NIS2: Was den Mittelstand betrifft — Pflichten und Fristen

Die Betroffenheit ergibt sich aus zwei Merkmalen, die beide zutreffen müssen: der Sektor und die Betriebsgröße. Die Richtlinie führt die Sektoren in zwei Anhängen. Der erste umfasst elf Sektoren hoher Kritikalität (Europäische Kommission): Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von Informations- und Kommunikationstechnikdiensten für Dritte, öffentliche Verwaltung und Weltraum. Der zweite Anhang nennt sieben weitere kritische Sektoren (Europäische Kommission): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Herstellung von Waren, Anbieter digitaler Dienste und Forschung.

Der Sektor Herstellung von Waren ist für den Mittelstand der praktisch wichtigste, weil er breit angelegt ist: Medizinprodukte, Datenverarbeitungsgeräte und elektronische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile sowie sonstiger Fahrzeugbau. Ein Zulieferbetrieb mit 80 Beschäftigten (Projekterfahrung als typische Größenordnung), der Baugruppen für den Maschinenbau fertigt, kann damit unmittelbar erfasst sein, ohne dass in seinem Betrieb jemals von kritischer Infrastruktur die Rede war.

Die Größenschwellen folgen der europäischen Definition mittlerer Unternehmen. Ab 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro (Europäische Kommission) gilt ein Betrieb im erfassten Sektor regelmäßig als wichtige Einrichtung. Ab 250 Beschäftigten oder einem Jahresumsatz über 50 Millionen Euro beziehungsweise einer Bilanzsumme über 43 Millionen Euro (Europäische Kommission) und in einem Sektor des ersten Anhangs wird daraus eine wesentliche Einrichtung. Für bestimmte Betriebsarten — etwa Anbieter bestimmter digitaler Infrastrukturdienste — gelten Sonderregeln unabhängig von der Größe.

Der wichtigste Punkt an dieser Tabelle wird häufig übersehen: Der inhaltliche Pflichtenkatalog unterscheidet sich zwischen beiden Kategorien nicht. Unterschiedlich sind die Aufsicht und der Sanktionsrahmen. Wer sich mit dem Gedanken beruhigt, nur eine wichtige und keine wesentliche Einrichtung zu sein, hat die gleiche Arbeit vor sich — nur mit geringerer Wahrscheinlichkeit, dass jemand unangekündigt danach fragt.

Der Katalog der Risikomanagementmaßnahmen ist in der Richtlinie als Mindestliste formuliert (Europäische Kommission). Er ist bewusst technikoffen gehalten: Es steht nicht darin, welches Werkzeug einzusetzen ist, sondern welcher Gegenstand geregelt sein muss. Die Maßnahmen sollen dem Risiko angemessen sein — ein Betrieb mit 60 Beschäftigten wird also nicht dasselbe aufbauen wie ein Netzbetreiber, muss die Themen aber alle abgedeckt haben.

Für die Praxis lässt sich die Liste zu sechs Arbeitsfeldern bündeln. Keines davon ist neu; die meisten Betriebe haben Teile davon bereits, ohne sie so zu nennen. Der Unterschied liegt in der Nachweisbarkeit: Was heute im Kopf des Systembetreuers liegt, muss schriftlich und aktuell vorliegen.

Auffällig ist der letzte Punkt der Mindestliste: Konzepte zur Bewertung der Wirksamkeit der Maßnahmen (Europäische Kommission). Es genügt also nicht, eine Regelung zu erlassen. Es muss geprüft und festgehalten werden, ob sie im Alltag greift. Das ist der Punkt, an dem viele vorhandene Sicherheitsordner scheitern: Sie beschreiben einen Sollzustand, der seit Jahren nicht mehr mit dem Betrieb übereinstimmt.

Die Richtlinie adressiert die Leitungsorgane unmittelbar. Sie müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen, um Risiken und Managementpraktiken beurteilen zu können (Europäische Kommission). Zusätzlich sehen die Regelungen eine Verantwortlichkeit der Leitung für Verstöße vor. Delegieren lässt sich die Ausführung, nicht die Verantwortung.

