Fernwartung und OT unter NIS2: Wie Maschinenzugänge sicher werden
Fernwartung berührt gleich mehrere Maßnahmenbereiche des § 32 NISG 2026: Lieferkette, Zugriffskontrolle, Mehr-Faktor-Anmeldung und die Bewältigung von Vorfällen. Sicher wird sie mit wenigen Regeln: ein einziger kontrollierter Zugangsweg, Freigabe nur auf Anfrage und zeitlich begrenzt, Mehr-Faktor-Anmeldung, persönliche Konten statt Sammelzugänge, Protokollierung jeder Sitzung und ein vom Büro getrenntes Produktionsnetz.
Warum Fernwartung das offene Tor ist
In vielen Produktionsbetrieben greifen mehrere Parteien von außen auf Anlagen zu: der Maschinenhersteller für Diagnose und Updates, der Integrator für Anpassungen, der eigene Service am Wochenende. Über die Jahre entstehen so mehrere Wege – ein VPN hier, eine Fernwartungssoftware dort, ein Mobilfunk-Router, den ein Techniker einmal eingebaut hat. Jeder dieser Wege umgeht die Schutzmaßnahmen des Büronetzes. Und Steuerungen, die für eine lange Laufzeit gebaut sind, bekommen selten Updates.
Welche NIS2-Maßnahmen betroffen sind
§ 32 nennt die Sicherheit der Lieferkette, also auch der Dienstleister, die auf Ihre Systeme zugreifen. Dazu kommen Zugriffskontrolle und Anlagenmanagement, Mehr-Faktor-Anmeldung, die Bewältigung von Sicherheitsvorfällen und die Aufrechterhaltung des Betriebs. Fernwartung ist damit kein Randthema, sondern der Punkt, an dem sich fünf der zehn Bereiche treffen – und ein Punkt, nach dem Kundenfragebögen regelmäßig fragen.
So sieht ein kontrollierter Zugang aus
- Ein Zugangsweg für alle Dienstleister
- Freigabe durch die Instandhaltung, zeitlich begrenzt
- Mehr-Faktor-Anmeldung und persönliche Konten
- Jede Sitzung wird protokolliert
- Produktionsnetz vom Büronetz getrennt
Typische Befunde
- Dauerhaft offener VPN-Zugang des Herstellers
- Fernwartungssoftware mit Sammelpasswort
- Mobilfunk-Router direkt an der Steuerung
- Niemand weiß, wer zuletzt zugegriffen hat
- Büro und Produktion in einem gemeinsamen Netz
Sechs Regeln
Erstens: ein einziger Zugangsweg, über den jede Fernwartung läuft. Zweitens: Zugänge sind standardmäßig geschlossen und werden auf Anfrage für eine begrenzte Zeit freigegeben – von jemandem, der weiß, was an der Anlage gerade passiert. Drittens: Mehr-Faktor-Anmeldung und persönliche Konten, keine Sammelzugänge mit einem Passwort, das seit Jahren alle kennen. Viertens: Jede Sitzung wird protokolliert, bei kritischen Anlagen auch begleitet. Fünftens: Das Produktionsnetz ist vom Büronetz getrennt, der Fernzugang endet in einer eigenen Zone, nicht mitten im Netz. Sechstens: Die Anforderungen an die Dienstleister stehen im Vertrag – einschließlich der Pflicht, Vorfälle zu melden.
Umsetzen ohne Produktionsstopp
Keine dieser Regeln verlangt, eine laufende Anlage anzufassen. Zuerst die Bestandsaufnahme: Welche Zugänge gibt es, wer nutzt sie, welche sind verwaist? Dann den neuen Weg parallel aufbauen, die Dienstleister einzeln umziehen und alte Zugänge erst schließen, wenn der neue funktioniert. Die Netztrennung wird in Wartungsfenstern umgesetzt, die ohnehin geplant sind. So verschwindet der Wildwuchs Schritt für Schritt, ohne dass die Linie stillsteht.
