Ein Maschinensteuerungsrechner fällt aus. Die Fertigung steht.
Der Produktionsleiter ruft den Anlagenhersteller an. Die IT sieht ungewöhnlichen Netzwerkverkehr aus dem Fertigungssegment und fragt, ob sie das Segment trennen darf. Der Produktionsleiter sagt nein — dann steht die Linie erst recht.
Und die Uhr läuft. Denn wenn es sich um einen Sicherheitsvorfall handelt, sind es bis zur Meldung vierundzwanzig Stunden.
Kein Unternehmen hat entschieden, dass die Maschinensteuerung am Büronetz hängt. Es hat nur nie jemand entschieden, dass sie es nicht tut.
Warum die beiden Welten so unterschiedlich ticken, steht im Vergleich von IT und OT — Lebensdauer, Schutzziele, Änderungstakt. Und wer produktionsnahe Systeme verantwortet, klärt die OT-Governance mit ihren vier Reifegraden. Hier geht es um den Fall, in dem beides zusammenkommt: einen Vorfall, für den eine Frist läuft.
Wie verbreitet ist das Problem?
Verbreiteter, als die meisten Betriebe von sich annehmen. In Europa betreiben rund achtzig Prozent der Hersteller kritische Produktionssysteme mit bekannten Schwachstellen weiter. Über zweiundzwanzig Prozent der Unternehmen berichten von einem Sicherheitsvorfall, der Produktionssysteme betroffen hat — bei vierzig Prozent dieser Vorfälle stand danach der Betrieb (ENISA-Auswertung 2025, zusammengefasst bei DeNexus).
Die Zahl, die mich daran am meisten beschäftigt, ist eine andere: Nur neunzehn Prozent der Befragten halten sich für vollständig vorbereitet. Das heißt im Umkehrschluss, dass vier von fünf Betrieben wissen, dass sie es nicht sind.
Das ist keine Nachlässigkeit. Es ist die Folge einer Zuständigkeitslücke, die niemand geschaffen hat und die deshalb auch niemand schließt.
Was verlangt NIS2 konkret?
Wenn Ihr Unternehmen unter NIS2 fällt — in Deutschland betrifft das rund 29.500 Einrichtungen, abgegrenzt nach Sektor und Größe —, gilt seit dem 6. Dezember 2025 eine dreistufige Meldepflicht nach § 32 BSIG.
24 Stunden
bis zur Erstmeldung beim BSI. Danach 72 Stunden bis zur Folgemeldung und ein Monat bis zum Abschlussbericht.
| Stufe | Frist | Was gemeldet wird |
|---|---|---|
| Erstmeldung | unverzüglich, spätestens 24 Stunden | dass etwas vorliegt, erste Einschätzung |
| Folgemeldung | spätestens 72 Stunden | Bewertung, betroffene Systeme, Maßnahmen |
| Abschlussbericht | spätestens einen Monat danach | Ursachenanalyse und Konsequenzen |
Auf Verlangen des BSI kommt eine Zwischenmeldung dazu (nis2europe, § 32 BSIG Meldepflicht).
Das Prinzip des BSI dabei: Schnelligkeit vor Vollständigkeit. Eine unvollständige Meldung in der Frist ist besser als eine vollständige danach.
Dazu kommt § 38 BSIG: Die Geschäftsleitung muss Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Sie haftet persönlich, wenn sie diese Pflicht verletzt, und die Haftung ist nicht abdingbar (Arendt Data & Law).
Für die IT/OT-Frage heißt das: Ein ungeklärter Zuständigkeitsbereich zwischen IT und Produktion ist kein organisatorisches Ärgernis mehr. Er ist ein Risiko, das dokumentiert, vorgelegt und entschieden werden muss.
Den Ernstfall einmal durchsprechen
Eine Stunde mit IT-Leitung, Produktionsleitung und Geschäftsführung. Ein Szenario: Verdacht auf Schadsoftware im Fertigungssegment, Freitagnachmittag. Wer entscheidet über die Trennung? Wer meldet? Wer informiert den Kunden? Die Antworten stehen danach auf einer Seite.
