwerk darstellen. (Quelle: NTT DATA)
- Haftungsrisiko für das Management (NIS2): Die NIS2-Richtlinie überführt die IT/OT-Sicherheit in eine persönliche Pflicht der Geschäftsleitung. Versäumnisse bei Risikoanalysen, Vorfallsmeldungen innerhalb enger Fristen oder bei der Überprüfung der Lieferketten-Sicherheit können direkte sanktions- und haftungsrechtliche Folgen für die Führungsebene haben. (Quelle: NTT DATA)
- Schluss mit dem Patch-Vakuum: Software- und Parameteränderungen an Maschinensteuerungen müssen künftig lückenlos und nachvollziehbar protokolliert werden. (Quelle: NTT DATA)
Strategische Analyse Für CISOs, Werksleiter und Vorstände im Maschinenbau sowie in der produzierenden Industrie bedeuten CRA, NIS2 und die EU-Maschinenverordnung das Ende des Silo-Denkens. Bisher wurden Maschinen nach rein funktionalen und mechanischen Kriterien beschafft und über Jahrzehnte hinweg oft ungepatcht betrieben. Die neuen Regularien schließen diese Sicherheitslücken, indem sie den gesamten Lebenszyklus – von der Entwicklung über die Integration bis zum täglichen Betrieb – gesetzlich überwachen. Wer die Absicherung von Fernwartungszugängen und Schnittstellen vernachlässigt, verliert schlicht seine Betriebserlaubnis.
Handlungsempfehlung: Unternehmen müssen umgehend eine integrierte IT/OT-Governance-Struktur aufbauen, die Beschaffung, Rechtsabteilung und Produktion an einen Tisch bringt. Bei der Entwicklung oder dem Einkauf von Industrieanlagen (OT) müssen die Compliance-Vorgaben des CRA und der Maschinenverordnung ab sofort als harte Kriterien in den Lastenheften verankert werden. Zudem sollten CISOs automatisierte Asset-Discovery- und Patch-Management-Systeme etablieren, die speziell für sensible OT-Umgebungen ausgelegt sind, um die von der NIS2 geforderte Transparenz in der Lieferkette und im eigenen Maschinenpark lückenlos nachweisen zu können.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200