Safety trifft Security
Ein Zugriff auf eine Steuerung ist nicht nur ein IT-Risiko. Wer Parameter ändert, kann Schutzfunktionen beeinflussen. Die Maschinenverordnung, die ab 20. Januar 2027 gilt, trägt dem Rechnung: Sicherheitsrelevante Software und Daten müssen gegen unbeabsichtigte und vorsätzliche Manipulation geschützt, Eingriffe protokolliert und Steuerungen gegen vorhersehbare böswillige Zugriffe robust sein. Wer seine Fernwartung nach NIS2 ordnet, erfüllt damit zugleich eine Erwartung, die Kunden an neue Maschinen stellen werden.
Häufige Fragen
Wir sind Maschinenhersteller und warten beim Kunden. Was betrifft uns?
Ihr Service-Zugang ist Teil der Lieferkette Ihres Kunden. Rechnen Sie mit Anforderungen: Mehr-Faktor-Anmeldung, persönliche Konten, Protokollierung, Meldung von Vorfällen. Wer das von sich aus anbietet, hat im Fragebogen einen Vorteil. Und als Maschinenbauer ab 50 Beschäftigten sind Sie in aller Regel ohnehin selbst erfasst.
Brauchen wir dafür teure Spezialsoftware?
Nicht zwingend. Es gibt spezialisierte Fernwartungslösungen für die Industrie, aber die Regeln lassen sich oft auch mit vorhandenen Mitteln umsetzen – etwa mit einem zentralen Zugang mit Mehr-Faktor-Anmeldung und einem klaren Freigabeprozess. Entscheidend ist der Prozess, nicht das Produkt.
Was ist mit Anlagen, die keine Updates mehr bekommen?
Die bleiben oft jahrelang in Betrieb. Dann ist Abschottung die Maßnahme: eigene Netzzone, Zugriff nur über den kontrollierten Weg, geprüftes Backup der Programme und Parameter. Das verbleibende Risiko wird dokumentiert und bewusst getragen – das ist verhältnismäßig im Sinne des § 32.
Quellen
- NISG 2026, BGBl. I Nr. 94/2025 – Rechtsinformationssystem des Bundes (RIS) (öffnet in neuem Tab)
- Verordnung (EU) 2023/1230 (Maschinenverordnung) – EUR-Lex (öffnet in neuem Tab)
- Berichtigung der Maschinenverordnung: Geltung ab 20. Januar 2027 – EUR-Lex (öffnet in neuem Tab)
Stand: . Dieser Beitrag ist eine fachliche Einordnung, keine Rechtsberatung.
Geschrieben von
Ing. Özgür Deli, MSc CMSE
Geschäftsführer & Gründer, WeDev-IT GmbH
Ingenieur, Testmanager in regulierten Softwareprojekten und Experte für Maschinensicherheit (CMSE). Über 15 Jahre Enterprise-Projekterfahrung, Gastlektor.
Mehr über unsFernwartung ordnen
Bestandsaufnahme aller Zugänge, Konzept mit Freigabeprozess, Anforderungen an Dienstleister – als Teil der Gap-Analyse oder der Umsetzungsbegleitung.
Gespräch anfragenWeiterlesen
NIS2 im Maschinenbau: Wer betroffen ist und was zuerst zu tun ist
Maschinenbau steht in Anlage 2 des NISG 2026. Was das ab 50 Beschäftigten heißt – und warum die Werkshalle dazugehört.
Die 10 NIS2-Maßnahmen nach § 32 NISG 2026 – verständlich erklärt
Was hinter jedem der zehn Bereiche steckt, was ein Betrieb mit 80 Mitarbeitenden konkret tut – und woran man erkennt, dass es reicht.
NISG 2026: Was sich am 1. Oktober ändert – und was nicht
Wer betroffen ist, welche Fristen gelten und was Unternehmen jetzt tun müssen – ohne Panikmache.