Verfasst vom NIS2Compass Team ·
Maschinenbauer stehen in Anlage 2 BSIG (Nr. 5.4, Abteilung 28 der Wirtschaftszweig-Systematik NACE Rev. 2). Ab 50 Mitarbeitenden oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. € gelten sie seit dem 6. Dezember 2025 als wichtige Einrichtung nach dem NIS2UmsuCG: mit Registrierung beim BSI (§33 BSIG), Risikomanagementmaßnahmen (§30), Meldepflicht (§32) und Pflichten der Geschäftsleitung (§38). Wer TISAX oder ISO 27001 hat, startet nicht bei null. NIS2Compass zeigt, welche Lücken typischerweise bleiben, und führt Schritt für Schritt durch die Umsetzung, ohne Parallel-Bürokratie.
Sektor
Anlage 2 BSIG, Sektor Verarbeitendes Gewerbe: Maschinenbau (Nr. 5.4, NACE-Abteilung 28). Ebenfalls erfasst: Datenverarbeitungsgeräte und Elektronik (26), elektrische Ausrüstungen (27), Kraftwagen und Kraftwagenteile (29), sonstiger Fahrzeugbau (30) und Medizinprodukte.
Größe
Ab 50 Mitarbeitenden oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. € (§28 Abs. 2 BSIG). Gerechnet wird nach der KMU-Empfehlung 2003/361/EG; Daten verbundener Unternehmen bleiben außen vor, wenn Ihre IT unabhängig betrieben wird (§28 Abs. 4 BSIG).
Einstufung
Für Anlage-2-Sektoren sieht §28 BSIG keine größenabhängige Einstufung als besonders wichtige Einrichtung vor: Maschinenbauer sind wichtige Einrichtung, sofern sie keine kritische Anlage betreiben. Nebentätigkeiten, die gemessen an der gesamten Geschäftstätigkeit vernachlässigbar sind, können unberücksichtigt bleiben (§28 Abs. 3 BSIG).
SPS, CNC-Steuerungen und Roboterzellen laufen oft viele Jahre mit unveränderter Firmware. §30 Abs. 2 Nr. 5 BSIG verlangt ein Schwachstellenmanagement. Wo kein Update möglich ist, braucht es dokumentierte Ersatzmaßnahmen.
Wer Automotive-Kunden beliefert, hat oft schon ein TISAX-Label. Laut BSI deckt eine umfassend umgesetzte ISO 27001 in der Regel einen Großteil von §30 BSIG ab, aber nicht automatisch alles. Die Lücken müssen gezielt ermittelt werden.
Vorfälle mit Datenabfluss will niemand publik machen. Die Meldung nach §32 BSIG geht an die gemeinsame Meldestelle von BSI und BBK. Eine Information Ihrer Kunden kann das BSI im Einzelfall anordnen (§35 BSIG).
Anlagenlieferanten, Integratoren und Engineering-Dienstleister greifen per Fernzugang auf Maschinen zu. Diese Beziehungen fallen unter die Lieferkettensicherheit nach §30 Abs. 2 Nr. 4 BSIG.
Für Ihre eigene IT und Produktion gilt NIS2. Für die Maschinen, die Sie in Verkehr bringen, kommen Cyber Resilience Act und Maschinenverordnung hinzu. Wer beides vermischt, plant mit dem falschen Regelwerk.
In familiengeführten Unternehmen liegt IT-Sicherheit oft allein bei der IT-Leitung. §38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen.
Beispiel: Ein familiengeführter Maschinenbauer mit 280 Mitarbeitenden und fünf Personen in der IT hat seit Jahren ein TISAX-Label, weil Automotive-Kunden es verlangen. Seit dem 6. Dezember 2025 ist das Unternehmen als wichtige Einrichtung nach Anlage 2 BSIG zusätzlich NIS2-pflichtig. Die IT-Leitung prüft mit dem NIS2 Guide Schritt für Schritt, welche Anforderungen nach §30 BSIG das bestehende ISMS bereits abdeckt. Offen bleiben die Punkte, die das BSI für ISO-27001-Unternehmen als typische Lücken nennt: Registrierung, Meldeprozess nach §32, Schulung und Verantwortung der Geschäftsleitung nach §38 sowie die Umsetzung aller Maßnahmen für das gesamte Unternehmen statt eines begrenzten Scopes. Für diese Lücken nutzt das Team Vorlagen aus der Template Library, etwa Vorfallsregister, Vollmeldung-Meldeformular und Schulungsnachweis für Leitungsorgane.
NIS2 Guide
8 Kapitel, 124 Schritte entlang §30 BSIG
Template Library
45+ Vorlagen, u. a. Meldeformulare und Schulungsnachweise
Knowledge Hub
40+ Fachartikel, u. a. NIS2 und ISO 27001 im Vergleich
Wichtige Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals als solche gelten, beim BSI registrieren, unter anderem mit Sektor nach Anlage 2, Kontaktdaten und öffentlichen IP-Adressbereichen. Für Unternehmen, die schon bei Inkrafttreten betroffen waren, lief die Frist am 6. März 2026 ab.
Für den Shopfloor die anspruchsvollste Pflicht. Wo SPS- oder CNC-Steuerungen nicht aktualisiert werden können, reduzieren Sie das Risiko auf anderem Weg: Netzsegmentierung, Asset-Inventar mit Schutzbedarf, kontrollierte Fernzugänge, Monitoring. Der Umfang richtet sich nach der Risikoanalyse; §30 Abs. 1 BSIG nennt dafür Risikoexposition, Größe, Umsetzungskosten und mögliche Auswirkungen.
Sie bewerten Ihre unmittelbaren Anbieter und Dienstleister, etwa Steuerungs- und Softwarelieferanten, Integratoren mit Fernwartungszugang und Cloud-Anbieter. Gleichzeitig erhalten Sie als Lieferant selbst Sicherheitsanfragen Ihrer Kunden.
Frühe Erstmeldung spätestens 24 Stunden nach Kenntniserlangung, Meldung mit erster Bewertung nach 72 Stunden, Abschlussmeldung einen Monat später. Erheblich ist ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann (§2 Nr. 11 BSIG). Ein durch einen Cyberangriff ausgelöster Produktionsstillstand ist deshalb immer zu prüfen.
Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten, haftet sie der Einrichtung nach den Regeln des Gesellschaftsrechts.
| Kriterium | NIS2Compass | Klassische Beratung | ISMS-Tool | Selbstumsetzung |
|---|---|---|---|---|
| Monatskosten | 29 € | 700-1.600 €/Tag | 200-2.000 €/Monat | 0 € |
| Abgleich mit TISAX / ISO 27001 | Struktur entlang §30 BSIG vorgegeben | Berater übernimmt (teuer) | für einzelne Normen | selbst |
| Deutsche Vorlagen | ja (45+) | maßgeschneidert | meist englisch | nein |
| OT- und Shopfloor-Themen | ja (Knowledge Hub) | abhängig vom Berater | allgemein | selbst |
| Onboarding | 10 Minuten | Tage bis Wochen | Tage + Setup | Monate |
| Für 4-8-Personen-IT-Team | ja | zu teuer | zu komplex | kapazitiv schwierig |
8 Kapitel, 124 Schritte, 45+ Vorlagen: vorhandene TISAX- und ISO-Nachweise nutzen, Lücken gezielt schließen.
TISAX® ist eine eingetragene Marke der ENX Association. NIS2Compass steht in keiner wirtschaftlichen Verbindung zur ENX Association, ist kein von der ENX zugelassener Prüfdienstleister und führt keine TISAX-Assessments durch.