Erst die Betroffenheit klären, dann die Technik

Ob eine Gesellschaft unter das Gesetz fällt, ergibt sich aus ihrer tatsächlichen Tätigkeit sowie aus Größe und Umsatz. In Unternehmensverbünden wird jede Einrichtung einzeln betrachtet.

Es kommt regelmäßig vor, dass eine Tochtergesellschaft erfasst ist, während die Schwestergesellschaft im selben Gebäude außen vor bleibt. Wer die Prüfung auf Konzernebene abkürzt, baut entweder zu viel oder übersieht die eine Einheit, auf die es ankommt.

Der häufigere Weg in die Pflicht führt über die Lieferkette. Betroffene Einrichtungen müssen ihre Dienstleister bewerten und vertraglich binden, und diese Anforderungen landen als Anlage in Verträgen bei Zulieferern, die selbst nicht unter das Gesetz fallen. Für viele mittelständische Häuser ist das der erste Kontakt mit NIS2: ein Fragebogen vom größten Kunden, mit Frist. Die verbindliche Feststellung treffen wir nicht; wir strukturieren die Prüfung und liefern die technischen Angaben.

Die Registrierung beim BSI und die Benennung einer Ansprechstelle sind schnell erledigt. Der Aufwand steckt in dem, was danach kommt: ein Risikomanagement, das die eigenen Systeme kennt, und Belege dafür, dass die Maßnahmen im Alltag greifen. Technisch sind das vertraute Themen mit höherer Nachweisdichte — Segmentierung, Entzug von Zugängen, Härtung, geprüfte Sicherungen und ein Wiederanlauf, der schon einmal durchgespielt wurde. Wir betreuen solche Umgebungen ohnehin, deshalb übernimmt die Umsetzung meist dasselbe Team, das auch die laufende Systembetreuung macht.

An der Meldepflicht fliegt Papier am schnellsten auf. Verlangt wird eine Meldung innerhalb kurzer Fristen, mit Zeitpunkt, Verlauf und Einschätzung. Das setzt voraus, dass ein Vorfall erkannt wird, dass die erkennende Person weiß, wen sie weckt, und dass jemand entscheidungsbefugt ist, wenn die Geschäftsleitung im Urlaub ist. Wir richten deshalb zuerst die Erkennung ein und proben den Ablauf; was dabei hakt, hakt im Ernstfall auch.

Tätigkeit, Konzernstruktur und Kundenverträge strukturiert erfasst

Entscheidungsvorlage für Ihre Rechtsabteilung mit benannten offenen Fragen

Netze, Zugänge, Systeme und Dienstleister aufgenommen

Risikoübersicht mit den Maßnahmen, die daraus folgen

Segmentierung, Zugangsentzug und Härtung umgesetzt

Konfigurierte Umgebung mit dokumentiertem Soll-Zustand

Sicherungen und Wiederanlauf durchgespielt

Protokoll eines echten Wiederanlaufs statt einer Zusage im Konzept

Erkennung und Meldekette eingerichtet und geprobt

Zentrale Protokolle, hinterlegte Rufkette und Eintrag zu jeder Übung

Berichtsformat für die Geschäftsleitung festgelegt

Kurze regelmäßige Vorlage zu Änderungen, Vorfällen und offenen Maßnahmen

Wir verlangen von Kunden nichts, was wir nicht selbst tun. Unser Managementsystem für Informationssicherheit ist nach ISO/IEC 27001:2022 zertifiziert, wir sind Mitglied der Allianz für Cyber-Sicherheit des BSI, und Anwendungen laufen bei Bedarf in unseremeigenen Rechenzentrum. Was ein Audit an Unterlagen verlangt, kennen wir aus der Rolle des Geprüften.

Ein eigenes Zertifikat verlangt das Gesetz von Ihnen nicht. Ein vorhandenes Managementsystem verkürzt die Arbeit an NIS2 aber erheblich, weil Risikoanalyse, Rollen und Dienstleisterbewertung dann bereits existieren und nur noch auf den Anwendungsbereich gezogen werden müssen. Fehlt beides, fangen wir mit den Systemen an, die den Betrieb tragen, und arbeiten uns zur Dokumentation vor.