NIS-2 gilt seit Oktober 2024 und betrifft Tausende Unternehmen in Deutschland, die sich bis heute hauptsächlich auf IT-Sicherheitsmaßnahmen konzentrieren. Was dabei systematisch unterschätzt wird: der physische Zugang zu kritischer Infrastruktur.

Was NIS-2 von Unternehmen verlangt

Die NIS-2-Richtlinie verpflichtet Unternehmen in kritischen und wichtigen Sektoren zu einem umfassenden Risikomanagement. Das Spektrum der geforderten Maßnahmen reicht von Incident Response und Business Continuity über Lieferkettensicherheit bis zu physischer Sicherheit. Genau dieser letzte Punkt wird in der Praxis häufig als nachrangig behandelt.

Die Richtlinie formuliert es klar: Maßnahmen zur physischen Sicherheit und Sicherheit der Umgebung von Netz- und Informationssystemen sind Pflicht. Das umfasst ausdrücklich auch den Schutz vor unbefugtem physischem Zugang. Wer das als reine IT-Aufgabe versteht, hat die Anforderung nicht vollständig gelesen.

Das Problem hybrider IT- und OT-Umgebungen

In industriellen Umgebungen existieren zwei Welten nebeneinander: die IT-Welt mit Servern, Netzwerken und Anwendungen sowie die OT-Welt mit Steuerungssystemen, Maschinen und Produktionsanlagen. Beide waren lange getrennt. Heute sind sie es in den meisten Betrieben nicht mehr.

Die Vernetzung von IT und OT schafft neue Angriffsflächen. Ein Angreifer, der physisch an eine OT-Komponente gelangt, kann Schäden anrichten, die durch Firewalls und Netzwerksegmentierung nicht verhindert werden. Ein USB-Stick, der an einer Produktionssteuerung steckt. Eine manipulierte Komponente, die im Wartungsintervall eingebaut wird. Ein Wartungstechniker mit abgelaufener Berechtigung, dessen Ausweis noch funktioniert.

Diese Szenarien sind keine theoretischen Konstrukte. Sie entsprechen dem, was Sicherheitsbehörden als reale Bedrohungslage für industrielle Anlagen beschreiben.

Zutrittskontrolle als Teil der NIS-2-Compliance

Was bedeutet das konkret für die physische Zutrittskontrolle? NIS-2 verlangt keine spezifischen Produkte oder Normen, aber es verlangt nachweisbare Maßnahmen und ein dokumentiertes Risikoregister. Für Industriebetriebe heißt das: Wer sind die Personen, die Zugang zu sicherheitskritischen Bereichen haben? Wie werden Berechtigungen vergeben, geprüft und entzogen? Wie wird der Zugang protokolliert?

Ein System, das diese Fragen mit einem Aktenschrank und einem Schlüsselbund beantwortet, ist in den meisten Fällen nicht ausreichend. Elektronische Zutrittssysteme mit revisionssicherer Protokollierung, zeitlich begrenzten Berechtigungen und automatischer Deaktivierung nach Vertragsende sind die technische Antwort auf diese Anforderungen.

Besonders relevant ist das für Fremdfirmen. Wartungstechniker, Lieferanten, externe Dienstleister. Sie haben oft Zugang zu den sensibelsten Bereichen, und ihre Zugangsdaten werden selten so konsequent verwaltet wie die der eigenen Mitarbeiter. Das ist eine der häufigsten Schwachstellen in industriellen Zutrittssystemen.

Zonenkonzepte als Grundlage

Ein bewährter Ansatz für industrielle Objekte ist das Zonenmodell. Das Gelände wird in Zonen mit unterschiedlichen Sicherheitsstufen aufgeteilt: öffentlicher Bereich, allgemeiner Betriebsbereich, sicherheitskritischer Bereich, Hochsicherheitsbereich. Jede Zone hat ihre eigenen Zugangsvoraussetzungen, ihre eigene Protokollierungstiefe und ihre eigene Zutrittszeit-Beschränkung.

Dieses Modell ist kein NIS-2-Exklusivkonzept. Es ist gute Praxis in der industriellen Sicherheitstechnik, die durch NIS-2 nun regulatorisch eingefordert wird. Wer es bereits umgesetzt hat, ist gut aufgestellt. Wer es noch nicht hat, sollte es als Einstiegspunkt für die NIS-2-Compliance betrachten.

Die Schnittstelle zwischen physischem Zonenkonzept und digitaler Zugangsverwaltung ist dabei entscheidend: Berechtigungen müssen zentral verwaltet, automatisch synchronisiert und revisionssicher dokumentiert sein. Zettelwirtschaft und manuelle Listen erfüllen diese Anforderung nicht.

Was Industriebetriebe jetzt prüfen sollten

Eine ehrliche Bestandsaufnahme beginnt mit drei Fragen: Wer hat aktuell Zugang zu welchen Bereichen? Wie wird dieser Zugang protokolliert? Und wie wird er entzogen, wenn eine Berechtigung endet?

Wer diese Fragen nicht ohne Recherche beantworten kann, hat eine Lücke in seinem Sicherheitskonzept, die NIS-2 sichtbar macht. Die gute Nachricht: Diese Lücke lässt sich schließen. Die Anforderungen sind klar, die Technologie ist vorhanden, und der Aufwand ist überschaubar, wenn man strukturiert vorgeht.

Konntec plant Zutrittssysteme für industrielle Objekte auf Basis einer Objektanalyse und unterstützt bei der Dokumentation im Rahmen von Compliance-Anforderungen.

Quelle: PROTECTOR, Industriesicherheit: NIS-2 und Zutritt wirksam vereinen, protector.de, 02.09.2026