NIS2: To be or not to be?

Die NIS2 kommt nicht so recht voran, da kommen viele Fragen und Probleme zusammen. Es geht schließlich um Geld und Zeit sowie ggf. juristische Folgen. Will ich oder muss ich NIS2 erfüllen?

Hier eine kurze Übersicht zu den Themen:

Rechtliche Betroffenheit NIS2

Wenn man unter die relevanten Branchen und Größenordnungen des NIS2-Gesetzes auf Basis der NIS2-Richtlinie (EU) 2022/2555 fällt, ergibt es sich von selbst, dass man die NIS2 einhalten muss und somit auch die Anforderungen umsetzen muss, die im Gesetz beschrieben sind.

Die operative Umsetzung ist im Gesetz aber nicht tiefer präzisiert, da hilft die ISO 27001 in Kombination mit der ISO 27002 weiter, in den Erwägungsgründen der NIS2-Richtlinie sind diese als Bezugsrahmen zugelassen. Die Branchen und deren zu erreichende Werte sind beschrieben, bei der Auslegungen ist es auf Basis NACE-Zuordnung vielfach einfach, es kann aber Grenzfälle bei Beteiligungen oder besonderen Konstellationen geben, die juristischen Beistand erfordern.

Allerdings kann es – je nach Branche – auch zutreffen, unter die unmittelbar für jedes Land geltende EU-Verordnung 2690/2024 vom 17. Oktober 2024 zu fallen, das sind Durchführungsbestimmungen zur NIS2-Richtlinie (EU) 2022/2555 im Hinblick auf die technischen und methodischen Anforderungen der Risikomanagementmaßnahmen im Bereich der Cybersicherheit und es geht um die Präzisierung der Fälle, in denen ein Sicherheitsvorfall in Bezug auf bestimmte Branchen als „erheblich“ zu sehen ist. Dieser hängt nicht an der Größe der Betriebe!

Es geht nur um DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter.

Wenn eine der o.g. Anforderungen erfüllt wird, ist die NIS2 aus rechtlichen Gründen unstrittig einzuführen.

Eigennutz

Man kann das das Ziel „Sicherer werden" auch ohne Pflicht adressieren, Denn auch wenn NIS2 formal nicht für eine Organisation wg. Branche oder Größe verpflichtend gilt, dann können Unternehmen den NIS2‑Maßnahmenkatalog als Blueprint für mehr Cybersicherheit nutzen, so z. B. die Technisch‑organisatorische Maßnahmen nach § 30 BSIG (z. B. Risikomanagement, Incident Handling, Backup, MFA, Logging, Lieferkettensicherheit), diese sind branchenunabhängig sinnvoll.

Kunden verlangen eine NIS2‑Erklärung 

Häufig wollen Kunden/Lieferanten eine Selbstauskunft, ob Sie NIS2‑Pflichten haben oder NIS2‑konform agieren. Es gilt zu klären, was genau gefordert ist, geht es um Betroffenheitsstatus („Sind Sie NIS2‑pflichtig?") oder den Umsetzungsstand („Wie weit sind Sie bei den NIS2‑Maßnahmen?")? 

Oft reicht eine einseitige Erklärung mit Verweis auf interne Dokumentation, man kann eine standardisierte Selbstauskunft vorbereiten, die auf 1–2 Seiten die Unternehmensdaten und die Feststellung zur Betroffenheit enthält.

Hier ein Beispiel: „Das Unternehmen ist nach aktueller Prüfung (Datum) nicht betroffen, weil …" (Sektorbegründung und/oder Schwellenwerte) oder „Das Unternehmen ist betroffen und im BSI‑Register registriert (ggf. Registrierungs‑Nachweis)."

Man kann das auch ausdehnen, also den Umsetzungsstand (optional, aber sehr hilfreich) hinterlegen und eine kurze Information zum Reifegrad je Kernmaßnahme (z. B. MFA, Incident‑Prozess, Backup, Logging, Lieferantenmanagement), einen Hinweis auf die Roadmap geben und nächste Meilensteine ankündigen.

Wichtig ist ein Haftungsausschluss wie z. B. „Diese Selbstauskunft dient der Information; die verbindliche Einstufung obliegt den zuständigen Behörden."

Dann kann der Kunde mit dem Dokument seine Lieferantenprüfung i. d. R. abschließen oder wird tiefer einsteigen (Lieferantenaudit, Zertifikate anfordern).

