Wo steht die OT-Sicherheit aktuell wirklich?

Ein neuer Report von Fortinet liefert auf den ersten Blick eine schlechte Nachricht für die Industrie. Der Anteil der Unternehmen, die ihre OT-Sicherheit auf der höchsten Reifestufe verorten, ist binnen eines Jahres von 49 auf 17 Prozent gefallen.

Fortinet selbst ordnet diesen Wert allerdings nicht als Rückschritt ein. Im Report heißt es dazu, dieser Befund sei „als Korrektur zu werten, nicht als Rückschritt“. Viele Firmen hätten schlicht zum ersten Mal einen belastbaren Blick auf ihre eigenen Produktionsnetze bekommen.

Für den State of Operational Technology and Cybersecurity Report 2026 hat Fortinet weltweit mehr als 700 Fachleute aus dem OT-Umfeld befragt. Die Studie erscheint in einer Phase, in der sich der regulatorische Druck in Europa spürbar verschärft. Seit Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz ohne jede Übergangsfrist. Im September 2026 kommen mit dem EU Cyber Resilience Act die ersten verbindlichen Meldepflichten für Hersteller vernetzter Produkte hinzu.

Warum sinkende Reifegrade als Fortschritt gelten

Fortinet misst die Reife von OT-Sicherheitsprogrammen anhand eines fünfstufigen Modells. Es reicht von Level 0 mit unstrukturierten und undokumentierten Prozessen bis zu Level 4 mit einer vollständig optimierten und automatisierten Sicherheitsarchitektur. Im aktuellen Report verschieben sich die Werte deutlich in Richtung der unteren Stufen. Level 0 stieg von 1 auf 5 Prozent, Level 1 von 5 auf 17 Prozent, Level 2 von 13 auf 27 Prozent.

Als Ursache nennt Fortinet nicht eine tatsächlich schlechtere Sicherheitslage, sondern eine ehrlichere Selbsteinschätzung. Mehr gemeinsame IT- und OT-Sicherheitsteams, gestiegene Budgets und der Einsatz spezialisierter OT-Sicherheitslösungen hätten Unternehmen erstmals einen realistischen Blick auf tatsächlich vorhandene Lücken ermöglicht. Der Report formuliert es so: „Eine realistische Selbsteinschätzung ist die unabdingbare Voraussetzung für jede nachhaltige Verbesserung.“

Auch bei der organisatorischen Zuständigkeit zeigt sich eine klare Entwicklung. 81 Prozent der Befragten wollen OT-Cybersecurity innerhalb der nächsten zwölf Monate in die Verantwortung des CISO überführen. Dieser Anteil wächst laut Report bereits im fünften Jahr in Folge. OT-Sicherheit wird damit zunehmend zur Aufgabe der Unternehmensführung statt allein der Produktionsverantwortlichen.

Mehr Transparenz, aber weiterhin blinde Flecken

Bei der Netzwerktransparenz meldet der Report echte Fortschritte. 14 Prozent der Unternehmen geben an, vollständige Sichtbarkeit über ihre OT-Umgebungen zu haben. Im Vorjahr traf das nur auf 5 Prozent zu. Zugleich berichten 23 Prozent der Befragten, dass sie lediglich die Hälfte ihrer eigenen OT-Infrastruktur überblicken. Nahezu jedes vierte Unternehmen verteidige damit Netzwerke, „deren Teile außerhalb des Sichtfeldes der Sicherheitsverantwortlichen liegen“.

Diese Lücke bekommt zusätzliches Gewicht durch die Entwicklung der Verweildauer von Angreifern in kompromittierten Netzwerken. Kurze Verweildauern bleiben laut Report stabil, längere Zeiträume von mehreren Wochen bis Monaten nehmen dagegen zu. Je länger Angreifer unentdeckt bleiben, desto mehr Zeit haben sie zur Aufklärung von Systemen, zum Abgreifen geistigen Eigentums und zur Vorbereitung von Angriffen mit größerer operativer Wirkung.

Bei den Angriffsvektoren bleibt Phishing mit 76 Prozent die häufigste Methode für den Erstzugriff, Ransomware zählt mit 50 Prozent weiterhin zu den zentralen Bedrohungen. Positiv fällt dagegen eine andere Zahl auf. Nur noch 24 Prozent der Unternehmen berichten von Angriffen, die sowohl IT- als auch OT-Systeme trafen, im Vorjahr waren es noch 60 Prozent. Fortinet sieht darin einen Beleg dafür, dass verbesserte Netzwerksegmentierung „nachweislich Wirkung“ entfaltet.

Regulierung als Argument für mehr Budget

89 Prozent der befragten OT-Verantwortlichen rechnen innerhalb der nächsten fünf Jahre mit schärferen regulatorischen Vorgaben, ein Plus von 23 Prozentpunkten gegenüber dem Vorjahr. Bemerkenswert ist dabei vor allem der kürzere Erwartungshorizont. Die Mehrheit der Befragten geht mittlerweile davon aus, dass konkrete neue Pflichten schon in zwei bis fünf Jahren greifen.

Für Unternehmen, die frühzeitig reagieren, kann das laut Report sogar von Vorteil sein. Compliance-Anforderungen böten den institutionellen Rahmen, um Sicherheitsbudgets zu sichern, interne Prozesse zu formalisieren und die Zusammenarbeit zwischen IT, OT und Unternehmensführung dauerhaft zu verankern.

Fazit

Der Report zeigt eine Branche, die sich selbst ehrlicher einschätzt als noch vor einem Jahr, ohne dass die eigentlichen Risiken damit bereits im Griff wären. Unternehmen mit den höchsten Reifegraden haben laut Fortinet eines gemeinsam: Sie behandeln OT-Sicherheit nicht als isolierte Teildisziplin, sondern als integralen Bestandteil ihrer gesamten Sicherheitsarchitektur. Netzwerksegmentierung, konsequente Asset-Transparenz, sichere Fernzugriffslösungen und eine strukturell verankerte Incident-Response-Planung bilden dafür die Grundlage. Der Report mahnt zum Schluss, dass sich die gesamte Organisation zum Schutz kritischer OT-Systeme bekennen und die dafür nötigen Ressourcen bereitstellen müsse, damit aus der aktuellen Ehrlichkeit auch tatsächlich mehr Resilienz wird.

(red/Fortinet)