Trends für DACH-Unternehmen: Die smarte Infrastruktur der Zukunft
Rechtliche Chancen und Herausforderungen für Industrie und Mittelstand
Rechtssicher in die Infrastrukturzukunft
Zwischen Innovation und Regulierung
Im industriellen Umfeld der DACH‑Region verdichten sich drei Entwicklungslinien einer smarten Infrastruktur‑Agenda der Zukunft: Erstens die tiefe datengestützte Vernetzung von Produktions‑, Prozess-, Automatisierungs-, Gebäude‑ und Lieferketten‑Assets samt Datenfluss in Echtzeit; zweitens die Verlagerung datenintensiver Analyse und Intelligenz an den Rand (Edge) mit KI‑gestützten Steuerungen und digitalen Zwillingen; drittens die Industrialisierung und Professionalisierung datenbasierter Services – vom Pay‑per‑Use über Remote‑Monitoring bis zu datenbasierten Wartungs- und Instandhaltungsstrategien. Diese Trends verschieben Wertschöpfung, Entwicklungsstrategien, Abhängigkeiten und geschäftskritische Prozesse weiter in Richtung Software, Daten und Betrieb (X‑as‑a‑Service). Prozesse, Services und Dienste sind und werden zunehmend miteinander vernetzt und über IoT-Plattformen an zentrale Systeme übertragen und (idealerweise) mittels sinnvoll implementierter Big-Data-Analysen, maschinellem Lernen oder KI-Anwendungen ausgewertet, um Muster, Abweichungen oder Trends zu erkennen, die auf notwendige Anpassungen oder Maßnahmen hinweisen. Damit werden Fragen des Datenzugangs, der Datenbereitstellung, der Interoperabilität und der Cyberresilienz zu Kernanforderungen für Hersteller und Anwender. Zugleich intensivieren die EU und die Mitgliedstaaten den bereits mit der Digitalisierungs- und Datenstrategie 2020 begonnenen regulatorischen Rahmen: Data Act (Verordnung (EU) 2023/2854), NIS‑2-Richtlinie (Richtlinie (EU) 2022/2555) und Cyber Resilience Act (Verordnung (EU) 2024/2847) setzen verbindliche Standards für Datennutzung und Sicherheit über den gesamten Produkt- und Anlagenlebenszyklus – sowohl für das eigene Unternehmen als auch für Kunden. Für Unternehmen auf beiden Marktseiten bedeutet dies: Konzeptionierung, Organisation, Verträge und Nachweisführung müssen in Einklang mit den aktuellen Regelungswerken gebracht werden – nicht als Compliance‑Übung, sondern als Designprinzip und Leitentscheidung für die Sicherheit smarter Infrastrukturen.
Lucas Prandi
Lucas Prandi ist Rechtsanwalt und Partner der Kanzlei beyond Rechtsanwälte in Leipzig. Mit seinem Team berät er schwerpunktmäßig im IT-, Datenschutz- und Vergaberecht mittelständische und große Unternehmen sowie die öffentliche Hand bei der Konzeptionierung digitaler Geschäftsmodelle, komplexen Beschaffungen von IT-Systemen, IT-Outsourcing-Projekten und der Gestaltung und Verhandlung von Verträgen.
Haben Sie Fragen? Rechtsanwalt
Lucas Prandi hilft gerne weiter:
Datennutzung – Wertschöpfung & Regulation
Der Data Act als „datenökonomisches Grundgesetz“ vernetzter Produkte und verbundener Dienste gilt seit dem 12. September 2025 weitgehend unmittelbar; ll io Statement weitere Pflichten, insbesondere Konzeptionierungspflichten, gelten ab dem 12. September 2026. Für smarte Infrastrukturen ist der Data Act ein Meilenstein. Bereits heute werden Daten als das „neue Gold“ bezeichnet. Ihre Nutzung und der Zugang zu Daten werden in smarten, ggf. sogar geschäftskritischen Infrastrukturen immer bedeutsamer. Der Data Act regelt damit erstmals die Bestimmung von Zugangs-, Bereitstellungs- und Nutzungsrechten von Daten, die durch IoT-Produkte oder mit ihnen verbundene Dienste erhoben werden. Für Hersteller vernetzter Produkte (Maschinen, Sensorik, Gebäudeautomation) und Anbieter verbundener Dienste folgt daraus:
Produkt- und Dienstedaten aus den bereitgestellten Produkten und mit ihnen verbundenen Diensten, etwa Betriebssysteme, sind standardmäßig den Nutzern zugänglich zu machen – strukturiert, maschinenlesbar, möglichst in Echtzeit und kontinuierlich, einschließlich relevanter Metadaten. Daten sollen verkehrsfähig und verwertbar werden; für datengestützte Prozess- und Automatisierungslösungen unverzichtbar – sowohl für den Hersteller und den Nutzer.