Vertragliche Anforderungen prüfen

Es kann zur NIS2 auch vertragliche Fakten geben. Sichten Sie Verträge auf Cybersicherheitsklauseln, Audit‑Rechte, Meldepflichten oder konkrete Maßnahmenanforderungen und leiten Sie daraus ab, ob Sie zusätzlich z. B. Lieferantenfragebögen, SBOMs, Logging‑Nachweise oder Incident‑Tests bereitstellen müssen.

Nachweis bei Vorfällen

Wenn nach einem Vorfall Nachweise erforderlich sind oder im Rahmen der Forensik Informationen gesammelt werden, spart man Zeit, wenn man seine Maßnahmen im Rahmen eines ISMS zeigen kann und dokumentieren kann, sich angemessen geschützt zu haben.

DSGVO

Und wenn Datenschutzrisiken bestehen, in einem Vorfall Datenlecks aufgetreten sind, hat man das Risiko, den Nachweis führen zu müssen, die TOMs umgesetzt zu haben, um Bußgelder zu vermeiden. Denn die Kerninhalte von Artikel 32 DSGVO sind die Pflicht zu Schutzmaßnahmen, dabei müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen (TOM) umsetzen. Sie müssen ein angemessenes Schutzniveau aufbauen, das dem Risiko der jeweiligen Datenverarbeitung entspricht.

Berücksichtigt werden der Stand der Technik, die Kosten der Umsetzung sowie Art, Umfang und Zweck der Verarbeitung. Hilfreich ist z. B. der Nachweis von Verschlüsselung und Pseudonymisierung von Daten und alle weiteren Maßnahmen aufzuzeigen, die der Sicherung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Systemen diene. Auch die Wiederherstellung der Daten nach einem Zwischenfall sollte gesichert sein. Nicht zuletzt sind die regelmäßige Überprüfung und Bewertung der Wirksamkeit der Maßnahmen ein Plus. Wer die DSGVO im Jahr 2018 umgesetzt hat und seitdem nie eine Überprüfung gemacht hat, kann dem „Stand der Technik“ heute sicher nicht mehr gerecht werden. Auch hier hilft die NIS2.

Konkurrenz schläft nicht

Wenn ein wichtiger Auftrag an der NIS2-Erfüllung hängt, fällt die Entscheidung in der Regel leicht. Aber auch wer als Zulieferer die Sicherheitsstandards nicht nachweisen kann, fliegt bei aktiver Konkurrenz (Unternehmen „mit“ NIS2) schnell aus dem Lieferantenpool.

Haftungsrisiken für die Leitung

Wenn ein Unternehmen nach NIS2 beziehungsweise dem deutschen BSI-Gesetz betroffen ist und die Anforderungen nicht oder nur unzureichend umsetzt, ist das für die Geschäftsleitung nicht nur ein Unternehmensrisiko. Es kann auch ein persönliches Haftungsrisiko entstehen.

Nach § 38 BSIG müssen die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen die erforderlichen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Verletzen sie diese Pflicht schuldhaft und entsteht dem Unternehmen dadurch ein Schaden, haften sie selbst grundsätzlich gegenüber der eigenen Gesellschaft nach den jeweils einschlägigen gesellschaftsrechtlichen Regeln.

ISO 27001, TISAX (©), VDS 10000, BSI IT-Grundschutz

Wer einen dieser Standards heute schon hat, ist nicht weit von der Erfüllung der NIS2-Anforderungen entfernt und hat nur wenig Zusatzaufwand. Das ist ein sehr großer Vorteil!

Unterm Strich: NIS 2 – To be or not to be?

Es spricht eine Menge für die Umsetzung der NIS2 und außer Kosten- und Zeitaufwand nichts dagegen. Die Umsetzung der NIS2 ist – sofern nicht gesetzlich verpflichtend – eine individuelle Entscheidung des Unternehmens im Eigen- oder Kundeninteresse und dient ggf. auch der besseren Positionierung im Markt.

Und wenn man sie auch aus guten Gründen nicht umsetzt, hilft eine Dokumentation der Entscheidung bei Anfragen von Kunden.

Angesichts der zunehmenden Cyber-Bedrohungen und dem wachsenden Schutzbedarf sowie angesichts der laufend zu lesenden Vorfälle stellt sich aber eher die Frage „wann“ und nicht „ob“.

Ohne sie oder vergleichbare und angemessene Maßnahmen in dem Themenbereich wird das Unternehmen bestimmt nicht sicherer, mit ihr aber schon!

Wir helfen gerne bei der Umsetzung, sprechen Sie uns an!

TISAX © ist ein Markenzeichen der ENX Association.