Bin ich von NIS2 betroffen? Und warum die Antwort fast egal ist

Ein Geschäftsführer eines Zulieferers mit 180 Mitarbeitenden bekommt eine E-Mail seines größten Kunden. Anhang: ein Fragebogen mit 40 Fragen zur Informationssicherheit, Rücklauf in drei Wochen. Der Kunde ist von NIS2 betroffen. Der Zulieferer, so stellt sich heraus, nicht. Beantworten muss er die Fragen trotzdem, sonst steht der Rahmenvertrag im Raum.

Was ist NIS2, und was hat das BSIG damit zu tun?

NIS2 ist eine europäische Richtlinie zur Netz- und Informationssicherheit. In Deutschland setzt das BSI-Gesetz, kurz BSIG, sie in verbindliches Recht um. Es verpflichtet betroffene Unternehmen, geeignete Maßnahmen zur IT-Sicherheit umzusetzen, Vorfälle zu melden und die Umsetzung gegenüber dem Bundesamt für Sicherheit in der Informationstechnik nachweisen zu können. Die Geschäftsführung ist dafür verantwortlich, und sie kann diese Verantwortung nicht delegieren. Verstöße können Bußgelder und persönliche Haftung nach sich ziehen.

Wer ist betroffen?

Grob gesagt: Unternehmen bestimmter Sektoren ab 50 Mitarbeitenden oder ab zehn Millionen Euro Umsatz und Bilanzsumme. Die Sektoren reichen von Energie und Verkehr über Gesundheit und Wasser bis zu Produktion, Chemie, Lebensmitteln und digitalen Diensten. Ob Ihr Unternehmen dazugehört, hängt von der genauen Tätigkeit ab, nicht vom Branchennamen. Ein Maschinenbauer kann betroffen sein, ein anderer nicht. Deshalb ist die Betroffenheitsprüfung der erste Schritt, und sie dauert bei uns ein Gespräch.

Warum ist die Antwort fast egal?

Weil die Anforderungen über die Lieferkette weiterwandern. Ein betroffenes Unternehmen muss die Sicherheit seiner Lieferkette bewerten. Es tut das, indem es seine Lieferanten fragt, und zwar mit Fragebögen, Audits und Vertragsklauseln. Wer für ein betroffenes Unternehmen arbeitet, muss also zeigen, wie er selbst arbeitet, ob er nun unter das Gesetz fällt oder nicht. Hinzu kommt: Die geforderten Maßnahmen sind nichts Exotisches. Sie sind das, was ein Versicherer, eine Bank und ein Abschlussprüfer ohnehin erwarten.

Was wird konkret verlangt?

Ein Risikomanagement für die IT, Konzepte für Vorfälle und Wiederanlauf, Sicherheit in der Lieferkette, sichere Beschaffung und Entwicklung, Bewertung der Wirksamkeit der Maßnahmen, Schulung, Verschlüsselung, Zugriffsverwaltung und Mehrfaktor-Anmeldung. Das klingt nach viel. In der Praxis lässt es sich in ein Modell ordnen: BSIG, NIS2 und Datenschutz sagen, was gefordert ist. ISO 27001 gibt der Steuerung einen Rahmen. Der BSI IT-Grundschutz liefert die konkreten Maßnahmen. Business Continuity Management sorgt dafür, dass Sie arbeitsfähig bleiben.

Woran scheitert es meistens?

Nicht an der Technik. Es scheitert daran, dass niemand sagen kann, wer für welche Kontrolle verantwortlich ist und wo der Nachweis liegt, dass sie funktioniert. Ein Internes Kontrollsystem löst das: Jede Anforderung bekommt eine Kontrolle, jede Kontrolle einen Verantwortlichen, jeder Verantwortliche einen Beleg. Ob die Kontrolle richtig gebaut ist und im laufenden Betrieb funktioniert, sind genau die beiden Fragen, die eine Prüfung nach IDW PS 850 stellt. Wer sie sich vorher selbst stellt, hat später keine Überraschung.

Der erste Schritt

Unser Selbsttest beantwortet in zehn Fragen, ob Sie unmittelbar betroffen sind und welche Anforderungen über Ihre Kunden auf Sie zukommen. Danach wissen Sie, wo Sie stehen. Oder Sie sprechen direkt mit Bernhard Fleischmann, Wirtschaftsprüfer, der Unternehmen beim Aufbau von Nachweisen begleitet, die einer Prüfung standhalten.

Hinweis: Die Beiträge auf dieser Website und in unseren Social-Media-Kanälen informieren allgemein und ersetzen keine Beratung im Einzelfall. Sie geben den Stand zum Veröffentlichungsdatum wieder; für Aktualität, Richtigkeit und Vollständigkeit übernehmen wir keine Gewähr, eine Haftung ist im gesetzlich zulässigen Umfang ausgeschlossen. Vor Entscheidungen auf Grundlage dieser Inhalte empfehlen wir eine individuelle Beratung.