Fachbeitrag

NIST SP 800-82 Revision 4: Welche Entwicklungen für die OT-Security relevant sind

Was ändert sich mit dem Entwurf von NIST SP 800-82 Revision 4?

NIST hat am 21. September 2026 den öffentlichen Entwurf der Revision 4 des Guide to Operational Technology Security veröffentlicht. Für die Praxis relevant sind ein breiteres OT-Sektorenverständnis, ein stärkerer Fokus auf Asset Management und Netzwerküberwachung, die Übertragung von Zero-Trust-Prinzipien auf OT und die Einbettung von OT-Risiken in das unternehmensweite Risikomanagement. SP 800-82 ist eine internationale Orientierungshilfe, keine verbindliche deutsche Vorgabe.

OT-Security-Erstgespräch vereinbaren

Fachlicher Stand: 21. Oktober 2026

Erweitertes OT-Sektorenverständnis

Der Leitfaden betrachtet OT über klassische Industrieanlagen hinaus, etwa Gebäudeautomation, Transport und weitere cyber-physische Systeme. Für Unternehmen bedeutet das: Auch Systeme außerhalb der eigentlichen Fertigung können OT-Risiken tragen und sollten in der Bestandsaufnahme berücksichtigt werden.

Asset Management und Netzwerküberwachung

Ein vollständiges, gepflegtes Inventar von Geräten, Software-Ständen und Kommunikationsbeziehungen wird als Grundlage aller weiteren Maßnahmen beschrieben. Passive Netzwerküberwachung hilft, unbekannte Geräte, unerwartete Verbindungen und Anomalien zu erkennen, ohne den Betrieb zu beeinträchtigen.

Zero-Trust-Prinzipien im OT-Kontext

Zero Trust bedeutet in der OT nicht, jede Steuerung mit moderner Authentisierung auszustatten. Gemeint ist, implizites Vertrauen zu reduzieren: Zugriffe explizit erlauben, Zonen fein abgrenzen, Fernzugriffe pro Sitzung freigeben und Kommunikation dort prüfen, wo es technisch und betrieblich vertretbar ist. Safety- und Echtzeitanforderungen haben dabei Vorrang.

OT-Risiken im unternehmensweiten Risikomanagement

Der Entwurf betont, OT-Risiken nicht isoliert, sondern im Enterprise Risk Management zu bewerten. Das deckt sich mit der Anforderung aus § 38 BSIG, dass die Geschäftsleitung Risikomanagementmaßnahmen billigt und überwacht.

Internationale Orientierung vs. verbindliche deutsche Anforderungen

NIST SP 800-82: US-Leitfaden, international als Fachreferenz genutzt, rechtlich nicht verbindlich in Deutschland
IEC 62443: internationale Normenreihe, Grundlage für Anforderungen an Betreiber, Integratoren und Hersteller
BSIG (NIS2-Umsetzung): verbindlich für erfasste Einrichtungen in Deutschland
Verordnung (EU) 2024/2847 (CRA): verbindlich für Hersteller von Produkten mit digitalen Elementen
BSI-Publikationen und IT-Grundschutz: nationale Empfehlungen und Methodik

Quellen

Dieser Beitrag dient der fachlichen Orientierung und ersetzt keine Rechtsberatung.

Häufige Fragen

Ist NIST SP 800-82 in Deutschland verpflichtend?

Nein. NIST SP 800-82 ist ein Leitfaden des US-amerikanischen National Institute of Standards and Technology. In Deutschland sind für erfasste Einrichtungen das BSIG und für Hersteller der CRA verbindlich. NIST kann als fachliche Orientierung bei der Umsetzung dienen.

Bis wann kann der Entwurf kommentiert werden?

Laut NIST läuft die Kommentierungsfrist für den öffentlichen Entwurf bis zum 30. November 2026. Kommentare werden per E-Mail mit der von NIST bereitgestellten Vorlage eingereicht.

Wie verhält sich NIST SP 800-82 zu IEC 62443?

Beide ergänzen sich. IEC 62443 liefert normative Anforderungen mit Rollen, Zonen und Security Levels. NIST SP 800-82 bietet einen breiten Leitfaden zu Architektur, Risiken und Maßnahmen und verweist selbst auf IEC 62443.