NIS-2-Druck steigt Wie Unternehmen ihre OT-Resilienz jetzt nachweisen müssen

Anbieter zum Thema

Auvesy GmbH

FAST LTA GmbH

Impossible Cloud GmbH

Am 31. Juli lief die letzte, bereits verlängerte Frist zur Umsetzung der EU-Richtlinie NIS-2 aus. Jüngste Zahlen der Bundesregierung auf eine parlamentarische Anfrage offenbaren eine alarmierende Umsetzungslücke: Von geschätzten 30.000 betroffenen Unternehmen und Institutionen in Deutschland haben sich gerade einmal rund 18.400 registriert – rund 12.000 Einrichtungen haben die Frist verpasst.

Während Politiker wie die Grünen-Abgeordnete Jeanne Dillschneider von einem Weckruf sprechen und das BSI mit bußgeldbewehrten Schritten droht, stehen tausende Betreiber kritischer und wichtiger Strukturen vor massiven inhaltlichen und zeitlichen Herausforderungen.

Dass Behörden und Auditoren zunehmend strenger prüfen, zeigen erste europäische Beispiele. Dabei zeigt sich in der Praxis: Wer ein NIS-2-Audit erfolgreich bestehen will, braucht keine unzähligen Papierordner, sondern sofort verifizierbare Antworten auf die Fragen nach Asset-Sichtbarkeit, Änderungstracking und schneller Wiederherstellbarkeit.

Was ab sofort zählt: fünf operative Fragen

Operative Resilienz beginnt mit wenigen, aber entscheidenden Fragen, die in Audits und behördlichen Prüfungen eine zentrale Rolle spielen können:

• Weiß ich, was an Equipment in meiner Produktion läuft und welchen Zustand es hat?

• Kann ich Änderungen erkennen – personenzugeordnet und zeitgenau?

• Kenne ich verwundbare oder veraltete Komponenten?

• Kann ich Produktionssysteme schnell und zuverlässig wiederherstellen?

• Kann ich Beweise für diese Fähigkeiten gegenüber Auditoren, Lieferkettenpartnern oder Kunden vorlegen?

Viele Industrieunternehmen stehen hier noch auf wackeligen Füßen. Die NIS-2-Umsetzung verlangt nicht mehr Papier, sondern belastbare moderne Technik und Prozessknoten: aktuelle Asset-Inventare, automatisierte, geprüfte Backups, Versions und Change-Tracking sowie Nachweise zur Recoverability.

Der 90-Tage-Plan – so gelingt der Start

Ausgangspunkt ist ein vollständiges Asset-Inventar: Alle OT-Komponenten (PLCs, HMIs, SCADA-Server, Drives, Roboter, Industrial PCs und sonstige OT-relevante Akteure) sollten dokumentiert werden, da umfängliches Discovery Fehlerquellen reduziert und eine belastbare Basis für Risikoanalysen schafft. Parallel gehört die Zentralisierung von Versionen und Konfigurationen auf die Agenda: Genehmigte Software- und Firmwarestände sind zu dokumentieren und Konfigurationen versioniert abzulegen, sodass Abweichungen sofort sichtbar und Veränderungen nachvollziehbar werden.

Automatisierte, geprüfte Backups ersetzen manuelle Archivierung; regelmäßige Backups, insbesondere der kritischen Produktionskonfigurationen, mit Integritätsprüfungen und definierten Wiederherstellungstests bilden das Kernstück der Nachweisführung gegenüber Auditoren. Ergänzend sind eine Änderungsüberwachung mit Alerting sowie ein klarer Rollback-Pfad zu etablieren, damit unerwartete Änderungen unmittelbar erkannt und Systeme schnell auf einen letzten „known good state“ zurückgesetzt werden können. Lifecycle- und Vulnerability-Awareness gehören ebenfalls zur Priorität: End-of-Life-Hardware kennzeichnen, bekannte CVEs erfassen und Schwachstellenbehebung anhand des Angriffsrisikos sowie der Produktionsrelevanz priorisieren.

Regelmäßig durchgeführte, protokollierte Recovery-Tests liefern praxisnahe Belege und sind oft aussagekräftiger als umfangreiche Checklisten. OT-Ereignisse sollten über Schnittstellen mit ITSM- und Incident-Management-Systemen verbunden werden, damit Compliance- und Reporting-Prozesse automatisiert und nachvollziehbar ablaufen. Abschließend ermöglichen Templates und standardisierte Prozesse ein skalierbares Resilienzniveau über mehrere Standorte hinweg und führen in kurzer Zeit zu messbaren, auditfähigen Ergebnissen.

Praxisbeispiel aus der Umsetzung

Erste Audits in EU-Mitgliedstaaten (unter anderem Berichte aus Ungarn) zeigen, dass erfolgreich geprüfte Unternehmen jene sind, die Antworten automatisiert liefern: ein vollständiges Inventar, automatisierte Backups mit Integritätsnachweis, Versionshistorie und dokumentierte Recovery-Tests. Plattformfähigkeiten, die Asset und Komponenten-Erkennung, versionsbasierte Rücksicherung und Lifecycle-Insights verbinden, erleichtern diese Arbeit erheblich, das Ziel bleibt jedoch dasselbe: Transparenz, Kontrolle und Belastbarkeit in der Produktion.

Warum sollte jetzt gehandelt werden?

Die rechtliche Basis mag über Länder variieren, die praktische Erwartung an Reaktion und Nachweis ist europaweit gleich: Nachweise zur Wiederherstellbarkeit und zum Change-Management werden technologisch zur operativen Pflicht. Zeitdruck macht eine pragmatische Priorisierung erforderlich: lieber kleine, sichere Schritte mit messbaren Ergebnissen als große, unvollendete Projekte.

NIS-2 ist kein weiteres Papierprojekt, sondern ein Weckruf zur Operationalisierung von Resilienz. Entscheidend sind automatisierte Prozesse, reproduzierbare Tests und auditfähige Nachweise. Unternehmen, die jetzt schnell Inventar, Backup-Automatisierung und Versionskontrolle umsetzen und ihre Recovery-Prozesse regelmäßig prüfen, werden regulatorisch souveräner und betriebswirtschaftlich robuster aufgestellt sein.

* Der Autor: David Petrikat, Chief Strategy & Communications Officer, AMDT

Aktuelles E-Book

Ransomware-Schutz durch Object Lock und WORM

Um ein Storage-System effektiv von Ransomware-Angriffen zu schützen, bieten sich neben Backup/Disaster Recovery und Verschlüsselung vor allem Object Lock und WORM an. Das gelingt nicht nur im eigenen Haus, sondern auch in der Hybrid-Cloud.

Die Themen im Überblick:

• Ransomware-Trends
• Air-Gapping
• Amazon S3 Object Lock
• WORM mit Bandspeicher
• Schutz durch Algorithmen

E-Book „Ransomware-Schutz durch Object Lock und WORM“ kostenlos downloaden

(ID:50932709)