NIS2 Checkliste für Scaleups: von der Betroffenheit bis zur Meldefähigkeit

Bei einem wachsenden Unternehmen ist die schwierige Frage bei NIS2 selten, was zu tun ist. Sie lautet: ab wann. Wachstum verschiebt die Einstufung, und das Gesetz beantwortet die Zeitfrage an drei Stellen, die selten zusammen gelesen werden.

Ab wann greift die NIS2 Checkliste für Scaleups?

Nicht mit dem ersten Überschreiten der Schwelle. § 28 Absatz 4 BSIG verweist für Beschäftigtenzahl, Umsatz und Bilanzsumme auf die Empfehlung 2003/361/EG der Kommission, und Artikel 4 ihres Anhangs regelt den Zeitbezug: Herangezogen werden die Angaben des letzten Rechnungsabschlusses, berechnet auf Jahresbasis. Ein Statuswechsel tritt erst ein, wenn es in zwei aufeinanderfolgenden Geschäftsjahren zu einer Über- oder Unterschreitung kommt.

Für ein Scaleup ist das ein Puffer, aber kein Freibrief. Die Regel wirkt in beide Richtungen, und sie verlangt, dass die Zahlen je Geschäftsjahr festgehalten werden, sonst lässt sich der eigene Status später nicht begründen. Für ein neu gegründetes Unternehmen, das noch keinen Jahresabschluss vorlegen kann, sind die Daten im Laufe des Geschäftsjahres nach Treu und Glauben zu schätzen. Der Merksatz für die Praxis: Die Einstufung ist eine Zeitreihe und kein Stichtag. Wer sie als Momentaufnahme dokumentiert, hat sie nach der nächsten Finanzierungsrunde nicht mehr.

Welche Frist gilt bei der NIS2 Checkliste für Scaleups für die Registrierung?

Eine eigene, und sie hängt am Unternehmen und nicht am Kalender. § 33 Absatz 1 BSIG verlangt die Registrierung spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als solche gilt. Für ein wachsendes Unternehmen ist das die relevante Frist, nicht ein allgemeines Stichtagsdatum aus der Einführungsphase.

Zu übermitteln sind mehr Angaben als erwartet: Name, Rechtsform und Handelsregisternummer, Anschrift und aktuelle Kontaktdaten, die öffentlichen IP-Adressbereiche, der relevante Sektor beziehungsweise Teilsektor, die Liste der EU-Mitgliedstaaten, in denen Dienste angeboten werden, sowie die zuständigen Aufsichtsbehörden. Und dann kommt der Teil, der in fast jeder Planung fehlt: Nach § 33 Absatz 5 BSIG sind Änderungen dieser Angaben unverzüglich, spätestens aber binnen zwei Wochen nach Kenntnis zu melden. Für ein Unternehmen, das Standorte eröffnet, Adressbereiche umzieht und Märkte hinzunimmt, ist die Registrierung damit eine Pflegeaufgabe und kein Einmalvorgang. Wer gar nicht registriert, kann nach § 33 Absatz 3 BSIG durch das BSI selbst registriert werden.

Wann ist ein Vorfall bei der NIS2 Checkliste für Scaleups meldepflichtig?

Früher, als die meisten annehmen, und die Definition steht im Gesetz. Ein Sicherheitsvorfall ist nach § 2 BSIG ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der über die IT angebotenen Dienste beeinträchtigt. Erheblich ist er, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Das entscheidende Wort ist verursachen kann. Die Meldeschwelle liegt vor dem eingetretenen Schaden, nicht danach. Danach greift die gestufte Kette des § 32 BSIG mit Frühwarnung binnen 24 Stunden, Meldung mit erster Bewertung binnen 72 Stunden und Abschlussbericht binnen eines Monats, jeweils ab Kenntnis. Für ein Produktunternehmen heißt das, dass die Bewertung an den eigenen Diensten und Kunden hängt und nicht an einem Schwellenwert in einer Tabelle.

Was verlangt die NIS2 Checkliste für Scaleups von der Geschäftsführung?

Mehr als eine Unterschrift. § 38 Absatz 1 BSIG verpflichtet die Geschäftsleitungen, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Das ist eine aktive Pflicht, nicht die Kenntnisnahme eines Berichts.

Dazu kommt eine eigene Schulungspflicht: Nach § 38 Absatz 3 BSIG müssen die Geschäftsleitungen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Informationssicherheit zu erlangen. Gemeint ist nicht die Awareness-Schulung der Belegschaft, sondern eine Schulung der Leitung selbst. Absatz 2 verweist auf die gesellschaftsrechtliche Haftung. Praktisch reduziert sich das auf vier belegbare Dinge: ein Beschluss, ein Protokoll der Überwachung, ein Schulungsnachweis und ein wiederkehrender Termin. Genau diese vier Belege werden inzwischen auch im Datenraum abgefragt.

Welche Punkte werden bei der NIS2 Checkliste für Scaleups am häufigsten übersprungen?

Drei. Erstens der feste Prüfanlass. Wenn die Einstufung nicht an den Jahresabschluss gekoppelt ist, veraltet sie unbemerkt, und niemand merkt, dass das zweite Geschäftsjahr über der Schwelle erreicht wurde.

Zweitens die Liste der Mitgliedstaaten. Bei einem Produkt mit Selbstbedienungsanmeldung ist die Frage, in welchen Ländern Dienste angeboten werden, keine triviale, und sie steht in den Registrierungsdaten. Drittens die dokumentierte Nichtmeldung. Wer entscheidet, dass ein Vorfall nicht erheblich war, sollte die Begründung festhalten. Ohne sie bleibt im Nachhinein offen, ob geprüft oder nur nicht gemeldet wurde.

Was steht in der Checkliste?

• Vier Situationen, in denen NIS2 für ein Scaleup kritisch wird, von der Betroffenheit bis zur Haftung der Leitungsebene
• Eine Readiness in sechs Schritten, von der Betroffenheitsprüfung über Registrierung, Risiken und Maßnahmen bis zu Meldung, Leitung und Schulung
• Drei typische Stolperfallen, von der zu spät geprüften Betroffenheit bis zum fehlenden Meldeprozess
• Drei Quick Wins, die früh Wirkung zeigen, unter anderem die Synergien mit einem bestehenden ISMS nach ISO 27001

Die Checkliste richtet sich an Gründerinnen und Gründer, Geschäftsführungen, CTOs sowie Sicherheits- und Compliance-Verantwortliche in wachsenden Technologieunternehmen. Laden Sie sie kostenfrei herunter.