Maschinen- und Anlagenbau gehört zu den Sektoren, die NIS2 als „wichtige Einrichtungen" führt. Erfasst sind unter anderem Hersteller von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen sowie elektrischen Ausrüstungen und Maschinen. Wie in allen NIS2-Sektoren greift die Einstufung in der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz.
Maschinenbauer sind ein Musterbeispiel für eine Doppelrolle: NIS2 regelt, wie das Unternehmen als Betreiber die eigene IT und OT absichert. Verkauft dasselbe Unternehmen vernetzte Maschinen oder Steuerungen mit digitalen Elementen in der EU, greift zusätzlich der Cyber Resilience Act als Herstellerpflicht für die Produkte selbst - beide Regelwerke laufen über getrennte Verfahren und Fristen, betreffen aber häufig dieselbe Organisation gleichzeitig.
- Hersteller von Werkzeugmaschinen und Produktionsanlagen
- Hersteller elektrischer Ausrüstungen und Antriebstechnik
- Anbieter industrieller Steuerungen und Automatisierungstechnik
- Systemintegratoren für vernetzte Fertigungsanlagen
Wie die Einschätzung funktioniert
NIS2, CRA und ISO 42001 - drei Regelwerke, ein Schnellcheck
NIS2, der Cyber Resilience Act (CRA) und ISO/IEC 42001 werden häufig verwechselt, weil sie sich zeitlich überschneiden und alle Sicherheitsnachweise verlangen. Sie adressieren aber unterschiedliche Ebenen: NIS2 verpflichtet Betreiber besonders wichtiger und wichtiger Einrichtungen, ihre eigene Organisation abzusichern. Der CRA verpflichtet Hersteller, sichere Produkte mit digitalen Elementen in Verkehr zu bringen. ISO 42001 ist eine freiwillige Norm für den Umgang mit KI-Systemen.
Der Compliance-Kompass ordnet die eigenen Angaben diesen drei Regelwerken zu und verweist direkt auf die passende Vorlage im ISMS-Dokumentation-Tool oder auf CRA-Klartext. Die Einschätzung ersetzt keine rechtliche Prüfung, gibt aber einen belastbaren ersten Anhaltspunkt, wo Handlungsbedarf besteht.
Häufige Fragen
Muss ich als Maschinenbauer NIS2 und den Cyber Resilience Act getrennt umsetzen?
Ja, es sind zwei unterschiedliche Rechtsakte mit unterschiedlichem Fokus: NIS2 regelt die Absicherung der eigenen Organisation als Betreiber, der Cyber Resilience Act die Sicherheit der verkauften Produkte als Hersteller. Ein Unternehmen kann beides gleichzeitig sein und muss dann beide Pflichten erfüllen, auch wenn sich einzelne Maßnahmen wie das Schwachstellenmanagement inhaltlich überschneiden.
Reicht die CE-Kennzeichnung nach Maschinenverordnung, um den CRA abzudecken?
Nein, die CE-Kennzeichnung nach Maschinenverordnung deckt mechanische und funktionale Sicherheit ab, nicht Cybersicherheit. Für Produkte mit digitalen Elementen kommen die CRA-Anforderungen zusätzlich hinzu und werden über ein eigenes Konformitätsbewertungsverfahren nachgewiesen.
Ab welcher Unternehmensgröße gilt NIS2?
In der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz - vorausgesetzt, das Unternehmen ist einem der in Anhang I oder II der Richtlinie genannten Sektoren zuzuordnen. Unabhängig von der Größe können auch einzelne kritische Einzelanbieter erfasst sein.
Bin ich als Softwarehersteller vom Cyber Resilience Act betroffen?
Sehr wahrscheinlich. Enthält ein Produkt Software oder kann es sich mit einem Gerät oder Netz verbinden und wird es in der EU verkauft, fällt es in der Regel unter den CRA - egal ob reine Software, IoT-Gerät oder Industriesteuerung.
Muss ich mein Unternehmen nach ISO 42001 zertifizieren lassen, wenn ich KI einsetze?
Nein, ISO/IEC 42001 ist eine freiwillige Norm. Verpflichtend sind die Anforderungen der EU-KI-Verordnung, unabhängig von einer Zertifizierung. Ein KI-Managementsystem nach ISO 42001 hilft aber, diese Anforderungen strukturiert nachzuweisen.
Mehr dazu: NIS-2 im Glossar · CRA im Glossar