Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
Wer prüft bei NIS2 nach und was kostet ein Versäumnis? Die Checkliste führt Mittelständler in sechs Schritten von der Betroffenheit bis zur Meldefähigkeit.
Eine Checkliste sagt, was zu tun ist. Sie sagt selten, wer nachprüft und was passiert, wenn etwas fehlt. Im Mittelstand sind das die beiden Fragen, an denen ein NIS2-Projekt Priorität gewinnt oder verliert.
Zwei Wege führen hinein, und der zweite ist der häufigere. Der erste ist der Sektor: Wer in der Anlage 1 oder der Anlage 2 des BSIG tätig ist und die Schwellen erreicht, ist erfasst. Die Schwelle wird oft verkürzt zitiert, deshalb einmal präzise: wichtige Einrichtung ist nach § 28 Absatz 2 BSIG, wer mindestens 50 Beschäftigte hat oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro erreicht. Die Bilanzsumme fehlt in fast jeder Zusammenfassung, und sie ist der Grund, warum ein umsatzstarker Betrieb mit schlanker Bilanz nicht automatisch dazugehört.
Der zweite Weg ist die Zulieferrolle. Jede regulierte Einrichtung muss die Sicherheit ihrer unmittelbaren Anbieter regeln, und damit kommt die Anforderung als Fragebogen oder Vertragsklausel ins Haus, unabhängig vom eigenen Sektor. Entscheidend ist in beiden Fällen: Die Einordnung nimmt der Betrieb selbst vor. Es gibt keine Liste, auf der man steht oder nicht steht. Die dokumentierte Einordnung ist deshalb das einzige Dokument, das im Zweifel die Frage beantwortet.
Hier liegt der Unterschied, der die meisten Projekte falsch dimensioniert. Für besonders wichtige Einrichtungen sieht § 61 BSIG eine proaktive Aufsicht vor: Das BSI kann unabhängig von einem Verdacht Prüfungen anordnen, Nachweise und Auditergebnisse anfordern, einen Plan zur Beseitigung von Mängeln verlangen und die Einhaltung während der Geschäftszeiten vor Ort überprüfen.
Für wichtige Einrichtungen gilt § 62 BSIG, und der setzt einen Anlass voraus: Erst wenn Tatsachen die Annahme rechtfertigen, dass eine wichtige Einrichtung ihre Verpflichtungen nicht oder nicht richtig umsetzt, darf das Bundesamt die Einhaltung überprüfen und Maßnahmen nach § 61 treffen. Die Aufsicht ist also anlassbezogen und nicht laufend. Für einen Mittelständler heißt das: Niemand kommt routinemäßig vorbei, aber der Anlass entsteht typischerweise durch eine eigene Vorfallmeldung, einen Hinweis oder eine Beschwerde, und dann ist die Vorbereitung nicht mehr planbar. Ein Instrument bleibt dem Mittelstand erspart: die vorübergehende Untersagung der Wahrnehmung von Leitungsaufgaben nach § 61 Absatz 9 BSIG betrifft nur besonders wichtige Einrichtungen und greift erst als letztes Mittel bei beharrlicher Nichtbefolgung von Anordnungen.
Nicht nur die eine Zahl, die überall steht. § 65 BSIG staffelt, und die kleinen Stufen sind die wahrscheinlicheren. Für die fehlende Registrierung nach § 33 Absatz 1 BSIG liegt der Rahmen bei 500.000 Euro, für die Nichtbefolgung bestimmter Anordnungen bei 2 Millionen Euro. Eine weitere Stufe von 100.000 Euro betrifft die jederzeitige Erreichbarkeit der Kontaktstelle, und die ist nach § 33 Absatz 2 BSIG nur von Betreibern kritischer Anlagen gefordert, also für den Mittelstand in der Regel nicht einschlägig.
Erst darüber kommen die bekannten Rahmen. § 65 Absatz 5 BSIG nennt bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen. Für bestimmte Verstöße tritt abweichend davon ein Prozentsatz des Gesamtumsatzes an die Stelle des Festbetrags, nämlich 2 Prozent bei besonders wichtigen und 1,4 Prozent bei wichtigen Einrichtungen. Für Mittelständler ist damit der Rahmen von 7 Millionen Euro beziehungsweise 1,4 Prozent maßgeblich. Wichtiger als die Höhe ist ohnehin § 30 Absatz 1 BSIG, der geeignete, verhältnismäßige und wirksame Maßnahmen verlangt, bemessen an Risikoexposition, Größe, Umsetzungskosten sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle.
Weil zwei zentrale Pflichten ohne sie nicht erfüllbar sind. Die Risikoanalyse nach § 30 Absatz 2 Nummer 1 BSIG braucht einen Gegenstand, und der Gegenstand sind Systeme, Daten und Abhängigkeiten. Ohne Inventar ist die Analyse eine Vermutung.
Der zweite Grund wird meist übersehen. Ein Vorfall ist nach dem Gesetz erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere Personen durch erhebliche Schäden beeinträchtigt hat oder beeinträchtigen kann. Diese Bewertung muss binnen Stunden gelingen, und das geht nur, wenn bekannt ist, welche Systeme welche Prozesse tragen und welche Daten darin liegen. In gewachsenen IT-Landschaften mit Altsystemen und Schatten-IT ist die Bestandsaufnahme deshalb der wirksamste erste Schritt.
Drei. Erstens die dokumentierte Nichtbetroffenheit. Wer zu dem Ergebnis kommt, nicht erfasst zu sein, braucht dieselbe schriftliche Begründung wie jemand, der erfasst ist.
Zweitens die Wirksamkeitsprüfung. § 30 Absatz 2 BSIG verlangt ausdrücklich Konzepte zur Bewertung der Wirksamkeit der Maßnahmen. In der Praxis existieren die Maßnahmen, aber niemand prüft, ob sie wirken, und genau das fragt eine Aufsicht zuerst. Drittens der Zeitpunkt. Wer die eigene Betroffenheit erst durch den Fragebogen eines Kunden entdeckt, verhandelt aus der schwächeren Position, weil dann der Kunde die Frist setzt und nicht das eigene Projekt.
Die Checkliste richtet sich an Geschäftsführungen und Inhaber, IT-Leitungen sowie Qualitäts- und Sicherheitsverantwortliche in mittelständischen Betrieben und Familienunternehmen. Laden Sie sie kostenfrei herunter.
Sprechen Sie mit unseren Expert:innen und erfahren Sie, wie das Digital Compliance Office Ihre Compliance automatisiert.
Gespräch vereinbaren