NIS2: was es einem mittelgroßen Unternehmen tatsächlich abverlangt

NIS2 hat das Netz erheblich weiter gespannt. Sehr viele mittelgroße Unternehmen, die außerhalb der ursprünglichen Richtlinie lagen, fallen jetzt unter diese — oft ohne es zu merken. Und die Pflichten sind konkreter, als die Schlagzeilen vermuten lassen.

Fallen Sie in den Anwendungsbereich?

Der Anwendungsbereich richtet sich nach Branche und Größe, nicht nach dem Umsatz allein. Herstellung, Lebensmittel, Abfall, Postdienste, digitale Anbieter und Managed Service Provider sind ausdrücklich genannt. Wenn Sie in einer dieser Branchen mehr als etwa fünfzig Beschäftigte haben, gehen Sie davon aus, dass Sie erfasst sind, bis Ihnen jemand schriftlich das Gegenteil sagt.

Was sie verlangt

Risikomanagement, das auf Papier existiert. Nicht das Gefühl, dass im Großen und Ganzen alles in Ordnung ist. Eine dokumentierte Sicht darauf, was schiefgehen könnte, was Sie dagegen getan haben und wer entschieden hat, dass das genügt.

Meldung von Vorfällen in engen Fristen. Eine Frühwarnung innerhalb von vierundzwanzig Stunden nach Kenntnisnahme, eine ausführlichere Meldung innerhalb von zweiundsiebzig. Das ist kurz. Erst während eines Vorfalls zu klären, wer wen anruft, ist der Grund, warum Unternehmen diese Fristen verpassen.

Verantwortung für die Lieferkette. Es wird erwartet, dass Sie wissen, welche Lieferanten Ihre Systeme erreichen können und wie deren Sicherheitsniveau aussieht. Nachweise, keine Zusicherungen.

Verantwortung der Leitung. Das ist der Teil, der sich geändert hat. Die Geschäftsleitung kann persönlich in die Verantwortung genommen werden, was Sicherheit zu einem Thema der Führungsebene macht und nicht der IT.

Was zuerst zu tun ist

Schreiben Sie den Notfallplan. Nicht die Richtlinie — den Plan. Wer wird um zwei Uhr nachts angerufen, wer darf das Abschalten eines Systems genehmigen, was wird Kunden gesagt, welche Behörde wird von wem informiert. Das sind eine oder zwei Seiten, und sie sind der Unterschied zwischen einer schlechten Woche und einem schlechten Quartal.

Erfassen Sie dann Ihre Lieferanten nach Zugriff und nicht nach Ausgaben. Die größte Rechnung ist selten das größte Risiko.

Eine Anmerkung zum Zeitpunkt

Das meiste davon ist gute Praxis, die es schon vor der Richtlinie gab. Wenn es nach viel klingt, ist das meist ein Zeichen dafür, dass es überfällig war — und nicht dafür, dass NIS2 unangemessen ist.