NIS2

NIS2 im Maschinenbau: Wer betroffen ist und was zuerst zu tun ist

Maschinenbauer, deren Haupttätigkeit unter Abteilung 28 der NACE fällt, sind nach Anlage 2 des NISG 2026 ab mittlerer Größe erfasst – ab 50 Beschäftigten oder mit mehr als 10 Mio. € Umsatz und Bilanzsumme. Sie gelten als wichtige Einrichtung, in aller Regel auch dann, wenn sie groß sind. Die Pflichten betreffen alle Netz- und Informationssysteme, die der Betrieb nutzt – also auch Steuerungen, Prüfstände und Fernwartung, nicht nur das Büro.

7 Min. LesezeitAktualisiert am 11. September 2026 Ing. Özgür Deli, MSc CMSE

Ausgezeichnet 2026Kurier Gütesiegel TopberaterGeprüfte Beratungsqualität

Warum der Maschinenbau im Gesetz steht

Anlage 2 des NISG 2026 erfasst Teile des verarbeitenden Gewerbes, darunter ausdrücklich den Maschinenbau – bezeichnet als Abschnitt C, Abteilung 28 der NACE. Der Gedanke dahinter: Ausfälle bei Herstellern wichtiger Güter wirken über das einzelne Unternehmen hinaus. Maßgeblich ist die Haupttätigkeit. Ein Betrieb, der vor allem Maschinen und Anlagen entwickelt und baut, ist erfasst. Ein Lohnfertiger, der vor allem Metall bearbeitet, fällt unter Abteilung 25 und damit nicht unter das Gesetz – auch wenn er Teile für Maschinen liefert.

Maschinenbau oder Lohnfertigung – der Unterschied im NISG 2026

Kriterium	Maschinenbau (NACE C 28)	Metallbearbeitung (NACE C 25)
Steht in Anlage 2 des NISG 2026	ja	nein
Registrierung ab 50 Beschäftigten	ja	nein
Maßnahmen nach § 32 und Meldepflichten	ja	nein
Selbstdeklaration bis 30.09.2027	ja	nein
Fragebögen von Kunden zur Lieferkette	ja	ja

jateilweisenein

Maßgeblich ist die Haupttätigkeit. Bei Mischbetrieben entscheidet die Einzelprüfung, bei Gruppen zusätzlich die Konzernzurechnung.

Wichtig, nicht wesentlich

Mittlere Maschinenbauer – ab 50 Beschäftigten oder mit Umsatz und Bilanzsumme von jeweils mehr als 10 Mio. € – sind wichtige Einrichtungen. Anders als in den Sektoren der Anlage 1 bleiben auch große Unternehmen aus Anlage 2 wichtige Einrichtungen, sofern die Behörde sie nicht per Bescheid anders einstuft. Die Pflichten sind dieselben wie für wesentliche: registrieren, Maßnahmen umsetzen, Vorfälle melden, Selbstdeklaration abgeben. Unterschiedlich ist vor allem, wie intensiv die Behörde prüft.

Die Werkshalle gehört dazu

Die Maßnahmen beziehen sich auf die Netz- und Informationssysteme, die Sie für Ihre Tätigkeit nutzen. Im Maschinenbau sind das nicht nur ERP, CAD und E-Mail, sondern auch Steuerungen, Prüfstände, Industrie-PCs und die Zugänge, über die Hersteller und Integratoren von außen warten. Gerade dort stehen Systeme, die seit Jahren niemand angefasst hat – weil sie laufen. Das Gesetz verlangt nicht, jede alte Steuerung zu ersetzen. Es verlangt, dass Sie sie kennen, das Risiko bewerten und angemessen reagieren: abschotten, Zugänge kontrollieren, Wiederherstellung planen.

Was zuerst zu tun ist

Erstens die Einstufung dokumentieren, einschließlich Konzernzurechnung. Zweitens registrieren, bis 31. Dezember 2026. Drittens eine Systemübersicht über Büro und Produktion anlegen: Was läuft, wie ist es angebunden, wer greift von außen zu? Viertens die schnellen Verbesserungen, die fast immer fehlen: Mehr-Faktor-Anmeldung für Fern- und Admin-Zugänge, getrennte Administratorkonten, ein getestetes Backup auch der Steuerungsprogramme. Fünftens einen Meldeweg festlegen, damit im Ernstfall klar ist, wer binnen 24 Stunden die Frühwarnung abgibt. Danach folgen die übrigen Maßnahmen nach Plan – mit Blick auf die Selbstdeklaration bis 30. September 2027.

Betrieb und Produkt: NIS2, Maschinenverordnung, Cyber Resilience Act

NIS2 regelt die Sicherheit Ihres Betriebs, nicht Ihrer Produkte. Für die Maschinen, die Sie verkaufen, gelten zwei andere EU-Regeln. Die Maschinenverordnung (EU) 2023/1230 gilt ab 20. Januar 2027 und verlangt unter anderem, dass sicherheitsrelevante Software und Daten gegen unbeabsichtigte und vorsätzliche Manipulation geschützt sind und Steuerungen vorhersehbaren böswilligen Zugriffen standhalten. Der Cyber Resilience Act gilt für Produkte mit digitalen Elementen ab 11. Dezember 2027, seine Meldepflichten für aktiv ausgenutzte Schwachstellen bereits seit 11. September 2026. Methodisch passen die drei zusammen: Risikobeurteilung, Maßnahme, Nachweis.

Häufige Fragen

Wir bauen Sondermaschinen mit 45 Mitarbeitenden. Betrifft uns das?

Nach Beschäftigten nicht – prüfen Sie aber Umsatz und Bilanzsumme: Liegen beide über 10 Mio. €, sind Sie ein mittleres Unternehmen. Und prüfen Sie die Konzernzurechnung: Bei Beteiligungen über 25 % zählen die Zahlen verbundener Unternehmen mit, außer Ihre Netz- und Informationssysteme sind von deren Systemen unabhängig (§ 25 Abs. 4).

Müssen wir alte Steuerungen austauschen?

Nicht pauschal. Verlangt sind geeignete und verhältnismäßige Maßnahmen nach dem Stand der Technik, bei denen auch die Kosten berücksichtigt werden. Häufig reicht es, Altsysteme vom übrigen Netz zu trennen, Zugänge zu begrenzen und Ausfälle einzuplanen.

Gilt NIS2 auch für die Maschinen bei unseren Kunden?

Für den Betrieb beim Kunden ist der Kunde verantwortlich. Ihr Service-Fernzugriff auf diese Maschinen gehört aber zu Ihren Systemen – und zur Lieferkette Ihres Kunden. Rechnen Sie damit, dass er danach fragt.

Quellen

Stand: 11. September 2026. Dieser Beitrag ist eine fachliche Einordnung, keine Rechtsberatung.

Geschrieben von

Ing. Özgür Deli, MSc CMSE

Geschäftsführer & Gründer, WeDev-IT GmbH

Ingenieur, Testmanager in regulierten Softwareprojekten und Experte für Maschinensicherheit (CMSE). Über 15 Jahre Enterprise-Projekterfahrung, Gastlektor.

Mehr über uns

Wo steht Ihr Betrieb?

Einstufung, Systemübersicht über Büro und Produktion, Maßnahmenplan mit Kosten und Terminen – die Gap-Analyse ab 4.900 € netto.

Zur Gap-Analyse