Man kann nur schützen, was man kennt. Der altbekannte Spruch ist aktueller denn je, denn die NIS2 macht die konforme Absicherung kritischer IT-Infrastrukturen für viele neu betroffene Unternehmen verpflichtend. In vielen OT-Umgebungen fehlt dafür noch eine entscheidende Voraussetzung: vollständige Transparenz über die eigenen Asset-Bestände. Welche Maßnahmen stehen an und warum ist dafür ein OT-Asset-Management erforderlich?
NIS2 – was steht konkret an?
Die NIS2 will ein hohes gemeinsames Cybersicherheitsniveau im Binnenraum erreichen. Dafür fordert sie von Unternehmen aus insgesamt achtzehn Sektoren die wirksame Umsetzung von Cybersecurity. Auch in Zeiten komplex vernetzter Supply Chains und zunehmender Cyberangriffe muss die Bevölkerung ausreichend versorgt und geschützt werden, und der Markt muss funktionieren. Deswegen sind die Kritischen Infrastrukturen im besonderen Fokus der Regulierung.
Das Kernthema der NIS2 ist das Risikomanagement. Betroffene Unternehmen werden zur regelmäßigen Durchführung einer Risikoanalyse verpflichtet und müssen darauf basierend entsprechende Security-Maßnahmen umsetzen. Außerdem müssen sie gewährleisten, dass ihr Betrieb auch im Störfall aufrechterhalten oder schnell wieder aufgenommen werden kann.
Verbindliche NIS2 Risikomanagementmaßnahmen
Risiken im Kontext Cybersecurity können durch technische und organisatorische Maßnahmen kontrolliert werden. Betroffene Unternehmen müssen sie nachweislich umsetzen.
Die NIS2 listet folgende Maßnahmen, die nach dem Stand der Technik umgesetzt werden müssen:
- Netzwerksegmentierung
- Sichere Konfiguration
- Identitäts- und Zugriffsmanagement
- Software-Updates
- Multifaktor-Authentifizierung
- Backup & Recovery
- Maßnahmen zum Krisenmanagement
Zu den grundlegenden Maßnahmen der Cyberhygiene zählt die NIS2 außerdem Zero-Trust-Grundsätze. Dabei wird Sicherheit im Inneren des Netzwerks etabliert, weil jeder Netzwerkteilnehmer bereits kompromittiert sein kann und eine Ausbreitung von Störungen verhindert werden muss. Für die Umsetzung der Zero-Trust-Sicherheitsstrategie spielen daher bekannte Basics wie Zugriffskontrollen, Monitoring, Authentifizierung und Verschlüsselung eine wichtige Rolle.
Ab wann gelten die neuen Vorgaben?
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft. Betroffene Unternehmen mussten sich bis zum 6. März 2026 beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren.
Seit Inkrafttreten des Gesetzes müssen Risikomanagementmaßnahmen (§ 30 BSIG) umgesetzt und dokumentiert sein. Auch gelten seitdem strenge Meldepflichten bei IT-Sicherheitsfällen (§ 32 BSIG).
Einen Nachweis über die Einhaltung der geforderten Maßnahmen, z.B. durch Sicherheitsaudits, Zertifizierungen oder Prüfungen (§ 39 BSIG), müssen nur Betreiber kritischer Anlagen erbringen. Wer erst durch das NIS2UmsuCG als Betreiber kritischer Anlagen gilt und nicht vorher schon KRITIS war, hat für den erstmaligen Nachweis drei Jahre Zeit, also bis Dezember 2028.
Voraussetzungen schaffen
Um NIS2 Anforderungen zu erfüllen, müssen zunächst die erforderlichen Voraussetzungen geschaffen werden. So gut wie alle Security-Maßnahmen basieren auf aktuellen Informationen über den aktiven Bestand an OT-Assets sowie über relevanten Daten zu ihren Zuständen. Ohne diese Informationen ist eine Ist-Aufnahme als wichtiger Bestandteil der Planungsphase nicht möglich und Sie können nicht bestimmen, welche Assets für Ihre Prozesse kritisch sind.
Beim Start der einzelnen Security-Projekte sollten die notwendigen Rahmenbedingungen bereits geschaffen sein. Der Aufbau eines OT-Asset-Managements ist der erste Schritt, um Security-Anforderungen der NIS2 umsetzen zu können. Aber nicht nur das. Die Mehrwerte, die ein OT-Asset-Management bietet, gehen weit über die Security-Betrachtung hinaus.
Was leistet ein OT-Asset-Management?
Im Rahmen eines OT-Asset-Managements werden alle Assets in OT-Bereichen über ihren gesamten Lebenszyklus hinweg effizient verwaltet. Dafür werden Tools, Prozesse und Organisation entsprechend aufgesetzt und auf die individuellen Anforderungen in Ihrem Betrieb abgestimmt.
Das Asset Inventory listet alle im Betrieb befindlichen OT-Assets samt relevanter Daten wie Konfiguration, Firmware, Betriebssystem-Version, Patch-Stand und sogar den Standort im Werk auf.
Der größte Mehrwert eines OT-Asset-Managements für die Umsetzung von NIS2 Anforderungen ist Transparenz. Damit kann zunächst der Scope für einzelne Security-Projekte klar definiert werden. Die im Asset Inventory gelisteten Informationen sind notwendig, um Security-Maßnahmen entsprechend dem tatsächlichen Bedarf konzipieren zu können.
