OT-Sicherheit: NIS2, IEC 62443 und die ersten Schritte

##### 20. Aug. 2025

Operational Technology (OT) umfasst alle Systeme, die physische Prozesse steuern – von der Brückensteuerung bis zur Produktionslinie. Jahrzehntelang wurden diese Systeme bewusst von den Büronetzwerken getrennt gehalten, doch diese Trennung verschwindet. Seit dem 15. August 2026 fallen zudem viele Organisationen mit OT unter das niederländische Cybersicherheitsgesetz. Was bedeutet das konkret, und wo fangen Sie an?

Was ist OT und wo kommt es vor?

OT steht für Operational Technology: alle Systeme und Geräte, die physische Prozesse steuern. Zu Hause ist das die Waschmaschine, die zur eingestellten Zeit läuft, oder der Saugroboter mit seinen festen Runden. In Unternehmen geht es um Maschinen in Fabriken, Wasseraufbereitungsanlagen, Ampeln und Brückensteuerungen sowie um das Be- und Entladen in Häfen und Lagern.

Gerade weil OT an so vielen Stellen läuft – oft bei Organisationen, die Dienste in der kritischen Infrastruktur erbringen – ist Sicherheit keine freiwillige Entscheidung mehr. Zwei Rahmenwerke geben die Richtung vor: die IEC 62443-Reihe für die industrielle Automatisierung und das Cybersicherheitsgesetz, die niederländische Umsetzung von NIS2.

Warum OT-Sicherheit anders funktioniert als IT-Sicherheit

Wer OT mit dem IT-Drehbuch angeht, kommt nicht weit. Das niederländische NCSC benennt die Unterschiede, die den Ansatz bestimmen:

Verfügbarkeit geht vor. In der IT steht meist die Vertraulichkeit im Vordergrund, in der OT die Kontinuität. Einen Prozess für ein Update anzuhalten, kann Produktion kosten oder unsichere Zustände erzeugen.

Die Lebensdauer ist deutlich länger. OT-Anlagen laufen oft fünfzehn bis zwanzig Jahre. Systeme, die noch Jahre im Einsatz bleiben, laufen daher auf Software, die längst nicht mehr unterstützt wird.

Patchen ist nicht einfach so möglich. Wartung findet in knappen, geplanten Fenstern statt und oft nur mit Zustimmung des Lieferanten, weil ein Update die Zertifizierung oder die Sicherheitsfunktion einer Anlage berühren kann.

Safety und Security greifen ineinander. In der OT betrifft ein Vorfall nicht nur Daten, sondern auch die physische Sicherheit – Entscheidungen fallen deshalb gemeinsam mit den Sicherheitsfachkräften.

Die fünf Grundprinzipien des NCSC

In *Aan de slag met het beveiligen van OT/IACS* beschreibt das NCSC fünf Grundprinzipien. Sie ergeben eine brauchbare Reihenfolge für Organisationen, die noch am Anfang stehen:

1.Risiken erfassen. Führen Sie eine Risikoanalyse der OT-Umgebung durch und knüpfen Sie an die bestehenden Sicherheitsprozesse an.

2.Sicheres Verhalten fördern. Eine gesunde Sicherheitskultur braucht sichtbares Engagement der Leitung und gezielte Schulung der Menschen vor Ort.

3.Systeme schützen. Verringern Sie die Angriffsfläche (Hardening), richten Sie ein Patchmanagement ein, das zu den OT-Wartungsfenstern passt, und segmentieren Sie Büro- und Prozessnetz.

4.Zugriff steuern. Regeln Sie den physischen und digitalen Zugang zu Systemen und Daten – einschließlich des Zugangs von Lieferanten und Wartungspartnern.

5.Auf Vorfälle vorbereiten. Halten Sie einen Incident-Response-Plan fest, üben Sie ihn jährlich und sorgen Sie für eine Backup-Strategie nach dem Prinzip "assume breach".

Was das Cybersicherheitsgesetz für OT bedeutet

Das niederländische Cybersicherheitsgesetz ist seit dem 15. August 2026 in Kraft und überführt die NIS2-Richtlinie in nationales Recht. Für Organisationen mit OT im Kernprozess sind vier Pflichten maßgeblich:

Sorgfaltspflicht. Sie bewerten die Risiken selbst und treffen angemessene Maßnahmen – OT-Systeme gehören ausdrücklich dazu, nicht nur die Büro-IT.

