Warum der Maschinenbau genannt wird
Anhang II der NIS-2-Richtlinie (EU) 2022/2555 führt die Herstellung von Maschinen (NACE C28) als sonstigen kritischen Sektor auf. Unternehmen dieser Art fallen unter die Richtlinie, wenn sie mindestens die Größe eines mittleren Unternehmens erreichen. Sie gelten dann als wichtige Einrichtungen. In Deutschland ist die Richtlinie über das BSIG umgesetzt.
Die Größe richtet sich nach der EU-Empfehlung 2003/361/EG: Beschäftigte, Jahresumsatz und Bilanzsumme zählen, Partner- und verbundene Unternehmen können mitzählen. Ein Betrieb mit 480 Beschäftigten wie im Beispiel unten liegt klar darüber. Nahe an der Schwelle lohnt die genaue Prüfung.
Was das in der Fertigung bedeutet
- Fertigungssteuerung, CNC-Programme und Fertigungsaufträge gehören zu den kritischen Abläufen und Informationen, nicht nur ERP und E-Mail.
- Die Auftragsabwicklung hängt an ERP-System, Active Directory und Internetanbindung. Die Betriebsfortführungsanalyse hält solche Abhängigkeiten fest.
- Lieferanten und Dienstleister gehören in die Betrachtung, Stichwort Lieferkettensicherheit.
- Erhebliche Vorfälle sind in Stufen zu melden: 24 Stunden, 72 Stunden, ein Monat.
- Die Geschäftsleitung muss die Maßnahmen umsetzen, überwachen und sich regelmäßig schulen lassen (§ 38 BSIG).
Der Ablauf mit dem Assistenten: Muster Maschinenbau GmbH (Beispiel)
Das erfundene Beispiel hat 480 Vollzeitstellen und zwei Standorte.
- Einstufung: Sektor und Größe ergeben eine vorläufige Einschätzung als wichtige Einrichtung, mit dem Hinweis, sie zu prüfen.
- Profil: P4 Groß (ab 250 Beschäftigte) mit der vollen Tiefe der Fragen.
- Betriebsfortführung: Kernprozesse wie Auftragsabwicklung, Konstruktion und Fertigungssteuerung mit Verantwortlichen, Wiederanlaufzeit (RTO), tolerierbarem Datenverlust (RPO) und höchster tolerierbarer Ausfallzeit (MTPD); im Profil Groß dazu Standorte und Abhängigkeiten.
- Risiken und Maßnahmen: Risikovorschläge aus Abläufen und Systemen, danach die 53 Punkte der Durchführungsverordnung (EU) 2024/2690 mit 161 Einzelanforderungen.
- Meldewege und Bericht: Meldefristen, eine vermerkte Probemeldung und ein Bericht für die Geschäftsleitung mit Ampel.
Prüfen Sie die Einstufung
Maßgeblich ist die tatsächliche Tätigkeit: Stellen Sie Maschinen und Ausrüstungen her, oder liefern Sie Teile an Hersteller? Auch Konzernzugehörigkeit und Sonderfälle können die Einstufung ändern. Eine erste Orientierung gibt der NIS2-Betroffenheitscheck. Produktbezogene Anforderungen an vernetzte Maschinen sind ein eigenes Thema und hier nicht behandelt.