Für den Mittelstand hat das eine sehr praktische Konsequenz: Sicherheitsarbeit, die bisher nebenbei lief, braucht eine Freigabe mit Datum. Ein Beschluss der Geschäftsführung, der den Maßnahmenplan billigt, Budget und Zuständigkeit benennt und einen Überprüfungstermin festlegt, ist kein Formalismus. Er ist der Nachweis, dass die Leitungspflicht wahrgenommen wurde — und er verhindert, dass die Arbeit beim ersten Auftragsdruck liegen bleibt.

Die Schulungspflicht wird oft unterschätzt, weil sie sich nicht wie eine technische Aufgabe anfühlt. Sie ist jedoch der Punkt, an dem sich Nachweisbarkeit am günstigsten herstellen lässt: Teilnehmerlisten, Inhalte und Termine sind in kurzer Zeit dokumentiert und decken einen Prüfpunkt vollständig ab. Sinnvoll ist die Verbindung mit der ohnehin nötigen Einführung und Schulung bei neuen Abläufen, statt einen getrennten Termin anzusetzen, den niemand wahrnimmt.

Der häufigste Fehler in dieser Lage ist das Warten. Solange die letzte Rechtsverordnung nicht veröffentlicht ist, scheint jede Investition verfrüht. Tatsächlich betrifft die verbleibende Unsicherheit vor allem Formalien: Registrierungsverfahren, Meldeformulare, Fristen für die erstmalige Registrierung, Zuordnung einzelner Betriebsarten. Die inhaltliche Substanz steht seit Verabschiedung der Richtlinie fest, und sie deckt sich weitgehend mit dem, was ein Betrieb ohnehin braucht, um nach einem Ausfall wieder arbeitsfähig zu sein.

Wer die Vorbereitung als IT-Sicherheitsprojekt aufsetzt, macht sie größer, als sie sein muss. Deutlich tragfähiger ist der Zuschnitt als Bestandsaufnahme: Welche Systeme gibt es, welche Daten laufen zwischen ihnen, wer hat worauf Zugriff, was passiert bei einem Ausfall? Diese Fragen sind dieselben, die am Anfang jeder Prozessanalyse stehen — die Ergebnisse tragen doppelt.

Sechs Wochen sind kein Versprechen, sondern eine Größenordnung aus Vorhaben dieser Art (Projekterfahrung). Entscheidend ist nicht das Tempo, sondern dass am Ende jeder Woche ein Ergebnis auf Papier steht. Ein Bestandsverzeichnis, das zu 80 Prozent fertig ist (Projekterfahrung), hilft in einer Prüfung mehr als ein vollständiges, das nie begonnen wurde.

In vielen mittelständischen Betrieben steht mindestens ein System, das seit Jahren keine Aktualisierungen mehr erhält: eine Fertigungssteuerung, eine ältere Warenwirtschaft, eine Maschinensteuerung mit fest verdrahtetem Betriebssystem, ein Zeiterfassungsserver unter dem Schreibtisch. Solche Systeme sind für das Risikomanagement der schwierigste Punkt, weil sie sich nicht durch eine Aktualisierung absichern lassen und weil ihr Austausch oft mit der Produktion kollidiert.

Die Richtlinie verlangt keinen Austausch. Sie verlangt, dass das Risiko erkannt, bewertet und durch angemessene Maßnahmen behandelt wird. Praktikabel ist meist die Einhegung: das System netzwerkseitig vom übrigen Betrieb trennen, Zugriffe auf benannte Personen und Wege begrenzen, den Datenaustausch über kontrollierte Übergabepunkte führen, Protokolle sichern und eine Wiederherstellung des Gesamtsystems vorbereiten. Dokumentiert und begründet ist ein eingehegtes Altsystem prüffest; unbeachtet ist es der offene Punkt, auf den jede Prüfung zuerst stößt.

Wo die Einhegung an Grenzen stößt — weil das System zentral im Datenfluss liegt oder weil der Hersteller keinerlei Unterstützung mehr leistet — wird die Ablösung des Altsystems zur mittelfristigen Aufgabe. Sie gehört dann in die Planung mit Termin und Budget, nicht in die Rubrik der bekannten Probleme. Ein bekannter, terminierter Mangel ist in der Aufsicht anders zu bewerten als ein unbekannter.