Meldepflicht. Einen erheblichen Vorfall melden Sie innerhalb von 24 Stunden als Frühwarnung, gefolgt von einer ausführlicheren Meldung.

Verantwortung der Leitung. Die Geschäftsleitung haftet für die Einhaltung und muss sich fortbilden.

Sicherheit der Lieferkette. Vereinbarungen mit Lieferanten und Wartungspartnern fallen in den Geltungsbereich – in OT-Umgebungen besonders relevant, weil externe Parteien oft aus der Ferne mitlesen oder eingreifen.

Ob Sie unter das Gesetz fallen und wer die Aufsicht führt, hängt von Ihrem Sektor ab. Die niederländische Aufsichtsbehörde RDI führt eine Übersicht der beaufsichtigten Sektoren, und das NCSC sammelt die praktischen Erläuterungen zum Gesetz. In unserem Blog lesen Sie mehr über die Herausforderungen des Gesetzes und über nachweisbare Beherrschung als neuen Maßstab.

IEC 62443: die Norm für industrielle Automatisierung

Wo das Gesetz sagt, *dass* Sie Maßnahmen treffen müssen, beschreibt die IEC 62443-Reihe das *Wie*. Sie richtet sich auf Industrial Automation and Control Systems (IACS): SCADA-Systeme, SPS, Distributed Control Systems sowie die Sensoren, Aktoren und Netzwerke, die sie verbinden.

IEC 62443 ist keine einzelne Norm, sondern eine Reihe von Normteilen mit jeweils eigener Zielgruppe. NEN beschreibt den Aufbau so:

Normteil	Worum es geht	Vor allem für
62443-2-1	Das Sicherheitsmanagementsystem für die IACS-Umgebung	Endanwender
62443-2-4	Anforderungen an Dienstleistungen von Lieferanten	Einkauf und Vertragsmanagement
62443-3-3	Systemanforderungen und Security Levels	Endanwender und Integratoren
62443-4-1	Ein sicherer Entwicklungsprozess für Produkte	Lieferanten
62443-4-2	Technische Anforderungen an einzelne Komponenten	Lieferanten und Integratoren

Die Security Levels der Reihe machen das Gespräch konkret: Planer, Lieferanten und Anwender können in derselben Sprache vereinbaren, welches Schutzniveau eine Zone braucht. Auf unserer Normseite zu IEC 62443 lesen Sie, wie das in der Praxis aussieht.

In fünf Schritten anfangen

1.Inventarisieren Sie Ihre OT-Assets. Ohne aktuelle Liste von Systemen, Versionen und Verbindungen ist jeder weitere Schritt Raterei.

2.Bewerten Sie die Risiken je Prozess, gemeinsam mit den Menschen, die die Anlage am Laufen halten.

3.Trennen Sie die Netze. Die Segmentierung zwischen Büro- und Prozessnetz bringt meist die größte Risikominderung pro investiertem Euro.

4.Halten Sie Lieferantenvereinbarungen schriftlich fest, einschließlich der Bedingungen für Fernzugriff und der Meldefristen bei Vorfällen.

5.Üben Sie das Szenario, in dem ein Produktionsprozess stillsteht, und prüfen Sie, ob das Zurückspielen der Backups tatsächlich gelingt.

Wie uComply dabei hilft

Ein Ort für Ihre Maßnahmen. uComply basiert auf Microsoft Dataverse und integriert sich in Ihre Microsoft 365-Umgebung: zentrale Controls und Klauseln, Risikobewertungen, Auditmanagement, Lieferantenbewertungen und Vorfallerfassung in einem Workflow.

Fertige Content-Packs unter anderem für ISO 27001, NEN 7510 und das Cybersicherheitsgesetz, damit Ihre Dokumentation nicht bei null beginnt.

Nachweis gegenüber der Aufsicht. Festgehaltene Bewertungen, Maßnahmen und Vorfälle ergeben die Akte, nach der eine Aufsichtsbehörde fragt.

In Ihrem eigenen Tenant. Da uComply in Ihrer eigenen Microsoft-Umgebung läuft, bleiben Ihre Daten unter Ihren eigenen Sicherheitsmaßnahmen.

*OT-Assets identifizieren, Risiken bewerten und Maßnahmen nachweisbar festhalten: dort wird OT-Sicherheit konkret. Neugierig, wie das für Ihre Organisation aussieht?*

Let's Chat