NIS-2 im Mittelstand: Es fehlt selten Sicherheit, sondern Struktur

Die meisten sind besser aufgestellt, als sie glauben

In Unternehmensgruppen des gehobenen Mittelstands findet sich selten ein Sicherheitsvakuum. Vorhanden sind meist Backups, Zugriffskonzepte, Notfallpläne, oft eine Zertifizierung. Das tatsächliche Sicherheitsniveau ist meist besser als das Gefühl im Haus. Hinzu kommt: In vielen Lizenzbündeln liegen zusätzliche Sicherheitsfunktionen brach, die zur Hälfte ungenutzt sind, stilles Potenzial, das niemand strukturiert erschließt.

Was fehlt, ist etwas anderes: eine belastbare Übersicht darüber, was vorhanden ist, wer es verantwortet und wie sich seine Wirksamkeit belegen lässt. Genau das verlangt das Gesetz aber, es fordert nicht nur Maßnahmen, sondern Konzepte und Verfahren zur Bewertung ihrer Wirksamkeit.

Der Unterschied ist wirtschaftlich erheblich. Ein fehlendes Sicherheitsniveau kostet Investitionen. Eine fehlende Struktur kostet Ordnungsarbeit. Das eine bindet Budget, das andere bindet Aufmerksamkeit. Wer beides verwechselt, kauft Technik und Beratung für ein Problem, das er nicht hat.

MANAGE NOW - SAP-BTP-Partner - SAP-HANA-Partner - SAP-GOLD-Partner

Die erste Frage ist keine IT-Frage, sondern eine Zuordnungsfrage: Für welche Gesellschaft im Konzern gilt das Gesetz eigentlich?

Der lehrreichste Fall ist die eigene IT. Viele Gruppen haben ihre IT vor Jahren in eine eigene Gesellschaft ausgegründet, sie betreibt Netze, Rechenzentrum, ERP und Arbeitsplätze für die Schwestergesellschaften. Geschäftlich ist das ein interner Dienstleister. Regulatorisch ist es etwas anderes: Nach Einschätzung des BSI sind Tochterunternehmen, in denen der zentrale IT-Betrieb eines Verbunds organisiert ist, in der Regel als Managed Service Provider oder Managed Security Service Provider anzusehen und damit reguliert, wobei stets eine Einzelfallprüfung erforderlich ist.

Das ist für viele Häuser die eigentliche Überraschung: Die IT-Tochter kann selbst unter das Gesetz fallen, auch wenn die Muttergesellschaft in keinem regulierten Sektor tätig ist.

Die Abgrenzung ist dabei erfreulich konkret. Nicht erfasst sind nach den BSI-FAQ etwa Gesellschaften, die einen Dienst gegenüber Kunden zwar geschäftlich anbieten, den technischen Betrieb aber vollständig durch ein anderes Konzernunternehmen oder einen Dritten erbringen lassen, ebenso Einheiten, die lediglich Anwendersupport ohne technischen Zugriff auf System- oder Anwendungsebene leisten. Entscheidend ist also, wer tatsächlich betreibt, nicht wer auf dem Vertrag steht.

Wer diese Zuordnung sauber vornimmt, spart den größten Einzelposten: Maßnahmen, die für Bereiche eingekauft werden, die gar nicht erfasst sind.

MANAGE NOW - Luenendonk TOP und SAP-Gold-Partner

Der zweite verbreitete Irrtum: Man könne die Pflicht auf Konzernebene erledigen. Einheitliche Sicherheitskonzepte und zentrale Incident-Response-Strukturen sind zulässig und sinnvoll, rechtlich bleibt jedoch jede verpflichtete Gesellschaft eigenständig verantwortlich und muss nachweisen können, dass die zentralen Maßnahmen die Anforderungen für ihre eigene Organisation erfüllen. Eine Konzernprivilegierung sieht das Gesetz nicht vor, und meldepflichtig ist stets die konkret betroffene Einrichtung.

Praktisch heißt das: zentral bauen, dezentral belegen. Wer das früh so anlegt, spart sich später ein Nachdokumentieren je Gesellschaft und genau dieses Nachdokumentieren ist erfahrungsgemäß der Posten, der Projekte teuer macht.

Kaum ein mittelständisches Haus hält für jede Disziplin ein eigenes Team vor. Der Betrieb ist auf mehrere Partner verteilt, historisch gewachsen, vertraglich unterschiedlich alt. Das ist wirtschaftlich vernünftig.

Die Lücke entsteht dann selten innerhalb eines Vertrags, sondern zwischen den Verträgen. Im Ernstfall zählt nicht, wer welche Leistung schuldet, sondern wer einen Vorfall bemerkt, wer entscheidet und wer innerhalb von 24 Stunden meldet. Diese Kette einmal eindeutig zu schneiden, kostet Abstimmungszeit, aber kaum Investitionsmittel. Der Wirksamkeitsgewinn übertrifft den der meisten technischen Nachrüstungen.

Hinzu kommt ein Effekt, der viele Häuser unabhängig von der eigenen Betroffenheit erreicht: Betroffene Unternehmen sind verpflichtet, die Sicherheit ihrer Lieferkette zu gewährleisten und ihren Lieferanten konkrete Cybersicherheitsanforderungen vertraglich aufzuerlegen. Für viele Zulieferer kommt die Regulierung deshalb nicht über das Bundesgesetzblatt, sondern über den nächsten Rahmenvertrag.