Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
NIS2 Checkliste für Airlines, Flughäfen, Raumfahrt und Wehrtechnik: Anlage 1 gegen Anlage 2, KRITIS-Schwellen, Aufsicht nach § 61 und § 62 und EN 9100.
Luftfahrt und Verteidigung ist der einzige Bereich, in dem beide Anlagen des BSIG gleichzeitig greifen können, oft im selben Unternehmen. Das ist mehr als eine Formalie: Es entscheidet über den Bußgeldrahmen, über die Art der Aufsicht und darüber, worauf sich welche Sparte vorbereiten muss.
Die Betriebsseite steht in der Anlage 1, die Herstellung in der Anlage 2. Im Teilsektor Luftverkehr nennt die Anlage 1 Luftfahrtunternehmen nach Artikel 3 Nummer 4 der Verordnung (EG) Nr. 300/2008, Flughafenleitungsorgane nach Artikel 2 Nummer 2 der Richtlinie 2009/12/EG und Flughäfen nach Artikel 2 Nummer 1 derselben Richtlinie. Der eigene Sektor Weltraum erfasst Betreiber von Bodeninfrastrukturen, die im Eigentum von Mitgliedstaaten oder privaten Parteien stehen und die Erbringung weltraumgestützter Dienste unterstützen.
Die Herstellung von Luft-, Raumfahrt- und Wehrtechnik fällt dagegen unter das verarbeitende Gewerbe der Anlage 2, konkret über den sonstigen Fahrzeugbau. Daraus folgt der Unterschied, der in Projekten am häufigsten übersehen wird: Ein Aufstieg zur besonders wichtigen Einrichtung durch Größe ist für die Herstellung ausgeschlossen, weil § 28 Absatz 1 Nummer 4 BSIG ihn nur für Einrichtungsarten der Anlage 1 zulässt. Für diese Sparte gilt damit der Rahmen von 7 Millionen Euro oder 1,4 Prozent, nicht der von 10 Millionen oder 2 Prozent. Ein Konzern mit Airline-Beteiligung, Bodenstation und Wehrtechniksparte führt also drei Einordnungen und nicht eine.
Ab konkreten Mengen, und die stehen in der BSI-Kritisverordnung. Für die Passagierabfertigung und den Infrastrukturbetrieb eines Flugplatzes liegt die Schwelle bei 20 Millionen Passagieren pro Jahr, für die Frachtabfertigung bei 750.000 Tonnen pro Jahr. Für Flugsicherungsdienste zählen 17.500 Flugbewegungen pro Jahr, und für die Verkehrszentrale einer Fluggesellschaft gelten wieder 20 Millionen Passagiere oder 750.000 Tonnen.
Das sortiert die Branche deutlich. Wer diese Werte erreicht, bekommt zwei Pflichten zusätzlich: Systeme zur Angriffserkennung nach § 31 Absatz 2 BSIG, die fortlaufend und automatisch Parameter aus dem laufenden Betrieb erfassen und auswerten, sowie Nachweise gegenüber dem BSI alle drei Jahre nach § 39 BSIG. Alle anderen sind über die Größenschwellen des § 28 BSIG erfasst, aber nicht Betreiber kritischer Anlagen. Diese Unterscheidung entscheidet über Budget und Prüfzyklus.
Zwei Vorschriften mit sehr unterschiedlicher Wirkung. Für besonders wichtige Einrichtungen sieht § 61 BSIG eine proaktive Aufsicht vor: Das BSI kann unabhängig von einem Verdacht Prüfungen anordnen, Nachweise und Auditergebnisse anfordern, einen Plan zur Beseitigung von Mängeln verlangen und die Einhaltung während der Geschäftszeiten vor Ort überprüfen. Als letztes Mittel erlaubt Absatz 9 bei beharrlicher Nichtbefolgung sogar die vorübergehende Untersagung der Wahrnehmung von Leitungsaufgaben.
Für wichtige Einrichtungen gilt § 62 BSIG, und der setzt einen Anlass voraus: Erst wenn Tatsachen die Annahme rechtfertigen, dass Verpflichtungen nicht oder nicht richtig umgesetzt werden, darf das Bundesamt prüfen und Maßnahmen nach § 61 treffen. Für einen Mischkonzern heißt das: Die Luftverkehrs- und Weltraumsparte plant mit einer Prüfung, die kommen kann, die Herstellungssparte mit einem Anlass, den sie meist selbst auslöst, nämlich durch eine eigene Vorfallmeldung.
Die Disziplin, nicht das Managementsystem. Die EN 9100 in der Ausgabe 2018 baut auf der ISO 9001 auf und ergänzt sie um Themen, die in dieser Branche selbstverständlich sind: nachvollziehbare Risikoabschätzungen, die Behandlung von Schlüsselmerkmalen, langfristige Produkterhaltung, Produktsicherheit, die Prävention gefälschter Teile und Human Factors.
Informationssicherheit ist dort nicht geregelt, und genau darin liegt das Missverständnis hinter der Annahme, ein Aerospace-Qualitätsmanagement decke NIS2 mit ab. Was es liefert, ist die Methodik: Risiken bewerten, Maßnahmen ableiten, Verantwortliche benennen, Wirksamkeit prüfen, Nachweise führen. Diese Systematik trägt die Anforderungen des § 30 Absatz 2 BSIG, sobald der Gegenstand von Produktqualität auf Informationssicherheit erweitert wird. Registrierung und Meldekette liefert sie nicht.
Drei. Erstens die Prüfstände. Test- und Simulationsanlagen, Prüfsoftware und Messtechnik sind informationstechnische Systeme im Sinne des Gesetzes und gehören in den Geltungsbereich, auch wenn sie organisatorisch beim Engineering liegen.
Zweitens der Vorfall ohne Ausfall. Ein erheblicher Sicherheitsvorfall setzt nach § 2 BSIG keinen Stillstand voraus, es genügt, dass er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere Personen durch erhebliche Schäden beeinträchtigen kann. Der Abfluss von Konstruktions- oder Projektdaten erfüllt das, obwohl nichts stehen bleibt und keine Anzeige ausschlägt. Drittens die Zugänge der MRO- und Technologiepartner. Sie sind in dieser Branche tief in Engineering- und Betriebssysteme integriert, und der Nachweis, wann ein solcher Zugang offen ist und wann nicht, ist die erste Frage in jedem Partneraudit.
Die Checkliste richtet sich an Geschäftsführungen, IT- und Engineering-Verantwortliche sowie Sicherheits- und Exportkontrollverantwortliche bei Airlines, Flughäfen, in der Raumfahrt und in der Wehrtechnik. Laden Sie sie kostenfrei herunter.
Sprechen Sie mit unseren Expert:innen und erfahren Sie, wie das Digital Compliance Office Ihre Compliance automatisiert.
Gespräch vereinbaren