Cybersicherheit und Compliance
NIS2 in der Fertigung: Was ERP, Schnittstellen und KI-Systeme jetzt leisten müssen
Kurz gesagt
NIS2 verpflichtet viele Fertigungsunternehmen zu Risikomanagement, Meldungen an das BSI und Sicherheit in der Lieferkette. Das ERP ist dabei ein zentrales Schutzobjekt, und jede KI-Anbindung erweitert die Angriffsfläche. Sauber umgesetzt kann eine lokale KI-Architektur die Anforderungen sogar erleichtern.
Die europäische NIS2-Richtlinie wird in Deutschland durch das NIS2-Umsetzungsgesetz in nationales Recht überführt und erweitert den Kreis der betroffenen Unternehmen deutlich. Neben klassischer kritischer Infrastruktur fallen auch viele Hersteller etwa von Maschinen, Elektronik und Fahrzeugen als wichtige oder besonders wichtige Einrichtungen darunter, abhängig von Größe und Branche.
Dieser Leitfaden gibt keine Rechtsberatung. Er zeigt aus Sicht der ERP- und KI-Architektur, wo die Anforderungen konkret werden, und was Sie vor einem KI-Projekt klären sollten. Prüfen Sie Ihre Betroffenheit und den aktuellen Gesetzesstand mit Ihrer Rechtsberatung und Informationssicherheit.
Betroffenheit und Kernpflichten
Ob Sie betroffen sind, hängt vom Sektor und von Größenschwellen ab, grob gesagt ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz in einem der erfassten Sektoren. Das Verarbeitende Gewerbe ist für bestimmte Güter wie Maschinenbau, Elektronik und Fahrzeugbau enthalten. Betroffene Unternehmen müssen sich beim BSI registrieren und die Geschäftsleitung trägt Verantwortung für Umsetzung und Überwachung.
Zu den Kernpflichten gehören Risikomanagementmaßnahmen, Vorfallbewältigung, Business-Continuity, Sicherheit in der Lieferkette, Zugriffskontrolle, Kryptografie und Schulung. Meldepflichtige Vorfälle sind in Stufen zu melden: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und ein Abschlussbericht nach einem Monat.
- Registrierung beim BSI und Verantwortung der Geschäftsleitung
- Risikomanagement, Zugriffskontrolle, Kryptografie, Backup und Wiederanlauf
- Meldefristen: 24 Stunden, 72 Stunden, Abschlussbericht nach einem Monat
- Sicherheit in der Lieferkette, auch bei Softwarelieferanten
Das ERP als Schutzobjekt
Das ERP enthält Stücklisten, Preise, Kundendaten, Bankverbindungen und steuert Produktion und Logistik. Ein Ausfall oder Datenabfluss trifft das Unternehmen unmittelbar. Prüfen Sie Patch-Stände von Datenbank, Betriebssystem und Anwendung, Rollen und Berechtigungen, Administratorkonten, Protokollierung und Backups mit getesteter Wiederherstellung.
Besonders kritisch sind Schnittstellen: Dienstkonten mit zu weitreichenden Rechten, Altsysteme ohne Updates, Fernwartungszugänge von Dienstleistern und die Verbindung zwischen ERP und Maschinen- oder MES-Ebene. Jede dieser Verbindungen sollte dokumentiert, minimal berechtigt und überwacht sein.
Was KI an der Angriffsfläche ändert
Eine KI-Anbindung ist eine neue Schnittstelle mit Lesezugriff auf sensible Daten. Risiken sind zu weit gefasste Rechte, abfließende Daten an externe Dienste, Prompt-Injection über Dokumente, in denen versteckte Anweisungen stehen, und unkontrollierte Schreibaktionen. Betrachten Sie das System wie jede andere Anwendung im Risikomanagement.
Gegenmaßnahmen sind konkret: lesende, minimal berechtigte Konten, Werkzeuge mit festen Abfragen statt freier Datenbankzugriffe, Trennung von Dokumentinhalt und Anweisung, Freigabe durch Menschen bei jeder Schreibaktion, vollständige Protokolle und ein Betrieb ohne externe Modellschnittstelle. Eine lokale Architektur reduziert zudem die Zahl der Drittanbieter in Ihrer Lieferkette.
Lieferkette und Nachweise
NIS2 verlangt, Risiken durch Lieferanten und Dienstleister zu bewerten. Für KI heißt das: Welche Modelle, Bibliotheken und Dienste kommen zum Einsatz, woher stammen sie, wie werden Updates geprüft? Offene Modelle mit festgelegten Versionen, eigenem Hosting und einer Liste der Komponenten erleichtern diese Dokumentation.
Halten Sie Nachweise bereit: Architekturübersicht, Datenflüsse, Rollenkonzept, Protokollkonzept, Notfallplan für den KI-Dienst und Ergebnisse von Tests. Netray hält keine Zertifizierungen für Sie vor; wir liefern die Dokumentation der technischen Umsetzung, die Sie in Ihr eigenes Managementsystem übernehmen können.
