Warum OT Security 2026 zur Chefsache wird

OT Security war lange ein Thema für Werk-IT, Automatisierung und externe Integratoren. 2026 ist das nicht mehr ausreichend. IT/OT-Konvergenz, verschärfte Regulierung und reale Betriebsvorfälle verschieben OT Security auf die Tagesordnung von Geschäftsführung und Aufsicht — nicht als Technikdetail, sondern als Unternehmens- und Haftungsfrage.

Marktperspektive und Einordnung:

• OT Security in 2026 (Nomios)

Dieser Artikel erklärt, warum OT Security 2026 Chefsache wird, welche Prioritäten Vorstände setzen sollten und wie sich NIS2, CRA und Betriebsrealität zusammenfügen. Für das operative Lagebild siehe OT Security: Lagebild in Industrie und KRITIS.

Warum 2026 der Wendepunkt ist

Drei Kräfte wirken gleichzeitig — und treffen besonders produzierende und versorgende Unternehmen:

1. IT/OT-Konvergenz: Cloud-Anbindungen, Remote-Wartung, MES/ERP-Schnittstellen und vernetzte Maschinen verschwimmen die Grenze zwischen Büro-IT und Produktion.
2. Regulatorischer Druck: NIS2 verpflichtet Geschäftsführungen; der CRA verlängert Produktsicherheit über den Lebenszyklus.
3. Bedrohungsrealität: Angriffe auf industrielle Umgebungen sind kein theoretisches Szenario mehr — sie treffen Verfügbarkeit und physische Prozesse direkt.

Unternehmen, die OT Security delegieren, ohne Eskalationswege und Entscheidungskompetenz zu klären, riskieren langsame Reaktion und persönliche Haftung.

IT/OT-Konvergenz: Die Risikogrenze verschwindet

Früher war OT oft physisch getrennt. Heute ist die Grenze durchlässig:

• Fernwartung über VPN oder Cloud-Gateways,
• Anbindung von Anlagen an ERP, MES und BI,
• Standard-IT-Komponenten (Windows, Linux, Switches) in Produktionsnetzen,
• Dienstleister mit dauerhaftem Zugriff aus dem Internet.

Das erzeugt geteilte Angriffsflächen: Ein kompromittiertes Office-System kann — über schlecht segmentierte Conduits — OT erreichen. Umgekehrt kann ein OT-Vorfall Compliance-, Melde- und Reputationspflichten für die gesamte Organisation auslösen.

Führungsteams sollten deshalb nicht fragen „Ist unsere IT sicher?“, sondern: Wo fließen Daten und Zugriffe zwischen IT und OT — und wer entscheidet über Risiko-Trade-offs dort?

NIS2: Geschäftsführungshaftung wird konkret

NIS2 ist für viele Betreiber in Energie, Transport, Fertigung und digitaler Infrastruktur unmittelbar relevant. Der Wendepunkt für die Chefsache:

• Geschäftsführung muss Risikomanagement-Maßnahmen genehmigen und deren Wirksamkeit überwachen.
• Schulung der Leitungsebene ist Pflicht — nicht optional.
• Meldewege für schwere Vorfälle müssen funktionieren — auch wenn der Auslöser in OT liegt.

Das verändert Gespräche im Vorstand: OT Security ist kein „CapEx-Thema für das Werk“, sondern Teil der organisatorischen Resilienz mit persönlicher Verantwortung. Vertiefung zur Governance-Perspektive: Cybersecurity Governance 2026: Vorstände in der Verantwortung.

Registrierung und Nachweispflichten — siehe auch NIS2-Registrierung beim BSI — machen Lücken sichtbar, die früher intern verschleppt werden konnten.

CRA: Produktlebenszyklus verlängert die Verantwortung

Der Cyber Resilience Act betrifft digitale Produkte mit Netzwerkanbindung — also auch viele industrielle Komponenten, Gateways und Maschinensteuerungen. Für Vorstände relevant:

• Hersteller haften für Schwachstellenmanagement und Updates über Jahre.
• Betreiber erben Lieferkettenrisiko: Ein unsicherer Lieferant wird zum eigenen Compliance-Problem.
• Sicherheitsnachweise (SBOM, Meldefristen) werden vertragliche und audit-relevante Pflicht.

OT Security 2026 ist damit Product Security plus Betriebssicherheit. Wer nur intern segmentiert, aber unsichere Komponenten einkauft, untergräbt das Gesamtprogramm.

Die drei operativen Prioritäten mit Vorstandsrelevanz

Nomios und vergleichbare Marktanalysen für 2026 nennen wiederkehrend dieselben Baustellen. Diese drei haben die höchste Führungsrelevanz, weil Fortschritt messbar und Risiko spürbar reduziert wird:

1. Sichtbarkeit (Asset-Transparenz)

Was ist in OT wirklich im Einsatz — PLCs, HMIs, Gateways, Fernwartungsaccounts? Ohne Inventar keine Priorisierung, keine Segmentierung, kein belastbares Lagebild für den Vorstand.

2. Segmentierung (Zonen und Conduits)

Netztrennung nach IEC-62443-Logik — nicht nur VLAN-Kosmetik. Jeder Vorstand sollte wissen, ob kritische Produktionszonen von Office-IT und Internet getrennt sind.

