Prüfcheckliste
Prüfcheckliste OT Security & NIS2 für Produktionsunternehmen
Was muss ein Produktionsunternehmen für NIS2 und OT Security prüfen?
Sieben Prüfbereiche: Betroffenheit und Registrierung, Geschäftsleitung, Geltungsbereich und OT-Inventar, Segmentierung und Fernwartung, Meldeprozess, Recovery Readiness sowie Lieferkette und CRA. Zu jeder Frage ist der Nachweis angegeben, den eine Prüfung typischerweise erwartet. Drucken Sie die Liste oder speichern Sie sie als PDF.
Fachlicher Stand:
1. Betroffenheit und Registrierung
Bezug: §§ 28, 33 BSIG| Erledigt | Prüffrage | Erwarteter Nachweis |
|---|---|---|
| Ist dokumentiert, welche Tätigkeit welcher Einrichtungsart in Anlage 1 oder 2 BSIG zugeordnet wurde – oder warum keine Zuordnung besteht? | Einstufungsvermerk mit Begründung | |
| Wurden Beschäftigte, Umsatz und Bilanzsumme einschließlich Partner- und verbundener Unternehmen ermittelt? | Berechnung nach KMU-Empfehlung 2003/361/EG | |
| Wurden Sonderregeln und Ausnahmen geprüft? | Prüfvermerk, ggf. rechtliche Einschätzung | |
| Ist die Registrierung beim BSI erfolgt bzw. ein Auslöser für spätere Betroffenheit (Wachstum, Zukauf, neue Tätigkeit) definiert? | Registrierungsbestätigung, Prozess zur Neubewertung |
2. Geschäftsleitung und Verantwortlichkeiten
Bezug: § 38 BSIG| Erledigt | Prüffrage | Erwarteter Nachweis |
|---|---|---|
| Hat die Geschäftsleitung die Risikomanagementmaßnahmen gebilligt? | Beschluss oder Freigabevermerk | |
| Wird die Umsetzung regelmäßig an die Geschäftsleitung berichtet? | Berichtsturnus, Protokolle | |
| Haben die Mitglieder der Geschäftsleitung an Schulungen teilgenommen? | Teilnahmenachweise | |
| Sind Verantwortliche für OT-Sicherheit benannt und mit IT und Produktion abgestimmt? | Rollen- und Verantwortungsmatrix |
3. Geltungsbereich und OT-Inventar
Bezug: § 30 BSIG| Erledigt | Prüffrage | Erwarteter Nachweis |
|---|---|---|
| Ist festgelegt, welche Anlagen und OT-Netze für die erfassten Dienste und Prozesse relevant sind? | Scope-Dokument mit Begründung | |
| Gibt es ein aktuelles Inventar von Steuerungen, HMIs, Engineering-Stationen und Netzübergängen? | Asset-Inventar mit Pflegeprozess | |
| Sind Kommunikationsbeziehungen zwischen IT, OT und extern dokumentiert? | Netzplan, Kommunikationsmatrix |
4. Segmentierung und Fernwartung
| Erledigt | Prüffrage | Erwarteter Nachweis |
|---|---|---|
| Sind IT und OT durch kontrollierte Übergänge (z. B. DMZ) getrennt? | Zonen- und Conduit-Modell, Firewall-Regelwerk | |
| Laufen alle Fernzugriffe über einen zentralen, freigabepflichtigen Zugangsweg? | Fernwartungskonzept | |
| Nutzen Dienstleister personalisierte Konten mit MFA – oder sind Ausnahmen begründet dokumentiert? | Berechtigungsliste, Ausnahmeregister | |
| Werden Sitzungen protokolliert und Berechtigungen regelmäßig überprüft? | Protokolle, Rezertifizierungsnachweis |
5. Vorfallbewältigung und Meldeprozess
Bezug: § 32 BSIG| Erledigt | Prüffrage | Erwarteter Nachweis |
|---|---|---|
| Gibt es Kriterien, um einen OT-Vorfall als erheblichen Sicherheitsvorfall einzustufen? | Bewertungsleitfaden | |
| Sind Melderollen, Eskalationswege und Vertretungen – auch außerhalb der Bürozeiten – festgelegt? | Melde- und Eskalationsprozess | |
| Sind die für Erstmeldung und 72-Stunden-Meldung benötigten Angaben vorbereitet? | Meldevorlage | |
| Wurde der Prozess geübt? | Übungsprotokoll mit Lessons Learned |
6. Recovery Readiness
Bezug: § 30 BSIG (Business Continuity)| Erledigt | Prüffrage | Erwarteter Nachweis |
|---|---|---|
| Liegen aktuelle Sicherungen von SPS-Programmen, Konfigurationen und Projektdaten vor? | Sicherungsplan, Abgleich laufender Stände | |
| Sind Sicherungen offline oder unveränderbar und auf Integrität prüfbar? | Sicherungskonzept | |
| Sind Abhängigkeiten von Lizenzen, Engineering-Software und Herstellern bekannt? | Abhängigkeitsliste | |
| Gibt es eine abgestimmte Wiederanlaufreihenfolge mit Abnahmekriterien – und wurde sie getestet? | Wiederanlaufplan, Testprotokoll |
7. Lieferkette und Cyber Resilience Act
| Erledigt | Prüffrage | Erwarteter Nachweis |
|---|---|---|
| Sind Sicherheitsanforderungen an Anlagenhersteller und Integratoren vertraglich festgelegt? | Vertragsklauseln, Lieferantenanforderungen | |
| Sind Unterstützungszeiträume und Update-Bereitstellung der eingesetzten Produkte bekannt? | Herstellerangaben | |
| Falls Sie selbst Produkte mit digitalen Elementen herstellen: Ist ein Prozess für CRA-Meldungen aktiv ausgenutzter Schwachstellen eingerichtet? | Schwachstellen- und Meldeprozess | |
| Ist die Vorbereitung auf die übrigen CRA-Pflichten ab 11. Dezember 2027 geplant? | CRA-Gap-Analyse, Maßnahmenplan |
Quellen
- § 28 BSIG – Besonders wichtige und wichtige Einrichtungen
- § 30 BSIG – Risikomanagementmaßnahmen
- § 32 BSIG – Meldepflichten
- § 33 BSIG – Registrierungspflicht
- § 38 BSIG – Billigungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen
- Empfehlung 2003/361/EG – Definition von KMU (Partner- und verbundene Unternehmen)
- Verordnung (EU) 2024/2847 (Cyber Resilience Act) – EUR-Lex
Stand: 21. Oktober 2026. Fachliche Orientierung, keine Rechtsberatung.