Die Umsetzung der EU-NIS2-Richtlinie in der Gebäude Automation (GA) markiert einen grundlegenden Wandel: Die Gebäudetechnik (TGA) wird nun regulatorisch wie eine IT-/OT-Infrastruktur  behandelt, da vernetzte Protokolle, IoT-Sensoren und Cloud-Dienste gesteuert werden.

1. Wer ist in der Gebäudeautomation betroffen?

• Direkte Betroffenheit: Ein Unternehmen aus einem der 18 kritischen Sektoren (z. B. Krankenhäuser, Energieversorger, Rechenzentren) betreibt eine GA-Anlage. Fällt das GA-System aus und gefährdet den Betrieb (z. B. Ausfall der Kühlung im Rechenzentrum oder der Lüftung im OP), greift die NIS2-Pflicht.
• Indirekte Betroffenheit (Lieferkette): Als Errichter, Planer, Wartungsdienstleister oder Vermieter von Immobilien (Facility/Property Management) ist man Teil der Lieferkette regulierter Unternehmen. Große Betreiber verpflichten ihre Dienstleister vertraglich dazu, die NIS2-Sicherheitsstandards in der Gebäudetechnik einzuhalten.

2. Technische Kernmaßnahmen in der Gebäudeautomation

• Sichere Protokolle (Verschlüsselung): Ablösung unverschlüsselter Alt-Protokolle. Der Fokus liegt auf dem Einsatz von cyber-sicheren Standards wie BACnet Secure Connect (BACnet/SC) oder KNX Secure auf Steuerungsebene.
• Netzwerksegmentierung (Zonierung nach IEC 62443): Strikte Trennung der Gebäudeautomation vom regulären Büro-IT-Netzwerk. Kritische Gewerke (z. B. Zutrittskontrolle, HLK, Stromversorgung) werden in logisch isolierte Segmente (VLANs) unterteilt.
• Sichere Fernwartung: Verbot von ungesicherten Port-Weiterleitungen. Wartungszugänge für Dienst-leister müssen über dedizierte, verschlüsselte VPN-Tunnel mit Multi-Faktor-Authentifizierung (MFA) und klar definierten Zugriffsrechten abgesichert sein.
• Härtung von Komponenten: Deaktivierung nicht benötigter Dienste und Ports an Controllern (DDCs), Routern und Gateways. Standardpasswörter müssen zwingend bei der Inbetriebnahme geändert werden.
• Angriffserkennung und Monitoring: Integration der Gebäudeleittechnik (GLT) in ein kontinuierliches Monitoring, beispielsweise über ein Security Operations Center (SOC), um anomales Verhalten (z. B. Sabotageversuche an Klimaanlagen) frühzeitig zu erkennen.

3. Organisatorische Maßnahmen & Pflichten

• Verantwortung der Geschäftsführung: Die Umsetzung ist eine persönliche Pflicht der Leitungsebene. Bei Missachtung drohen empfindliche Bußgelder und persönliche Haftung.
• Asset-Management (Inventarisierung): lückenlose Dokumentation aller im Gebäude verbauten IP-fähigen Steuerungen, Gateways und Software-Stände, um Schwachstellen überhaupt identifizieren zu können.
• Incident Management & Meldepflichten: Wenn ein Cyberangriff auf die Gebäudeautomation den Kernbetrieb stört, greifen strikte Fristen: Eine Erstmeldung (Frühwarnung) muss innerhalb von 24 Stunden an das BSI erfolgen.
• Patch- und Schwachstellenmanagement: Etablierung von Prozessen, um Sicherheitsupdates der GA-Hersteller (die wiederum durch den Cyber Resilience Act (CRA) zu sicheren Produkten verpflichtet sind) zeitnah einzuspielen.