NIS2 im Mittelstand: betroffen auf zwei Wegen

Viele mittelständische Betriebe halten NIS2 für ein Thema der Konzerne und übersehen, dass sie auf zwei Wegen hineingeraten: über den eigenen Sektor und über ihre Rolle als Zulieferer. Der zweite Weg ist der häufigere. Gleichzeitig steht im Gesetz mehr Entlastung, als die meisten Zusammenfassungen erkennen lassen, und die lohnt sich zu kennen, bevor ein Projekt größer geplant wird als nötig.

Wen erfasst NIS2 im Mittelstand, und auf welchen zwei Wegen?

Der erste Weg ist der Sektor. In der Anlage 2 des BSIG stehen unter anderem das verarbeitende Gewerbe, die Chemie, die Lebensmittelbranche und die Abfallbewirtschaftung. Wer dort tätig ist und mindestens 50 Beschäftigte hat oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro erreicht, ist wichtige Einrichtung. Maßgeblich sind Sektor und Größe, nicht das Selbstbild: Ein Zulieferer mit 120 Beschäftigten fühlt sich als Familienbetrieb und ist im Sinne des Gesetzes trotzdem erfasst.

Der zweite Weg ist der Vertrag. Nach § 30 Absatz 2 Nummer 4 BSIG muss jede betroffene Einrichtung die Sicherheit ihrer Lieferkette regeln, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern. Das Wort unmittelbar ist wichtig, in beide Richtungen. Ein großer, regulierter Kunde muss genau seine direkten Lieferanten in den Griff bekommen, und dazu gehört der Mittelständler. Umgekehrt schuldet dieser dann seine eigene erste Lieferantenebene, nicht die gesamte Kette bis zum Rohstoff. Das begrenzt den Aufwand erheblich, und es ist das häufigste Missverständnis in Lieferantenfragebögen.

Wie viel Aufwand verlangt NIS2 im Mittelstand wirklich?

Weniger, als der Umfang der Maßnahmenliste vermuten lässt, und das steht ausdrücklich im Gesetz. § 30 Absatz 1 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und nennt die Faktoren, an denen sich die Verhältnismäßigkeit bemisst: das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Kosten der Umsetzung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle samt ihren gesellschaftlichen und wirtschaftlichen Auswirkungen.

Diese Aufzählung ist keine Floskel, sondern die Argumentationsgrundlage gegenüber Aufsicht und Kunden. Ein Betrieb mit 80 Beschäftigten schuldet nicht das Schutzniveau eines Konzerns. Er schuldet eine nachvollziehbare Ableitung, warum genau diese Maßnahmen in diesem Umfang angemessen sind. Wer die fünf Faktoren in der eigenen Risikobeurteilung sichtbar verwendet, hat die Begründung schon geschrieben.

Was bedeutet NIS2 im Mittelstand bei ausgelagerter IT?

Dass sich der Betrieb der Systeme auslagern lässt, die Pflicht aber nicht. Das ist der Punkt, an dem im Mittelstand am häufigsten falsch geplant wird, weil die IT oft vollständig bei einem Systemhaus liegt.

Rechtlich passiert zweierlei. Der IT-Dienstleister wird zum unmittelbaren Anbieter im Sinne von § 30 Absatz 2 Nummer 4 und muss damit selbst gesteuert werden, mit vereinbarten Sicherheitsanforderungen und einer wiederkehrenden Bewertung. Und die Leitungspflicht bleibt, wo sie ist: Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen, und diese Verantwortung ist nicht delegierbar. Praktisch heißt das, dass der Vertrag mit dem Dienstleister angefasst werden muss, statt sich auf ihn zu verlassen. Und es heißt, dass jemand im eigenen Haus verstehen muss, was der Dienstleister tut.

Was gilt bei NIS2 im Mittelstand ausdrücklich nicht?

Zwei Verschärfungen, die häufig mitgelesen werden, obwohl sie andere Adressaten haben. Die erste sind die Durchführungsrechtsakte der Europäischen Kommission. § 30 Absatz 3 BSIG erklärt sie für bestimmte digitale Einrichtungsarten für vorrangig, etwa für DNS-Diensteanbieter, Registries und Anbieter von Cloud-Computing-Diensten. Für einen Fertigungsbetrieb gelten sie nicht.

Die zweite sind die zusätzlichen Anforderungen an Betreiber kritischer Anlagen, zu denen auch Systeme zur Angriffserkennung gehören. Sie richten sich an einen deutlich engeren Kreis. Ein Mittelständler in einem Anlage-2-Sektor hat also den Maßnahmenkatalog des § 30, die Meldepflichten des § 32, die Registrierung und die Leitungspflichten, aber nicht die KRITIS-Zusatzpflichten. Diese Abgrenzung sauber zu dokumentieren, spart im Projekt am meisten Zeit.

Welche Punkte werden bei NIS2 im Mittelstand am häufigsten unterschätzt?

Drei. Erstens die Fernwartungszugänge der Maschinen- und Anlagenlieferanten. Sie sind der bequemste Weg in die Produktion und im Sinne des Gesetzes Beziehungen zu unmittelbaren Anbietern. Verlangt sind Kontrolle, Protokollierung und eine Regel, wann ein Zugang offen ist und wann nicht.

Zweitens der Geltungsbereich. Wer nur die Büro-IT betrachtet, lässt das größte Risiko draußen. Fertigungssteuerung, vernetzte Maschinen und die Schnittstellen zwischen beiden Welten gehören hinein. Drittens die Meldefähigkeit in einem kleinen Team. Die 24-Stunden-Frist des § 32 BSIG kennt keine Urlaubs- und keine Nachtschicht. Es braucht eine benannte Vertretung, eine erreichbare Rufkette und die Festlegung, wer im Zweifel meldet, auch wenn noch nicht alles geklärt ist.

Was steht im Whitepaper?

• Warum die Betroffenheit im Mittelstand auf zwei Wegen entsteht und wie sie sich nachprüfbar feststellen lässt
• Sechs Eigenheiten mittelständischer Betriebe, von der schlanken und oft ausgelagerten IT bis zu langlebigen Altsystemen in der Produktion
• Fünf Angriffsszenarien aus der Praxis, von Ransomware im Maschinennetz bis zum Weg über die Lieferkette zum großen Kunden
• Was das Gesetz konkret verlangt, entlang der Paragraphen zu Betroffenheit, Risikomanagement, Meldepflichten, Leitungspflichten und Sanktionen
• Eine Roadmap in sechs Schritten mit Augenmaß, die vorhandene Strukturen nutzt statt bei null zu beginnen

Das Whitepaper richtet sich an Geschäftsführungen, IT-Leitungen sowie Produktions- und Qualitätsverantwortliche in mittelständischen Betrieben und Familienunternehmen. Laden Sie es kostenfrei herunter.