Cybersicherheits-Regulierung für die Industrie 2026

Für Industrieunternehmen sind 2026 vor allem sieben Regelwerke relevant: NIS2 (Cybersicherheit für Betreiber), das KRITIS-Dachgesetz (physische Resilienz kritischer Anlagen), der Cyber Resilience Act (Produktsicherheit), DORA (Finanzsektor und dessen IT-Dienstleister), TISAX (Automobil-Lieferkette), die IEC 62443 (OT-/Anlagensicherheit) sowie ISO 27001 und der BSI IT-Grundschutz als Managementstandards. Welche gelten, hängt von Sektor, Größe, Produkten und Lieferkette ab.

Ja, das ist häufig der Fall. Ein Produktionsbetrieb kann etwa gleichzeitig unter NIS2 (als wichtige Einrichtung), unter das KRITIS-Dachgesetz (als Betreiber kritischer Anlagen) und unter den Cyber Resilience Act (als Hersteller vernetzter Produkte) fallen. Die Regelwerke überschneiden sich thematisch, haben aber unterschiedliche Adressaten und Nachweispflichten. Standards wie ISO 27001 und IEC 62443 helfen, die Anforderungen mehrerer Regelwerke gemeinsam abzudecken.

Eine EU-Verordnung (wie CRA oder DORA) gilt unmittelbar in allen Mitgliedstaaten, ohne dass ein nationales Gesetz nötig ist. Eine EU-Richtlinie (wie NIS2 oder die CER-Richtlinie) muss dagegen erst in nationales Recht umgesetzt werden – in Deutschland durch das NIS2-Umsetzungsgesetz bzw. das KRITIS-Dachgesetz. Das erklärt, warum bei Richtlinien nationale Fristen und Detailregelungen abweichen können.

Sinnvoll ist, zuerst die eigene Betroffenheit zu klären: Fällt das Unternehmen unter NIS2, unter das KRITIS-Dachgesetz oder unter beide? Anschließend hilft ein Informationssicherheits-Managementsystem nach ISO 27001 oder BSI IT-Grundschutz als gemeinsames Fundament, weil es die technischen und organisatorischen Anforderungen vieler Regelwerke abdeckt. Für vernetzte Produkte kommt der Cyber Resilience Act hinzu, im industriellen Anlagenbereich die IEC 62443.