3. Kontrollierter Fernzugriff

Remote-Wartung ist unverzichtbar, aber der häufigste Angriffsweg. Entscheidungen braucht die Führungsebene: Wer darf wann zugreifen? Wie werden Dienstleister-Zugänge abgeschaltet? Gibt es Session-Recording und Freigaben?

Optional: 90-Tage-Führungsagenda für OT Security

Tage 1–30: OT-Lagebild erstellen — Top-10-Risikoassets, Fernzugriffe, kritische Zonen.

Tage 31–60: Segmentierungs- und Fernzugriffs-Roadmap mit Budget und Wartungsfenstern abstimmen.

Tage 61–90: Erste Maßnahmen umsetzen, Melde- und Eskalationswege mit NIS2-Pflichten testen.

Board Accountability: Was Vorstände monatlich sehen sollten

Vorstände müssen OT nicht selbst konfigurieren. Sie müssen aber steuern können. Ein monatliches Kurzformat reicht:

1. Top-Risiken: Welche OT-Assets haben kein angemessenes Schutzniveau?
2. Offene Fernzugriffe: Wie viele externe Zugänge sind aktiv — und wer genehmigt sie?
3. Segmentierungslücken: Wo ist IT/OT faktisch nicht getrennt?
4. Vorfälle und Beinahe-Vorfälle: Was ist passiert — und welche Maßnahmen laufen?
5. Regulatorischer Status: NIS2-Nachweise, CRA-Lieferanten, Audit-Termine.

Technische Teams liefern Daten; die Führungsebene entscheidet über Risikoakzeptanz, Budget und Priorität. Das entspricht dem Modell aus Cybersecurity Governance 2026 — angewendet auf OT.

Typische Fehler auf Führungsebene

Fehler 1: OT an „das Werk“ delegieren ohne Mandat

Betriebsleiter priorisieren Verfügbarkeit — zu Recht. Ohne klares Security-Mandat und Budget verlieren OT-Maßnahmen gegen Produktionsdruck.

Fehler 2: IT-Programme 1:1 auf OT übertragen

Patch-Policy, Endpoint-Schutz und Identity-Modelle aus Office-IT passen oft nicht in OT-Wartungsfenster. Führung muss OT-spezifische Programme erlauben — strukturiert z. B. nach IEC 62443.

Fehler 3: Investition ohne Messgrößen

Budget für Tools, aber keine KPIs für Segmentierung, Fernzugriff oder Time-to-Detect in OT. Vorstände sehen Ausgaben, nicht Risikoreduktion.

Fehler 4: Krisenübungen nur für IT

Tabletop-Übungen ohne OT-Beteiligung erzeugen falsche Sicherheit. NIS2-Meldeszenarien aus OT-Anlagen erfordern andere Eskalationsketten als Office-Ransomware.

Lieferkette und Dienstleister: unsichtbares Vorstandsrisko

Viele OT-Vorfälle starten nicht im eigenen Rechenzentrum, sondern über Integratoren, Maschinenbauer oder Fernwartungsdienstleister. Verträge regeln oft Wartungsfenster und Verfügbarkeit — selten aber Mindestanforderungen an Zugriffskontrolle, Logging oder Abschaltung nach Projektende.

Für die Geschäftsführung bedeutet das:

• Due Diligence bei OT-Partnern wird Teil des Risikoregisters — vergleichbar mit Cloud- und IT-Outsourcing unter NIS2.
• Vertragsklauseln zu Fernzugriff, Patch-Pflichten und Meldefristen müssen mit CRA- und NIS2-Erwartungen harmonieren.
• Exit-Szenarien (Projektende, Lieferantenwechsel) brauchen definierte Offboarding-Prozesse für OT-Zugänge.

Wer Dienstleister-Zugriffe nicht auf Vorstandsebene als Risiko führt, unterschätzt die häufigste Einfallstür in industrielle Netze.

Was das für Personal und Organisation bedeutet

Chefsache heißt nicht, dass der Vorstand OT-Security-Engineers einstellt. Es heißt:

• Rollen und Entscheidungswege zwischen IT, OT, Betrieb und Security sind benannt.
• Budget und Wartungsfenster für OT-Maßnahmen sind verhandelt — nicht „Restbudget“.
• Hybridprofile (OT-Nähe plus Security plus Governance) werden gezielt gesucht — der Markt ist eng, siehe OT Security Lagebild.

Verwandte Vertiefungen

• Cybersecurity Governance 2026: Warum Vorstände jetzt in der Verantwortung stehen
• OT Security: Lagebild, Risiken und Recruiting-Realität in Industrie und KRITIS
• NIS2 in Unternehmen: Bin ich betroffen und was ist genau zu tun?

Fazit

OT Security 2026 ist Chefsache, weil Regulierung, IT/OT-Konvergenz und Betriebsrisiko zusammenfallen. NIS2 macht Führungshaftung greifbar, der CRA verlängert Verantwortung über Produkte und Lieferketten, und die operativen Prioritäten — Sichtbarkeit, Segmentierung, Fernzugriff — sind ohne Vorstandsbudget und -priorität nicht skalierbar.

Wer OT Security als Werkthema behandelt, unterschätzt Haftung und Betriebsfolgen. Wer sie als Führungsthema strukturiert, gewinnt messbare Resilienz — und belastbare Nachweise gegenüber Aufsicht und Kunden.