Die Frage nach der Betroffenheit ist beantwortet, oder auch nicht. Danach beginnen die eigentlichen Unsicherheiten: Wer trägt die Entscheidung, wer haftet, und was passiert, wenn die Registrierungsfrist längst verstrichen ist? Vier Fragen, die uns in den letzten Wochen besonders häufig erreicht haben.
„Wer entscheidet, ob wir betroffen sind?“
Sie selbst. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt die Betroffenheit nicht per Bescheid fest und schreibt Sie auch nicht an. Jede Einrichtung muss selbst prüfen, ob sie unter § 28 BSIG fällt, und sich dann registrieren. Das BSI bietet dafür auf seiner Webseite eine unverbindliche Betroffenheitsprüfung an.
In der Praxis bereitet der Sicherheitsbeauftragte oder die Rechtsabteilung die Prüfung vor. Die Entscheidung gehört aber zur Geschäftsleitung, denn sie trägt die Verantwortung für die Folgen. Halten Sie das Ergebnis deshalb schriftlich fest, mit Sektor, Größenberechnung, geprüften Sonderfällen und Begründung, und lassen Sie es von der Geschäftsführung zur Kenntnis nehmen. Das gilt ausdrücklich auch dann, wenn das Ergebnis lautet, dass Ihr Haus nicht betroffen ist. Gerade diese Aussage werden Sie gegenüber Kunden, Prüfern oder im Streitfall belegen müssen.
Überprüfen Sie die Einschätzung mindestens einmal im Jahr und bei jeder größeren Veränderung, etwa nach einer Übernahme, einem neuen Geschäftsfeld oder wenn Ihr Haus über die Schwellen wächst.
„Haftet die Geschäftsführung persönlich?“
Sie kann es. § 38 BSIG verpflichtet die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen, die Maßnahmen zum Risikomanagement nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Verletzt sie diese Pflichten, haftet sie ihrer Einrichtung für den entstandenen Schaden nach den Regeln des Gesellschaftsrechts.
Dazu kommt eine Schulungspflicht. Die Mitglieder der Geschäftsleitung müssen regelmäßig an Schulungen teilnehmen, um Risiken erkennen und Risikomanagementpraktiken beurteilen zu können. Eine Unterschrift unter das Sicherheitskonzept reicht also nicht. Das Gesetz erwartet, dass die Geschäftsführung versteht, was sie unterschreibt.
Für Sie als Sicherheitsbeauftragte ist das eine Chance. Die Frage, ob die Geschäftsführung sich mit Informationssicherheit befassen muss, ist gesetzlich beantwortet. Nutzen Sie das für einen festen Termin im Jahr, an dem Sie die Lage vortragen und die Geschäftsführung die Maßnahmen ausdrücklich billigt. Protokollieren Sie diesen Termin.
„Die Registrierungsfrist ist verpasst – was nun?“
Registrieren Sie sich sofort. Die Pflicht zur Registrierung nach § 33 BSIG erlischt nicht mit dem Ablauf der Frist. Betroffene Einrichtungen mussten sich innerhalb von drei Monaten nach Inkrafttreten des Gesetzes registrieren, also bis Anfang März 2026. Weil zu diesem Zeitpunkt nur ein Teil der betroffenen Unternehmen registriert war, hat das BSI eine Nachfrist bis Ende Juli 2026 eingeräumt. Auch diese ist inzwischen abgelaufen.
Die Registrierung läuft in zwei Schritten: Zuerst legen Sie ein Konto bei Mein Unternehmenskonto an, danach registrieren Sie die Einrichtung im BSI-Portal. Planen Sie dafür etwas Zeit ein, denn für das Unternehmenskonto brauchen Sie ein ELSTER-Organisationszertifikat. Wer keines hat, muss es zuerst beantragen.
Eine versäumte Registrierung kann als Ordnungswidrigkeit verfolgt werden. Das größere Risiko liegt aber woanders: Ohne Registrierung fehlt Ihnen im Ernstfall der eingerichtete Meldeweg über das Portal, und die Uhr für die Frühwarnung läuft trotzdem. Halten Sie außerdem fest, wann und warum Sie Ihre Betroffenheit festgestellt haben. Eine nachvollziehbare späte Einordnung wiegt deutlich leichter als ein dauerhaftes Ignorieren.
„Wir sind nicht betroffen, aber unser Kunde verlangt einen NIS-2-Nachweis – was jetzt?“
Dann sind Sie mittelbar betroffen, und das ist häufiger als die unmittelbare Betroffenheit. Ihr Kunde muss nach § 30 BSIG die Sicherheit seiner Lieferkette berücksichtigen und gibt diese Anforderungen an Sie weiter.
Einen NIS-2-Nachweis im engeren Sinne gibt es für nicht regulierte Unternehmen nicht. Was Ihr Kunde braucht, ist die Gewissheit, dass Sie angemessene Sicherheitsmaßnahmen umsetzen. Klären Sie zuerst, was genau er erwartet. Oft genügt ein ausgefüllter Fragebogen mit Belegen für die wichtigsten Punkte, also Mehrfaktoranmeldung, Datensicherung, Umgang mit Zugängen und ein Meldeweg bei Vorfällen. Ein ISO-27001-Zertifikat wird nur selten verlangt und ist für kleine Zulieferer auch nicht der naheliegende erste Schritt.
Beantworten Sie nur, was Sie belegen können, und sagen Sie offen, wo Sie noch arbeiten. Ein Zulieferer mit einem ehrlichen Umsetzungsplan ist für einen Kunden wertvoller als einer, der alles ankreuzt und im Ernstfall nichts vorweisen kann. Und prüfen Sie jede neue Vertragsklausel, bevor Sie unterschreiben. Meldepflichten mit einer Frist von wenigen Stunden oder unbegrenzte Prüfrechte sollten Sie nur zusagen, wenn Sie sie auch einhalten können.
Weiterlesen
Wie Sie die Betroffenheit Ihres Hauses Schritt für Schritt prüfen, erklärt der Beitrag aus dieser aktuellen Ausgabe 22:
Welche Fragen regulierte Kunden ihren Dienstleistern stellen und wie Sie selbst Ihre Dienstleister bewerten, zeigen die Leserfragen aus Ausgabe 21:
