Ein Mittelständler hält sich für nicht betroffen, bis sein größter Kunde einen NIS-2-Nachweis verlangt. Die Frist ist kurz, der Druck ist groß, und die bequemste Lösung liegt auf der Hand. Überall „Ja“ ankreuzen und hoffen. Wie eine IT-Leiterin diesen Weg verhindert und dabei auf eine Wahrheit stößt, mit der im Haus niemand gerechnet hat, erzählt dieses Fallbeispiel.
Die folgende Geschichte ist ein fiktives Fallbeispiel. Personen und Unternehmen sind frei erfunden. Die Abläufe, Widerstände und Entscheidungen entsprechen Situationen, wie sie in der Beratungspraxis häufig vorkommen.
Ein Dienstagmorgen
Der Betreff klang nach Routine. Lieferantenaudit, Aktualisierung Sicherheitsnachweis. Als Markus Keller das angehängte PDF öffnete, war es mit der Routine vorbei. Absender war sein größter Kunde, ein Medizintechnikkonzern, auf den fast 40 Prozent des Umsatzes entfielen. Drei Seiten Fragenkatalog, knappe Fristen und ein Kürzel, das Keller bisher nur aus den Randspalten der Fachpresse kannte. NIS2.
Bis zu diesem Dienstagmorgen hatte sich Keller mit seinem Präzisionsbetrieb sicher gefühlt. Keine kritische Infrastruktur, deutlich unter 250 Mitarbeitern, kein Thema für die Aufsicht. So lautete die Einschätzung im Führungskreis, und niemand hatte sie je überprüft. Was dort keiner wusste, war, dass das neue BSI-Gesetz große Kunden verpflichtet, die Sicherheit ihrer unmittelbaren Lieferanten zu berücksichtigen. Die Anforderungen kamen deshalb nicht von einer Behörde, sondern vom wichtigsten Kunden.
Der letzte Satz des Anschreibens blieb hängen: „Bitte bestätigen Sie die Einhaltung der NIS-2-Sicherheitsanforderungen bis zum Monatsende, um Ihren Status als qualifizierter Direktlieferant nicht zu gefährden.“ Von diesem Moment an war Informationssicherheit keine Frage der IT mehr. Es ging um 40 Prozent des Umsatzes.
Die Frau mit dem zweiten Hut
Keller leitete die Mail an Sandra Brück weiter. Brück war seit neun Jahren IT-Leiterin des Betriebs, und seit drei Jahren stand in ihrer Stellenbeschreibung zusätzlich das Wort Informationssicherheitsbeauftragte. Ein zweiter Hut, wie ihn in mittelständischen Häusern viele tragen. Ohne eigenes Budget, ohne Team und mit dem stillen Einverständnis aller, dass Sicherheit wichtig ist, solange sie nichts kostet.
Brück kannte das Thema. Sie hatte im Frühjahr zweimal versucht, es in den Führungskreis zu bringen. Beide Male war die Antwort freundlich und eindeutig gewesen. Das betrifft uns nicht, wir sind zu klein, und außerdem haben wir andere Sorgen. Jetzt lag das Thema auf ihrem Tisch, mit einer Frist von 18 Tagen.
Sie las den Fragebogen am Abend zu Hause. 52 Fragen. Mehrfaktoranmeldung für alle Fernzugänge. Getestete Wiederherstellung der Datensicherung. Ein dokumentierter Meldeweg bei Sicherheitsvorfällen. Regelmäßige Schulungen der Geschäftsleitung. Bei etwa der Hälfte der Fragen wusste sie die Antwort sofort. Sie lautete „Nein“ oder nur „Teilweise“.
Die bequeme Lösung
Am nächsten Morgen saß sie mit Keller und dem Vertriebsleiter zusammen. Der Vertriebsleiter hatte eine klare Meinung. Der Kunde wolle ein Häkchen, kein Gutachten. Man kreuze überall „Ja“ an, schicke den Bogen zurück, und dann habe man ein Jahr Ruhe. Die anderen Lieferanten machten das auch so.
Brück kannte dieses Argument. Es war nicht dumm, und es war nicht böse gemeint. Es war der Versuch, ein Problem loszuwerden, das niemand bestellt hatte. Keller schwankte sichtlich. 40 Prozent Umsatz sind ein starkes Argument für ein schnelles Ja.
Brück sagte in dieser Runde nur einen Satz, und sie sagte ihn ruhig: „Wenn wir unterschreiben, dass wir alle Fernzugänge mit einem zweiten Faktor sichern, und morgen wird über einen dieser Zugänge die Produktion des Kunden gestört, dann ist nicht die IT das Problem, sondern die Unterschrift.“ Danach war es eine Weile still. Keller bat sie, bis Freitag eine Einschätzung vorzulegen.
Die Frage hinter der Frage
Eigentlich wollte Brück in diesen drei Tagen nur den Fragebogen ehrlich beantworten. Dabei stieß sie auf eine Frage, die niemand gestellt hatte: „Wenn der Kunde reguliert ist, wie sieht es eigentlich mit uns selbst aus?“
Sie nahm sich das BSI-Gesetz vor, die Anlagen und die Schwellenwerte. Die erste Überraschung war die Zahl. Die Schwelle, an die sich der Führungskreis erinnerte, lag bei 250 Beschäftigten. Das ist aber nur die Grenze für besonders wichtige Einrichtungen. Wichtige Einrichtung ist schon, wer in einem der erfassten Sektoren mindestens 50 Beschäftigte hat. Der Betrieb hatte knapp 140.