Das ist die eine Vorbereitung, die keine Investition braucht und im Ernstfall den Unterschied macht. Alles Weitere — Zuständigkeit je System, geordnete Fernzugriffe, dokumentierte Ausnahmen — gehört in die OT-Governance und wird dort der Reihe nach entschieden.
Und wenn der Anlagenbauer nicht mitzieht?
Das ist der häufigste Einwand, und er ist berechtigt. Viele Steuerungen dürfen laut Wartungsvertrag nicht verändert werden, sonst erlischt die Gewährleistung. Manche Hersteller liefern für ältere Baureihen schlicht keine Aktualisierungen mehr.
Damit ist die Lage nicht aussichtslos, sie verschiebt sich nur. Wenn Sie das System nicht härten dürfen, härten Sie seine Umgebung: ein eigenes Netzsegment, kontrollierter Zugang, Aufzeichnung des Verkehrs an der Grenze. Das ist technisch aufwendiger und wirkt weniger elegant — aber es ist die Maßnahme, die keine Zustimmung des Herstellers braucht.
Und schreiben Sie die Einschränkung auf. Ein Hersteller, der Änderungen untersagt und keine Aktualisierungen liefert, erzeugt ein dokumentiertes Risiko. Dieses Risiko gehört in die Vorlage an die Geschäftsleitung — dort wird entschieden, ob man es trägt oder die Anlage ablöst.
Was kostet es, das nicht zu regeln?
Die Bußgelder sind der sichtbare Teil: bis zu zehn Millionen Euro für besonders wichtige und bis zu sieben Millionen Euro für wichtige Einrichtungen. Diese Summen sind allerdings die seltenere Sorge.
Die häufigere ist der Produktionsausfall, den niemand abschalten wollte, weil unklar war, wer es darf. Ein Tag Stillstand in einer mittelständischen Fertigung kostet in der Regel mehr als die gesamte Vorbereitung, die ihn verhindert hätte.
Fazit
IT/OT-Konvergenz ist kein Technikprojekt. Sie ist eine Zuständigkeitsfrage mit technischen Folgen.
Die vierundzwanzig Stunden nach einem Vorfall sind keine Zeit, in der man Verantwortlichkeiten klärt. Sie sind die Zeit, in der man sie anwendet.
Wenn Sie eine einzige Sache davon umsetzen: Setzen Sie den Termin an, in dem der Ernstfall einmal durchgesprochen wird. Eine Stunde, drei Personen, eine Seite Ergebnis.
Häufige Fragen
Fällt mein Unternehmen unter NIS2?
Das hängt von Sektor und Größe ab. Betroffen sind besonders wichtige und wichtige Einrichtungen in definierten Sektoren — darunter Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Produktion bestimmter Güter — ab bestimmten Schwellen bei Beschäftigten und Umsatz. In Deutschland trifft es rund 29.500 Einrichtungen. Wer nicht direkt betroffen ist, wird häufig über die Lieferkettenanforderungen seiner Kunden erfasst.
Wie schnell muss ein Sicherheitsvorfall gemeldet werden?
Dreistufig: Erstmeldung unverzüglich, spätestens nach vierundzwanzig Stunden. Detaillierte Folgemeldung binnen zweiundsiebzig Stunden. Abschlussbericht mit Ursachenanalyse spätestens einen Monat nach der Folgemeldung. Auf Verlangen des BSI kann eine Zwischenmeldung dazukommen.
Passend dazu
- NIS2, KI und alte Systeme: wenn alles gleichzeitig drückt — Warum Regulatorik, KI und Altsysteme zusammen auftreten
- Legacy Debt: Warum technische Schulden Innovation blockieren — Legacy in der Produktion als Haftungsfrage
- Legacy-Systeme modernisieren: Warum Unternehmen warten — Warum die Modernisierung trotzdem aufgeschoben wird
- Was ist der Unterschied zwischen IT und OT? — Lebensdauer, Schutzziele und warum sich OT nicht patchen lässt
- OT-Governance und Reifegrad — wer produktionsnahe Systeme verantwortet, in vier Stufen