Die Umstellung 2026 meistern: NIS2 und CRA in der europäischen Industrieautomatisierung
Die europäische Industrie steht ab 2026 vor einer tiefgreifenden regulatorischen Wende. Prozessindustrien, insbesondere die chemische und Energiebranche, müssen sich nun auf zwei bedeutende Rechtsrahmen einstellen: die NIS2-Richtlinie und das Gesetz zur Cyber-Resilienz (CRA). Gemeinsam wandeln diese Gesetze die Cybersicherheit von einer freiwilligen „Best Practice“ zu einer verbindlichen Voraussetzung für Marktzugang und Betriebsfortführung.
Abstimmung von NIS2 und CRA für kritische Infrastruktur
Betreiber kritischer Infrastruktur stehen nun unter doppeltem Druck durch diese ineinandergreifenden Vorschriften. Während NIS2 die betriebliche Widerstandsfähigkeit „wesentlicher Einrichtungen“ in den Mittelpunkt stellt, zielt das CRA auf die digitale Unversehrtheit der von ihnen bezogenen Produkte ab. Folglich kann eine Chemiefabrik NIS2-Konformität nicht erreichen, ohne sicherzustellen, dass ihre Lieferanten die CRA-Standards erfüllen. Diese Wechselwirkung schafft ein geschlossenes System der Verantwortlichkeit vom Chip-Hersteller bis zum Anlagenleiter.
CRA: Verpflichtende Sicherheit von Anfang an für Automatisierungsprodukte
Das CRA verändert grundlegend, wie Hersteller industrielle Automatisierungs- und Steuerungssysteme (IACS) entwickeln. Hersteller müssen nun Sicherheitsprinzipien von Anfang an und als Voreinstellung in jeden Produktlebenszyklus integrieren. Zudem sind Unternehmen verpflichtet, für jede digitale Komponente eine Software-Bestandteilsliste (SBOM) bereitzustellen. Produkte, die diese strengen Anforderungen nicht erfüllen, verlieren ihre CE-Kennzeichnung und werden ab 2026 effektiv vom EU-Markt ausgeschlossen.
NIS2: Stärkung der Steuerung von Betriebstechnik (OT)
Nach NIS2 müssen Industriebetreiber umfassende Risikomanagement- und Vorfallmeldeverfahren einführen. Diese Vorgabe reicht über die herkömmliche Informationstechnik hinaus in die Betriebstechnik (OT) einschließlich SPS und Leitsystem netzwerke. Betreiber müssen nun nachweisen, dass sie Bedrohungen erkennen und die Geschäftskontinuität bei Cyberangriffen aufrechterhalten können. Daher muss die Geschäftsleitung die direkte Verantwortung für die Cybersicherheitslage und die Überprüfung der Lieferkette übernehmen.
Die wachsende Bedeutung von Dokumentation und Prüfungen
Die Einhaltung der Vorschriften erfordert nun einen großen Sprung in administrativer Transparenz und technischer Prüfung. Betreiber müssen strenge Aufzeichnungen über Risikoanalysen und Lieferantenbewertungen führen, um nationale Behörden zufriedenzustellen. Zudem müssen Beschaffungsteams Anbieter bevorzugen, die aktives Schwachstellenmanagement und langfristige Sicherheitsunterstützung nachweisen. Dadurch wird die „Compliance-Schuld“ zu einem echten finanziellen Risiko für Unternehmen, die bei ihrer digitalen Umgestaltung zurückbleiben.
Fachliche Einschätzung: Das Ende der „Sicherheit durch Verschleierung“
Meiner Einschätzung nach markieren diese Vorschriften das endgültige Ende der „Sicherheit durch Verschleierung“ im Industriesektor. Jahrzehntelang setzten viele Anlagen auf die Abschottung ihrer Steuerungssysteme als Hauptschutz. Das CRA und NIS2 erkennen jedoch an, dass moderne, vernetzte Fabriken einen aktiven, dokumentierten Schutz benötigen. Ich bin überzeugt, dass dieser Wandel letztlich zu einer „Cyber-Sicherheits“-Kultur führen wird, in der digitale Sicherheit mit der gleichen Ernsthaftigkeit behandelt wird wie physischer Explosionsschutz (ATEX) oder funktionale Sicherheit (SIL).