Die zweite Überraschung war der Sektor. Brück sah in der Meldung an das Statistische Landesamt nach, unter welchem Wirtschaftszweig der Betrieb geführt wurde. Dort stand Maschinenbau. Und der Maschinenbau steht in Anlage 2 des BSI-Gesetzes. Der Betrieb, der sich für einen kleinen Zulieferer hielt, war nach allem, was sie sehen konnte, selbst eine wichtige Einrichtung. Registriert war er nicht. Die Frist dafür war seit Monaten abgelaufen.
Brück erinnerte sich später an diesen Donnerstagabend als den Moment, in dem sich ihre Rolle änderte. Bis dahin hatte sie einen Fragebogen für den Vertrieb beantwortet. Jetzt hatte sie eine Nachricht für die Geschäftsführung, die niemand hören wollte.
Der Preis
Am Freitag legte sie Keller zwei Seiten vor: Auf der ersten stand die Betroffenheitsprüfung mit Sektor, Beschäftigtenzahl, Umsatz, Bilanzsumme und dem Ergebnis. Auf der zweiten stand, was daraus folgte: Die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik sofort nachholen. Die Geschäftsleitung in die Pflicht nehmen, denn das Gesetz verlangt von ihr, die Sicherheitsmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und sich regelmäßig schulen zu lassen. Und den Fragebogen des Kunden ehrlich beantworten, mit einem Umsetzungsplan für jede Lücke.
Keller brauchte eine Weile. Er hatte am Dienstag geglaubt, ein Kunde verlange ein Formular. Jetzt erfuhr er, dass er selbst seit Monaten eine Pflicht versäumte, von der er nichts gewusst hatte, und dass ihn diese Pflicht persönlich betraf. Er ließ die Einschätzung von einem Anwalt prüfen. Die Antwort kam nach einer Woche. Brück hatte recht.
Der Preis war nicht klein. Keller musste dem Führungskreis erklären, warum die bequeme Einschätzung falsch gewesen war, und dem Vertriebsleiter, warum der Bogen nicht einfach angekreuzt wurde. Er musste ein Budget freigeben, das im laufenden Jahr nicht eingeplant war. Und er musste den wichtigsten Kunden anrufen und um einen Termin bitten, statt fristgerecht ein Häkchen zu liefern.
Das Telefonat
Das Gespräch mit dem Einkauf des Kunden verlief anders, als alle befürchtet hatten. Keller legte offen, welche Anforderungen erfüllt waren und welche nicht, und für jede Lücke einen Termin, bis wann sie geschlossen sein würde. Er erwähnte auch die nachgeholte Registrierung.
Die Einkäuferin hörte zu und stellte zwei Rückfragen. Dann sagte sie einen Satz, den Keller später oft wiederholte. Sie habe in diesem Jahr über hundert solcher Fragebögen zurückbekommen, fast alle vollständig mit „Ja“ beantwortet, und sie glaube keinem davon. Ein Lieferant mit einem ehrlichen Plan sei ihr lieber als einer, der alles angekreuzt habe.
Der Status als Direktlieferant blieb erhalten, verbunden mit einem Folgetermin nach sechs Monaten.
Was sich verändert hat
Ein Jahr später ist Informationssicherheit ein fester Punkt im monatlichen Führungskreis. Brück trägt vor, 15 Minuten, mit drei Kennzahlen und einer Entscheidung, die sie braucht. Die Mehrfaktoranmeldung für Fernzugänge ist umgesetzt, die Wiederherstellung wurde zweimal geprobt, und es gibt einen Meldeweg, den jeder im Haus kennt. Keller hat zwei Schulungen besucht. Er sagt, er habe dort zum ersten Mal verstanden, was er da eigentlich unterschreibt.
Nicht alles ist fertig. Das Budget reicht nicht für alles, was Brück für nötig hält, und einige Maßnahmen stehen noch auf dem Plan für das nächste Jahr. Aber die Frage im Führungskreis hat sich verschoben. Früher lautete sie, ob man sich das leisten müsse. Heute lautet sie, in welcher Reihenfolge.
Brück hat übrigens keinen neuen Titel bekommen und kein eigenes Team. Sie hat etwas anderes bekommen, nämlich Gehör. Das hat sie nicht durch den Fragebogen gewonnen und nicht durch das Gesetz. Sie hat es gewonnen, weil sie in dem Moment, in dem alle ein schnelles „Ja“ wollten, bei der Wahrheit geblieben ist.
Was Sie daraus mitnehmen können
Die Geschichte ist erfunden, das Muster ist es nicht. Der Druck kommt selten von der Behörde, fast immer vom Kunden. Die bequemste Antwort ist fast immer ein „Ja“, und fast immer ist sie die gefährlichste. Und die wichtigste Erkenntnis liegt oft nicht in der Frage, die gestellt wird, sondern in der, die dahinter steht.
Wenn Sie als Sicherheitsbeauftragte das nächste Mal einen solchen Fragebogen auf dem Tisch haben, stellen Sie diese zweite Frage zuerst: „Sind wir vielleicht selbst betroffen?“ Die Antwort dauert eine Stunde. Sie kann Ihrem Haus aber eine sehr unangenehme Überraschung ersparen und Ihnen den Platz im Führungskreis verschaffen, um den Sie sich bisher vergeblich bemüht haben.
Weiterlesen
Wie Sie die Betroffenheit Ihres Hauses Schritt für Schritt prüfen, erklärt dieser Beitrag:
Wie Sie mit Nachweisforderungen von Kunden umgehen, beantworten die Leserfrage aus derselben Ausgabe.
Wie ein Sicherheitsbeauftragter einen realen Vorfall genutzt hat, um die Organisation zu bewegen, erzählt der Erfahrungsbericht aus Ausgabe 21:
