Lösungen · Industrie und Maschinenbau
Im Maschinenbau kommen die Anforderungen meist vom Kunden: ein Qualitätsmanagement nach ISO 9001, ein Fragebogen zur Informationssicherheit, eine Klausel im Rahmenvertrag. Dazu kommt NIS2 für mittlere und große Hersteller. Sightadel ordnet das in einer Plattform, verteilt die Aufgaben auf Qualität, IT und Produktion und hält fest, was belegt ist.
Ausgangslage
Viele mittelständische Hersteller haben seit Jahren ein Zertifikat nach ISO 9001. Das Qualitätsmanagement ist eingespielt, das Handbuch gepflegt, das Überwachungsaudit Routine. Informationssicherheit lief dagegen lange nebenher. Die IT-Abteilung kümmert sich um Firewall, Datensicherung und Benutzerkonten, die Produktion um ihre Steuerungen. Einen gemeinsamen Überblick gibt es selten.
Das ändert sich gerade aus drei Richtungen. Große Kunden, vor allem aus der Automobilindustrie, verlangen von ihren Zulieferern Nachweise zur Informationssicherheit und schicken umfangreiche Fragebögen. Das NIS2-Umsetzungsgesetz erfasst seit Dezember 2025 auch Hersteller von Maschinen, Fahrzeugteilen und Elektronik ab mittlerer Größe. Und mit dem Cyber Resilience Act kommen Pflichten für Produkte mit digitalen Elementen hinzu, also für vernetzte Maschinen und ihre Software.
Die gute Nachricht: Ein Unternehmen mit gelebtem Qualitätsmanagement hat die Grundlagen schon. Dokumentenlenkung, internes Audit, Managementbewertung und Korrekturmaßnahmen funktionieren nach demselben Muster auch für Informationssicherheit. Wer beides in einem System führt, pflegt diese Abläufe nur einmal.
Warum jetzt
Ein OEM oder großer Zulieferer schickt einen Fragebogen zur Informationssicherheit oder verlangt ein Assessment nach einem Branchenstandard. Die Antworten müssen belegbar sein, und der Termin steht meist schon fest.
Maschinenbau, Fahrzeugbau und Elektronik gehören zum verarbeitenden Gewerbe in Anlage 2 des BSI-Gesetzes. Ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme sind Hersteller in der Regel wichtige Einrichtungen. Registrierung, Risikomanagement und Meldepflichten folgen daraus.
Schadsoftware legt Konstruktionsrechner oder Leitstand still, die Fertigung steht. Danach fragen Versicherung, Kunden und Geschäftsleitung, welche Maßnahmen bestanden und warum Büro- und Produktionsnetz nicht getrennt waren.
Im September 2026 ist eine neue Fassung der ISO 9001 erschienen. Für zertifizierte Unternehmen läuft eine Übergangsfrist. Das ist ein guter Zeitpunkt, das Qualitätsmanagement zu entrümpeln und Informationssicherheit gleich mit aufzunehmen.
Maschinen mit Fernwartung, Apps oder Cloud-Anbindung gelten als Produkte mit digitalen Elementen. Der Cyber Resilience Act stellt an deren Hersteller eigene Anforderungen. Die ersten Meldepflichten gelten bereits.
Käufer und Banken prüfen bei Familienunternehmen inzwischen auch Informationssicherheit und Lieferkettenrisiken. Ein geordneter Nachweisstand vermeidet Rückfragen und Abschläge.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Gesetzlich nicht vorgeschrieben, in der Industrie aber meist Voraussetzung für Rahmenverträge und Lieferantenfreigaben. Die neue Fassung von 2026 behält die gewohnte Struktur bei. Bestehende Zertifikate bleiben während der Übergangsfrist gültig, die Umstellung erfolgt im Rahmen eines Audits der Zertifizierungsstelle.
Zum Framework →Das international anerkannte Zertifikat für Informationssicherheit. Viele Kunden akzeptieren es als Nachweis oder als Grundlage. Branchenspezifische Assessments, wie sie Automobilhersteller von Zulieferern verlangen, bauen inhaltlich auf ISO 27001 auf. Ein ISMS nach ISO 27001 schafft dafür eine solide Basis, ersetzt ein solches Assessment aber nicht.
Zum Framework →Hersteller von Maschinen, Fahrzeugen, Fahrzeugteilen, elektrischen Ausrüstungen und Elektronik sind in Anlage 2 des BSIG genannt. Ab mittlerer Unternehmensgröße gelten sie als wichtige Einrichtung. Entscheidend ist die tatsächliche Tätigkeit, nicht der Eintrag im Handelsregister. Kleinere Hersteller erreichen die Anforderungen oft trotzdem, weil betroffene Kunden ihre Lieferkette bewerten müssen.
Zum Framework →Gilt für jedes Unternehmen, auch wenn der Schwerpunkt auf technischen Daten liegt. Personaldaten, Kundenkontakte, Zugangskontrolle und Videoüberwachung im Werk sind die typischen Themen. Die technischen Maßnahmen lassen sich mit denselben Belegen nachweisen wie im ISMS.
Zum Framework →Für Hersteller mit Kunden oder Muttergesellschaft in den USA eine verbreitete Sprache, um den Reifegrad der Cybersicherheit darzustellen. Kein Zertifikat, aber ein nützlicher Rahmen für die Berichterstattung an die Geschäftsleitung.
Zum Framework →Empfohlene Reihenfolge
Zuerst prüfen Sie, ob Ihr Unternehmen nach Tätigkeit und Größe unter NIS2 fällt. Parallel sammeln Sie, was Ihre wichtigsten Kunden vertraglich verlangen. Daraus ergibt sich, welches Ziel zuerst kommt und bis wann.
Standorte, Werke, Produktionsnetze, Konstruktion, Vertrieb und Service: Was gehört in den Geltungsbereich des ISMS? Bei bestehendem Qualitätsmanagement übernehmen Sie Kontext, interessierte Parteien und Prozesslandkarte und ergänzen die Sicht der Informationssicherheit.
Server, Arbeitsplätze und Cloud-Dienste kennt die IT. Steuerungen, Bedienrechner, Fernwartungszugänge und ältere Systeme ohne Updates kennt oft nur die Produktion. Beide Listen gehören zusammen, sonst bleibt die größte Angriffsfläche unbewertet.
Die Prüfpunkte werden beantwortet und mit Belegen versehen. Offene Punkte werden zu Maßnahmen mit Frist und Verantwortlichen. Typische Brocken sind Netztrennung, Fernwartung, Wiederherstellungstests und die Bewertung der Lieferanten.
Internes Audit und Managementbewertung legen Sie mit dem Qualitätsmanagement zusammen. Unter NIS2 beschließt die Geschäftsleitung zusätzlich mit Datum die Umsetzung der Maßnahmen, überwacht sie und lässt sich schulen.
Das Zertifizierungsaudit übernimmt eine akkreditierte Stelle Ihrer Wahl. Danach laufen Überwachungsaudits, Schulungen und Tests als wiederkehrende Zyklen, damit der Stand beim nächsten Kundenfragebogen noch stimmt.
Schwerpunkt
Drei Themen unterscheiden den Maschinenbau von anderen Branchen. Sie verdienen von Anfang an einen eigenen Platz im System.
Steuerungen und Bedienrechner laufen oft viele Jahre, manche mit Betriebssystemen ohne Herstellerunterstützung. Austauschen ist selten sofort möglich. Ein ISMS verlangt dann keinen Neukauf, sondern eine bewusste Bewertung: Netztrennung, eingeschränkte Zugänge, dokumentierte Ausnahmen mit Begründung und Ablaufdatum.
Viele Anlagen werden aus der Ferne gewartet, vom eigenen Service oder vom Lieferanten einer Komponente. Wer darf wann zugreifen, wie wird der Zugang freigegeben und protokolliert? Diese Fragen stehen in fast jedem Kundenfragebogen und in den Maßnahmen nach NIS2.
Sie bewerten Ihre eigenen Lieferanten, etwa für Software, Cloud-Dienste, Elektronikkomponenten und Lohnfertigung. Gleichzeitig bewerten Ihre Kunden Sie. Ein gepflegtes Lieferantenverzeichnis und ein Trust Center beantworten beide Seiten mit denselben Daten.
Die Verordnung (EU) 2024/2847 betrifft Hersteller von Produkten mit digitalen Elementen. Seit dem 11. September 2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die meisten übrigen Pflichten ab dem 11. Dezember 2027. Sightadel enthält dafür kein eigenes Modul. Die Anforderungen lassen sich aber als eigenes Framework abbilden, und vieles aus dem ISMS trägt dorthin, etwa Schwachstellenmanagement und Meldewege.
So hilft Sightadel
ISO 9001, ISO 27001 und NIS2 werden Prüfpunkt für Prüfpunkt durchgearbeitet. Wo sich Anforderungen gleichen, etwa bei Dokumentenlenkung, internem Audit und Managementbewertung, gilt ein Beleg für mehrere Frameworks.
Mehr erfahren →Lücken werden zu Aufgaben mit Frist und Verantwortlichen. Qualität, IT und Produktion sehen ihren Teil. Externe Dienstleister, etwa der Betreuer der Produktionsnetze, arbeiten als Contributor direkt mit.
Mehr erfahren →Software-Lieferanten, Cloud-Dienste, Lohnfertiger und Fernwartungspartner werden mit Kritikalität, Fragebogen und Nachweisen samt Gültigkeitsdatum geführt. Abgelaufene Zertifikate fallen auf, bevor der Kunde danach fragt.
Mehr erfahren →Ihre Kunden sehen Zertifikate, freigegebene Richtlinien und Sicherheitsmaßnahmen auf einer eigenen Seite. Viele Fragen aus Lieferantenfragebögen sind damit beantwortet, bevor sie gestellt werden.
Mehr erfahren →Kundenspezifische Anforderungskataloge, interne Werksnormen oder die Anforderungen des Cyber Resilience Act bilden Sie als eigenes Framework ab, auch per Import aus Excel oder Word.
Mehr erfahren →Sightadel prüft die von außen sichtbare Angriffsfläche Ihrer Domains, etwa Website, Mailserver und Kundenportal. Was jeder Angreifer sieht, sehen Sie zuerst.
Mehr erfahren →Blick von außen
Fragebögen von OEMs fragen immer häufiger nach Schwachstellenscans und dem Umgang mit Befunden. Gemeinsam mit veyrisk prüfen wir Ihre von außen erreichbaren Systeme, etwa Fernwartungszugänge, VPN und Kundenportale. Die Ergebnisse legen Sie als Nachweis in Sightadel ab und beantworten damit die passenden Fragen im Fragebogen.
Mittelständische Hersteller mit Fernwartung, Kundenportalen oder NIS2-Pflichten
Für die Trennung von Büro- und Produktionsnetz bieten wir zusätzlich Hardware-Firewalls von Valar an. Was passt, klären wir in einem kurzen Gespräch.
Beratung anfragenAufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss haben die Zahl der Standorte, der Zustand der Produktionsnetze und wie viel Zeit IT und Produktion neben dem Tagesgeschäft aufbringen.
Was Sie lizenzieren · typisch Professional
Ein typischer Mittelständler führt ISO 9001 und ISO 27001 gemeinsam in der Edition Professional. Sie umfasst zehn Nutzer, 25 Lieferanten und drei eigene Frameworks, genug für Qualität, IT, Produktion und einen Kundenkatalog. ISO 9001 und ISO 27001 selbst bleiben beim Listenpreis. Kommt bei Bedarf NIS2 hinzu, gibt es darauf einen dauerhaften Nachlass.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Fragen und Antworten
Mehr im FAQ oder direkt über unser Kontaktformular.
Nein. Sightadel führt keine Branchen-Assessments der Automobilindustrie durch und bereitet nicht gezielt darauf vor. Ein ISMS nach ISO 27001 deckt aber viele der Themen ab, die solche Assessments abfragen, und schafft damit eine gute Grundlage. Welche Prüfung Ihr Kunde konkret verlangt, klären Sie direkt mit ihm.
Nein. Beide Normen teilen die Grundstruktur. Kontext, Leitung, Dokumentenlenkung, internes Audit, Managementbewertung und Verbesserung führen Sie gemeinsam. In Sightadel hängt ein Nachweis an beiden Frameworks. Neu hinzu kommen vor allem Risikoanalyse zur Informationssicherheit und die Maßnahmen aus Anhang A.
Wenn Sie Maschinen, Fahrzeuge, Fahrzeugteile, elektrische Ausrüstungen oder Elektronik herstellen und mindestens 50 Beschäftigte oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme haben, spricht viel dafür. Sie wären dann eine wichtige Einrichtung. Bei Unternehmensgruppen und mehreren Tätigkeiten wird es kleinteilig. Die abschließende Einordnung ist eine Rechtsfrage für Ihre Beratung.
Ehrlich dokumentieren. Kein Regelwerk verlangt, funktionierende Anlagen sofort zu ersetzen. Erwartet wird, dass Sie das Risiko kennen, bewerten und begrenzen, etwa durch Netztrennung und eingeschränkte Zugänge. In Sightadel halten Sie solche Ausnahmen mit Begründung, Verantwortlichem und Ablaufdatum fest.
Ihr Zertifikat bleibt während der Übergangsfrist gültig. Die Umstellung prüft Ihre Zertifizierungsstelle, meist zusammen mit einem Überwachungs- oder Rezertifizierungsaudit. Die genauen Termine stimmen Sie mit ihr ab. Es lohnt sich, nicht bis zum letzten Jahr zu warten, weil die Auditkapazitäten dann knapp werden.
Nein, derzeit nicht. Sie können die Anforderungen als eigenes Framework anlegen und mit Prüfpunkten, Verantwortlichen und Nachweisen arbeiten wie bei jedem anderen Regelwerk. Ob und wie Ihre Produkte unter die Verordnung fallen, klären Sie mit Ihrer Rechtsberatung.
Ja. Sightadel kennt sechs Rollen. Mitarbeitende aus der Produktion oder ein Dienstleister für die Produktionsnetze arbeiten als Contributor an ihren Aufgaben, die Geschäftsleitung schaut als Viewer zu, und Ihr Auditor erhält einen eigenen Zugang ohne Löschrecht. Das Aktivitätsprotokoll zeigt, wer was wann erledigt hat.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