Damit wird faktisch ein technischer und vertraglicher „Access‑by‑Design“ zum elementaren Produktmerkmal vernetzter Infrastruktur. Für B2B‑Konstellationen etabliert der Data Act darüber hinaus FRAND‑Bedingungen (fair, reasonable, non‑discriminatory) und eine Black/Grey‑List unfairer Klauseln für die Bedingungen zur Bereitstellung von Daten, womit die AGB‑Gestaltung und Konzeptionierung von datengetriebenen Service‑Modellen neu zu denken und bekannte Beschaffungsstrategien zu überdenken sind. Die praktischen und rechtlichen Auswirkungen sind vielfältig. Während Hersteller von Produkten und Diensten u.a. ein Dateninventar, technische Ausleitpfade (APIs, Edge‑Exports), Authentifizierungs- und Lizenzierungslogik sowie Schutzmechanismen für Geschäftsgeheimnisse vorsehen sollten, um den Anforderungen und den aus dem Data Act folgenden Rechtsansprüchen gerecht werden zu können, sind es die Nutzer auf der anderen Seite, die bei der Beschaffung, Konzeptionierung und Umsetzung smarter Infrastrukturen bereits frühzeitig Zugangs-, Nutzungs- und Bereitstellungsansprüche mitdenken, vertraglich festlegen und klar definieren sowie die Datennutzung kontrollieren sollten. Durch strukturierte Vertragsgestaltungen und die Beschaffung von Systemen und Produkten kann der „Grundstein“ für eigene datenbasierte Services gelegt und interne Prozessoptimierungen ermöglicht werden. Der Data Act ist die Grundlage für die erfolgreiche Wertschöpfung von Daten – nicht nur für den Vertrieb, sondern auch für die eigene Nutzung von Daten zur Identifizierung von unentdeckten Potenzialen.
Sicherheit für Netz- und Informationstechnik
Neben der Regulierung der Datenökonomie soll durch die NIS‑2-Richtlinie, die in Deutschland zum 6. Dezember 2025 mit dem neuen BSI-Gesetz umgesetzt wurde, ein europaweit einheitliches und hohes Schutzniveau für Cybersicherheit geschaffen werden. Die Regelungen richten sich insbesondere an Betreiber kritischer Anlagen oder von Einrichtungen in wichtigen Sektoren – wie Energie, Verkehr und Fertigung über digitale Infrastrukturen bis zu industriellen Dienstleistern. Die NIS‑2-Richtlinie verlangt künftig risikobasierte technische und organisatorische Maßnahmen (u.a. Schwachstellen‑ und Patch‑Management, Zugriffssteuerung, Kryptografie, Lieferkettensicherheit), zusätzliche Meldeund Informationspflichten an Behörden und sieht eine unmittelbare Managementverantwortung bis hin zu persönlichen Sanktionen vor, um Risiken für „informationstechnische Systeme“ – jeder Art – hinsichtlich der bekannten Schutzziele der Integrität, Vertraulichkeit und Verfügbarkeit zu beherrschen, Auswirkungen von Sicherheitsvorfällen auf Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten und damit die Cyber-Resilienz in allen als systemwichtig definierten Sektoren zu steigern.
Auch traditionell isoliert oder proprietär betriebene „Netz- und Informationssysteme“ werden einem einheitlichen Risikomanagement‑ und Melde‑Regime unterstellt, das sich künftig
beyond Rechtsanwälte unterhält eine
regelmäßige Kooperation mit der
Kanzlei schlatter.law in Heidelberg.
