Doppelte NIS2-Exposition
Maschinenbauer treffen die NIS2-Pflichten direkt, wenn die Größenschwellen erreicht sind. Hinzu kommt: Wesentliche Einrichtungen (Energie, Wasser, Gesundheit, Produktion) lassen sich NIS2-Konformität ihrer Zulieferer vertraglich zusichern. Wer hier nicht liefern kann, verliert Rahmenverträge. Beide Pflichtenkreise lassen sich in einem ISMS abdecken.
OT-Sicherheit als eigener Pflichtenstrang
Steuerungstechnik in eigenen Fertigungslinien (SPS, MES) und Fernwartung beim Kunden sind die häufigsten Schwachstellen. NIS2 verlangt Stand der Technik (Art. 21 Abs. 2 NIS2-RL) , die IEC 62443 ist hier de-facto-Maßstab. Wir prüfen Lücken vor Audits.
Konkretes Leistungsversprechen
- NIS2-Betroffenheitsanalyse mit schriftlichem Ergebnis
- Lieferketten-Klauseln und Lieferantenfragebögen
- Risikomanagement-Dokumentation Art. 21 NIS2-RL
- Geschäftsleitungs-Schulung mit Nachweisprotokoll
- Meldeprozess BSI (24h/72h) einrichten
- OT/IEC-62443-Lückenanalyse mit IT-Partner
- Vertragsprüfung Kundenanforderungen
- Vorfallsbegleitung bei Sicherheitsvorfall
Fallszenarien aus der Praxis
Anonymisierte, repräsentative Mandatsverläufe. Keine Erfolgsversprechen.
Großkunde fordert NIS2-konforme Fernwartung. Ergebnis: 12-Wochen-Implementierung mit dokumentiertem ISMS-Kern, vertragliche Zusicherung an Kunde rechtssicher formuliert, kein Mandatsverlust.
Phishing-Vorfall mit Datenabfluss aus Konstruktion. NIS2-konforme Meldung ans BSI, Versicherung trägt Schaden, Geschäftsleitung nachweislich geschult , keine persönliche Haftung.
Honorar
| Leistung | Bandbreite | Hinweis |
|---|---|---|
| NIS2-Betroffenheitsanalyse | 1.800 bis 3.500 € netto | — |
| ISMS-Aufbau (Recht + Prozess) | ab 18.000 € netto | — |
| Geschäftsleitungs-Schulung | 2.500 bis 4.500 € netto | — |
| Vorfallsbegleitung Stundensatz | 240 bis 360 € netto/h | — |
Bandbreiten netto, zzgl. USt. Verbindliche Vereinbarung vor Mandatsbeginn schriftlich.
Häufige Fragen
- Sind alle Maschinenbauer ‚wichtige Einrichtung'?
- Nein, nur bei Überschreiten der Größenschwellen (50 MA oder 10 Mio. EUR Umsatz). Sub-Schwellen-Unternehmen sind häufig indirekt betroffen, wenn Großkunden NIS2-Konformität vertraglich verlangen.
- Wie sieht die Lieferketten-Pflicht konkret aus?
- Art. 21 Abs. 2 lit. d NIS2-RL: Risikomanagement entlang der Lieferkette, einschließlich Beziehungen zu Anbietern und Dienstleistern. Praxis: Lieferantenfragebogen plus vertragliche Mindestklauseln.
- Muss die Geschäftsleitung wirklich geschult werden?
- Ja. Art. 20 Abs. 2 NIS2-RL verlangt regelmäßige Schulung der Leitungsorgane. Ohne Nachweis: persönliche Haftung im Vorfall.
- Reicht ISO 27001 für NIS2?
- Als Fundament ja, aber NIS2 verlangt spezifische Meldewege und Lieferkettenklauseln, die ISO 27001 nicht abdeckt. Wir ergänzen.
Mehr Hintergrund im Ratgeber
Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.