Wer profitiert vom OT-Asset-Management?
Im Kontext Security ist ein OT-Asset-Management eine unverzichtbare Grundlage. Darüber hinaus gibt es viele weitere Bereiche im Unternehmen, die davon profitieren! Klare Prozesse beispielsweise für die Inbetriebnahme oder für die Außerbetriebnahme von Geräten helfen auch der Instandhaltung und dem Betriebsengineering. Generell gilt: die eigentlichen Anwender sind meistens bis zu 90% in den sogenannten OT-Bereichen tätig, sie nutzen das OT-Asset-Management für ihr Tagesgeschäft.
Mehr Transparenz. Weniger Aufwand. Besseres OT-Asset-Management.
Mit unserer Erfahrung unterstützen wir Sie dabei, Ihre OT-Assets systematisch zu erfassen, zu strukturieren und langfristig zu verwalten. Lassen Sie uns unverbindlich über Ihre Anforderungen sprechen.
Lassen Sie uns sprechen
OT-Asset-Management für NIS2 nutzen
Warum ein OT-Asset-Management so wichtig ist, um NIS2 Anforderungen umzusetzen, zeigen folgende konkrete Beispiele:
Riskoanalyse
Um die Risiken für OT-Assets bewerten, ihren Schutzbedarf bestimmen und Maßnahmen konzipieren zu können, müssen aktuelle Informationen verfügbar sein. Das betrifft beispielsweise den Patch-Stand von Assets. Alle relevanten Daten liefert das Asset Inventory.
Netzwerksegmentierung
Im Rahmen einer sicheren Netzwerkarchitektur werden OT-Assets gruppiert und in separaten Segmenten platziert, die über Firewalls geschützt werden. Der Gruppierung der Assets können beispielsweise ihr Schutzbedarf oder funktionale Aspekte zugrunde liegen. Ein OT-Asset-Management liefert die relevanten Informationen und hilft bei der Identifizierung der Assets.
Sichere Konfiguration
Wie die Konfiguration für jedes einzelne Asset aktuell ist (Ist-Zustand), kann dem Inventory entnommen werden. Nach der Implementierung einer definierten sicheren Konfiguration kann die Änderung im Verlauf jederzeit nachvollzogen und auf Basis valider Daten bei Bedarf angepasst werden.
Zugriffsmanagement
Zu bestimmen, wer auf ein Asset zugreifen muss und dafür autorisiert wird, kann sich auch auf physische Anforderungen beziehen, beispielsweise auf Geräte in einem Schaltschrank. Dafür muss klar sein, wo sich der Schaltschrank im Werk befindet. Im OT-Asset-Management sind neben definierten Regeln für den Zugriff auch Informationen über den Standort verfügbar.
Basis für technologischen Fortschritt
Der Nutzen von OT-Asset-Management bleibt nicht auf anstehende Security-Projekte beschränkt. Ein professioneller sicherer OT-Betrieb ist die Grundlage dafür, neue Technologien nachhaltig einsetzen zu können. Optimierungen und Effizienzsteigerungen in der Produktion werden immer wichtiger, um wettbewerbsfähig zu bleiben. Für zahlreiche Digitalisierungsprojekte wie beispielsweise Energiedatenmanagement sind Transparenz und definierte Prozesse für den gesamten Lebenszyklus von Assets unerlässlich.
NIS2 gilt – wo steht Ihre Umsetzung?
Die NIS2-Anforderungen gelten bereits. In vielen Unternehmen ist die Umsetzung aber noch nicht abgeschlossen. Der Aufbau eines OT-Asset-Managements ist dabei ein wichtiger Schritt, der häufig unterschätzt wird.
Zu definieren, welche Assets zur OT gehören (und welche nicht), alle relevanten Informationen zusammenzutragen und in ein passendes Tool zu überführen, ist aufwändig, genau wie die Ausarbeitung entsprechender Prozesse. Wer hier noch Nachholbedarf hat, sollte jetzt priorisieren, denn ohne diese Grundlage lassen sich NIS2-Anforderungen nicht sauber umsetzen
Wie ein OT-Asset-Management aufgebaut werden kann, beschreiben wir in einem eigenen Artikel.
Fazit
OT-Asset-Management ist der Startpunkt für Ihre NIS2-Compliance. Ob Risikoanalyse, Netzwerksegmentierung oder Zugriffsmanagement, all diese Themen setzen voraus, dass Sie wissen, was in Ihrer OT-Umgebung läuft. Das Asset Inventory liefert Ihnen diese wichtige Grundlage.
Die Mehrwerte des OT-Asset-Managements gehen weit über Security hinaus: Viele Bereiche im Unternehmen profitieren davon, z.B. die Instandhaltung und das Betriebsengineering, wo aktuelle Daten über Assets die Effizienz steigern können.
Checkliste: Angriffserkennung in KRITIS Betrieben
CEO & Founder
Die Anforderung nach „Angriffserkennung für kritische Infrastrukturen“ sorgt für zusätzlichen Stress bei der Vielzahl an notwendigen Schutzmaßnahmen.
Deshalb haben wir eine Checkliste: Angriffserkennung in KRITIS Betrieben erstellt, die Ihnen einen effizienten Überblick gibt und vor allem eine strukturierte Bearbeitung ermöglicht.