auch auf ein dezidiertes Lieferkettenmanagement erstreckt, sodass auch Unternehmen, die nicht unmittelbar dem persönlichen und sachlichen Anwendungsbereich der NIS-2-Richtlinie unterfallen, verpflichtet sein werden, angemessene technische, operative und organisatorische Maßnahmen zu ergreifen und nachzuweisen, um Risiken auf die Sicherheit der zur Leistungserbringung eingesetzten oder bereitgestellten Netz- und Informationssysteme zu verhindern oder zu vermeiden. Für Unternehmen, die entweder selbst dem Anwendungsbereich der NIS-2-Richtlinie unterliegen oder Services für Unternehmen erbringen, die kritische Anlagen betreiben oder als wichtige oder besonders wichtige Einrichtungen klassifiziert wurden, bedeutet dies sowohl bei der Auswahl von smarter Infrastruktur, der Konzeptionierung von Betriebsmodellen als auch beim Einsatz von Dienstleistern besondere Sorgfalt von Beginn an. Neben rechtlichen Fragen zur Haftung und Vertragsgestaltung, bedeutet dies auf technisch-operativer Ebene unter anderem auch die Gewährleistung einer „Audit Readiness“, die frühzeitige Asset‑Discovery über IT/OT-Systeme und -Domänen und u.a. dokumentierte Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Steuerungstechnik und Segmentierung, ein belastbares und wirksames Incident-Response-Management. Allgemeine, heute bereits dem Stand der Technik entsprechende technische und organisatorische Maßnahmen zur Sicherung informationstechnischer Systeme, insbesondere solcher, die mit dem Internet verbunden sind, wie Multi-Faktor- Authentifizierungen, Zugangs-, Zutrittsund Zugriffskonzepte usw. sind nicht mehr nur noch Kür aus dem Datenschutzmanagement, sondern werden zum Pflichtprogramm für die Sicherheit in der Informationstechnik – zum Schutz des eigenen Unternehmens und der Kunden.
Cybersecurity-by-Design
Der Cyber Resilience Act (CRA) ergänzt die NIS‑2-Richtlinie mit dezidierten Übergangsvorschriften ab dem 11. Dezember 2027 auf der Produktebene: Er macht „Security by Design/Default“ zur Marktzugangsvoraussetzung für alle Produkte mit digitalen Elementen – von IoT‑Geräten und vernetzter Industrieausrüstung bis zu Software, einschließlich remote erbrachter Hersteller‑Cloud‑Funktionen. „Produkte mit digitalen Elementen“ müssen künftig grundlegenden Cybersicherheitsanforderungen, die erstmals regulatorisch erfasst und verbindlich festgelegt wurden, entsprechen, sodass, soweit für das jeweilige Produkt zutreffend, grundlegende Funktionalitäten bereits ein Mindestmaß an Cybersicherheit gewährleisten sollen.
Materiell verlangt der CRA von Herstellern u.a. darüber hinaus ein dokumentiertes Schwachstellen‑Management über den gesamten Produktlebenszyklus, Prozesse der koordinierten Offenlegung (CVD) und zeitnahe Sicherheitsupdates sowie – voraussichtlich über harmonisierte Normen konkretisiert – die Pflege einer „Software Bill of Materials“, um künftig leichter Sicherheitslücken oder Schwachstellen identifizieren zu können. Der CRA hat daher im Kontext der NIS-2-Richtlinie unmittelbare Auswirkungen auf die Auswahl von Produkten und weiteren Services sowie auf die interne Cyberhygiene. Die transparente Meldung von Schwachstellen oder Sicherheitslücken verpflichtet die betroffenen Unternehmen insbesondere wenn sie dem unmittelbaren oder mittelbaren Anwendungsbereich der NIS-2-Richtlinie unterliegen und ggf. auch aufgrund bestehender anderer vertraglicher Verpflichtungen, diese Informationen angemessen zu behandeln und notwendige Maßnahmen zu ergreifen.
Regulation als Chance & Auftrag sehen
Diese Rechtsakte greifen ineinander und setzen Gestaltungsaufgaben in Technik, Organisation und Vertrag um. Sie begründen damit zusätzliche Compliance-Anforderungen, die Auswirkungen auf die Beschaffung,
Weiterentwicklung und Instandhaltung smarter Infrastrukturen haben; die Anforderungen bedeuten jedoch sowohl Chancen als auch Herausforderungen – je nach verantwortlicher Marktseite. Laufende oder zu konzipierende smarte Infrastrukturen waren nie reine Technologieprojekte. Sie sind mit steigenden Regulationsanforderungen, zunehmender Kritikalität für Unternehmensprozesse und den Unternehmenserfolg sowie ebenso zu berücksichtigenden geopolitischen Entwicklungen und deren Auswirkungen auf die Sicherheit der technologischen, softwaregestützten und vernetzten Infrastruktur ein umfassendes Compliance-Projekt.
Wer Datenarchitekturen früh rechtskonform – nicht nur vertragsrechtlich – gestaltet, Security und Compliance als Produktqualität versteht und Nachweise auditfähig führt, wandelt Regulierung in Chancen und einen Wettbewerbsvorteil: als resilienterer Partner in der Lieferkette, als verlässlicher Partner für kritische Infrastrukturen und mit belastbaren Services, gleich ob als produzierendes Unternehmen oder Servicedienstleister. Die regulatorischen Vorgaben setzen hierfür den Rahmen. Die technische, operative und rechtliche Umsetzung entscheidet über Tempo und Erfolg der digitalen Industrie in DACH.
