IT-Sicherheit

NIS2 für kleine und mittlere Unternehmen

Betroffenheit einordnen, Pflichten übersetzen, Maßnahmen belegbar umsetzen. Die rechtliche Bewertung bleibt bei Ihnen.

Überblick

NIS2 betrifft mehr Betriebe, als die meisten denken

Die NIS2-Richtlinie erweitert den Kreis der Unternehmen, die IT-Sicherheit nachweisen müssen, deutlich – auch über die Lieferkette. Für KMU heißt das vor allem: erst die Betroffenheit prüfen, dann umsetzen, was daraus folgt. Viele Betriebe merken das nicht über den Gesetzestext, sondern über den Fragebogen eines großen Kunden.

Wir bereiten die Einordnung vor: Größe, Branche und Lieferbeziehungen, und was dafür oder dagegen spricht. Die rechtliche Bewertung bleibt bei Ihnen beziehungsweise Ihrer Rechtsberatung. Wir liefern die technische und organisatorische Umsetzung – und den Nachweis darüber. Was die Norm im Detail vorsieht, steht auf unserer Seite DIN SPEC 27076.

Was NIS2 praktisch verlangt

Drei Situationen, die wir bei NIS2 immer wieder sehen

Der Fragebogen vom großen Kunden. Das eigene Unternehmen ist zu klein für das Gesetz, aber der Energieversorger, das Krankenhaus oder der Automobilzulieferer, für den man arbeitet, ist es nicht. Der schickt seine Anforderungen an die Lieferkette weiter, und der Fragebogen sieht aus wie eine NIS2-Prüfung, nur ohne Behörde. Wer dann keine Dokumentation hat, verliert Zeit oder den Auftrag.

Die Unsicherheit, ob man betroffen ist. Branche, Größe, Umsatz, Ausnahmen: Die Regeln sind so gebaut, dass ein Geschäftsführer sie nicht nebenbei prüfen kann. Wir sagen deutlich, was wir beurteilen und was nicht. Die technische Seite ist unsere, die rechtliche Einordnung gehört zum Anwalt oder zur Betroffenheitsprüfung des BSI.

Alles oder nichts. Unternehmen, die vermuten, betroffen zu sein, tun nichts, weil das Ganze zu groß wirkt. Unternehmen, die vermuten, nicht betroffen zu sein, tun nichts, weil es sie ja nicht betrifft. Beide sitzen in derselben Lage: ohne getestetes Backup, ohne Überblick über die Zugänge, ohne Plan für den Ernstfall.

NIS2 verlangt im Kern nichts, was ein gut geführtes Unternehmen nicht ohnehin haben sollte. Es macht es nur für manche zur Pflicht und für alle nachweisbar. Ein Sicherheitscheck entlang der Prüfbereiche der DIN SPEC 27076 ist dafür der Anfang, den auch der Kunde mit dem Fragebogen akzeptiert.

Erst wissen, ob es Sie betrifft

Der IT-Sicherheitscheck deckt die Bereiche ab, die NIS2 verlangt. Sie sehen danach, wo Sie stehen – unabhängig davon, ob die Pflicht schon greift.

Umsetzung

Was wir dabei liefern

Kein Gutachten, das im Ordner verschwindet, sondern Unterlagen, mit denen Sie arbeiten und die einer Prüfung standhalten.