Vorgehen und ehrliche Einordnung
Sinnvolle Reihenfolge: Betroffenheit klären, ERP und Schnittstellen inventarisieren, Schutzbedarf der geplanten KI-Daten bestimmen, dann erst Architektur und Pilot festlegen. Die Sicherheit des ERP selbst ist eine eigene Aufgabe und Voraussetzung, kein Teil eines KI-Projekts.
Ehrlich: Ein KI-Projekt macht Ihr Unternehmen nicht NIS2-konform, und es kann bei schlechter Umsetzung zusätzliche Risiken schaffen. Wenn Patchmanagement, Berechtigungen und Backup noch Lücken haben, gehört deren Schließung vor die KI. Wir sagen das im Assessment deutlich.
Häufige Fragen
Ist mein Fertigungsunternehmen von NIS2 betroffen?
Das hängt von Sektor und Größe ab, grob ab 50 Beschäftigten oder 10 Millionen Euro Umsatz in einem erfassten Sektor. Bestimmte Hersteller etwa von Maschinen, Elektronik und Fahrzeugen sind eingeschlossen. Lassen Sie das rechtlich prüfen und den aktuellen Gesetzesstand berücksichtigen.
Welche Meldefristen gelten bei einem Sicherheitsvorfall?
Eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens nach einem Monat. Details und Zuständigkeit klären Sie mit Informationssicherheit und Rechtsberatung.
Erhöht eine KI-Anbindung ans ERP das Risiko?
Sie schafft eine zusätzliche Schnittstelle. Mit minimalen Leserechten, festen Abfragen, Protokollierung, Freigabe für Schreibaktionen und lokalem Betrieb lässt sich das Risiko gut beherrschen.
Hilft On-Premise-KI bei der Lieferkettensicherheit?
Ja, weil weniger externe Anbieter beteiligt sind und Sie Versionen von Modellen und Komponenten selbst festlegen. Die Bewertung der verbleibenden Komponenten bleibt Ihre Aufgabe.
Macht uns ein KI-Projekt NIS2-konform?
Nein. NIS2-Konformität betrifft das gesamte Unternehmen. Ein KI-Projekt muss sich in Ihr Sicherheitskonzept einfügen und darf es nicht schwächen.
Weitere Leitfäden
Souveräne KI on-premise: offene Modelle im eigenen Haus für Fertigungsunternehmen
Souveräne KI im eigenen Rechenzentrum: offene Modelle, GPU-Auslegung, DSGVO, Geheimschutz und Betrieb für Fertiger, die ERP-Daten nicht in die Cloud geben wollen.
Bestehendes ERP (abas, proALPHA, Infor, SAP)KI-Agenten auf dem bestehenden ERP: ohne Migration, mit Freigabe durch Menschen
KI-Agenten auf dem vorhandenen ERP statt Migration: Einkauf, Disposition, Qualität und Vertrieb unterstützen, mit Freigabe durch Menschen, On-Premise und DSGVO-konform.
APplus und PSIpentaKI für APplus und PSIpenta: Auskunft und Assistenz für die Auftragsfertigung
KI auf APplus und PSIpenta: Auftragsfertigung, Stücklisten, Arbeitspläne und Feinplanung abfragen, On-Premise und DSGVO-konform, mit ehrlichem Blick auf Grenzen.
ERP (abas, proALPHA, APplus, PSIpenta, Infor, SAP)E-Rechnungspflicht: XRechnung und ZUGFeRD aus dem ERP, und wo KI sinnvoll hilft
E-Rechnungspflicht in Deutschland: XRechnung und ZUGFeRD aus dem ERP erzeugen und empfangen, Fristen 2025 bis 2028, GoBD, Prüfung und KI auf Eingangsrechnungen.
SAP S/4HANAKI für SAP S/4HANA on-premise: Antworten aus Ihren Daten, ohne dass etwas das Haus verlässt
KI auf SAP S/4HANA im eigenen Rechenzentrum: lokale Sprachmodelle, Zugriff über CDS Views und OData, Berechtigungen bleiben erhalten, DSGVO-konform und ohne Cloud-Abfluss.
abas ERPKI für abas ERP: Aufträge, Stücklisten und Varianten in Klartext abfragen
KI für abas ERP im Mittelstand: Fragen an Aufträge, Stücklisten und Infosysteme in natürlicher Sprache, mit lokalem Sprachmodell und ohne Daten an externe Dienste.
KI für Ihr ERP, sinnvoll eingesetzt
Buchen Sie ein kostenloses ERP-KI-Assessment. Wir klären Datenweg, Modell und Betriebsort und sagen Ihnen ehrlich, wenn KI nicht das richtige Werkzeug ist.
Kostenloses Assessment buchen