NIS2: die technische Vorbereitung

Für Einrichtungen, die bereits mit dem Inkrafttreten in den Anwendungsbereich fielen, ist die anfängliche Dreimonatsfrist inzwischen abgelaufen. Wer erst später hineinwächst – etwa durch Wachstum, eine geänderte Tätigkeit oder eine Umstrukturierung –, hat eine eigene Frist ab diesem Zeitpunkt.

Ob und in welchem Umfang eine Organisation betroffen ist, hängt an Sektor, Größe und Tätigkeit. Das Bundesamt für Sicherheit in der Informationstechnik stellt dafür eine Betroffenheitsprüfung bereit. Diese Einordnung ist eine Rechtsfrage; sie gehört zur zuständigen Aufsicht oder in eine anwaltliche Prüfung und wird hier nicht beantwortet.

Die technischen und organisatorischen Anforderungen decken sich weitgehend mit dem, was etablierte Rahmenwerke ohnehin verlangen. Wer hier arbeitet, arbeitet nicht umsonst – auch dann nicht, wenn die Betroffenheit am Ende verneint wird.

Meldepflichten haben kurze Fristen. Sie scheitern in der Praxis selten an fehlender Technik, sondern daran, dass im Ernstfall unklar ist, wer bewertet, wer entscheidet, wer meldet und woher die Angaben kommen.

Das lässt sich vorab klären und einmal durchspielen. Ein Verfahren, das erst im Vorfall zum ersten Mal ausgeführt wird, kostet genau die Zeit, die dann nicht da ist.

Zuerst die Einordnung – nicht als Selbstbewertung, sondern über die Betroffenheitsprüfung des Bundesamts und, wo nötig, rechtlich begleitet. Parallel dazu lässt sich der technische Teil beginnen, weil er von der Einordnung kaum abhängt.

Dann eine Bestandsaufnahme gegen einen vereinbarten Katalog, daraus ein nach Risiko sortierter Maßnahmenplan, und erst danach die Frage nach Werkzeugen. Wer mit der Werkzeugauswahl beginnt, kauft in der Regel etwas, das ein Problem löst, das noch niemand beschrieben hat.