NIS2 umsetzen

Die Liste steht, die Tiefe ist offen

Die Registrierung ist erledigt. Die Liste der Maßnahmen liegt vor. Sie hat zehn Punkte, der erste Vorschlag lautet, sie von oben nach unten abzuarbeiten. Wie tief jeder einzelne Punkt gehen muss, weiß niemand.

Zehn Gegenstände, deren Tiefe nicht in der Liste steht

Wovon der Umfang der Maßnahmen abhängt, sagt die Liste selbst nicht. § 30 Abs. 1 S. 1 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen. Satz 2 nennt für die Verhältnismäßigkeit fünf Größen, nämlich Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen samt ihren Auswirkungen. Die zehn Gegenstände des Absatzes 2 sind damit der Mindestumfang und nicht das Maß.

Nach § 30 Abs. 1 S. 3 BSIG ist die Einhaltung zu dokumentieren. Die Dokumentation ist damit eine eigene Pflicht und nicht bloß ein Mittel, eine andere zu belegen.

Die Geschäftsleitung setzt um, ihre Haftung steht im Gesellschaftsrecht

Was die Geschäftsleitung schuldet, wird häufig als Billigung gelesen. § 38 Abs. 1 BSIG verlangt mehr, nämlich die Umsetzung der Maßnahmen und die Überwachung ihrer Umsetzung. Nach Absatz 3 ist zudem regelmäßig an Schulungen teilzunehmen. Da Geschäftsleitung nach § 2 Nr. 13 BSIG eine natürliche Person ist, richtet sich das an Personen und nicht an ein Gremium.

Praktisch folgt daraus, dass die Teilnahme an der Schulung belegbar sein sollte. § 61 Abs. 1 BSIG erfasst § 38 Abs. 3 BSIG ausdrücklich. Ein angeordnetes Audit fragt danach.

Zwei Uhren, die nicht dasselbe messen

Welche Meldung wann fällig ist, hängt an einem Begriff, der mit dem datenschutzrechtlichen nicht deckungsgleich ist. § 32 Abs. 1 BSIG knüpft an den erheblichen Sicherheitsvorfall nach § 2 Nr. 11 BSIG an, Art. 33 Abs. 1 DSGVO an die Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO. Keiner der beiden Begriffe schließt den anderen ein.

Nach § 32 Abs. 1 S. 2 BSIG besteht die Pflicht frühestens ab Einrichtung des Meldewegs. Das Bundesamt nimmt Meldungen über sein Portal an und sieht für Einrichtungen ohne Registrierung dort ein Formular vor.

So unterstützen wir Sie bei der NIS2-Umsetzung

Der kürzeste Weg beginnt nicht bei der Risikoanalyse, sondern bei der Meldefähigkeit. Wer erkennt, wer entscheidet und wer meldet, lässt sich an einem Vormittag festlegen. Ohne diese Festlegung ist die Frist von 24 Stunden nicht zu halten. Danach folgt die Abgrenzung des Anwendungsbereichs, also welche Systeme den erfassten Dienst betreffen, denn ohne sie wird der Aufwand unbegrenzt.

Die Maßnahmen nach § 30 BSIG überschneiden sich weitgehend mit denen nach Art. 32 DSGVO. Die Bewertung der Wirksamkeit steht in beiden Vorschriften. Eine Maßnahme wird deshalb einmal umgesetzt und zweimal belegt. Die Auslegung des BSIG im Streit mit dem Bundesamt, die Verteidigung in einem Bußgeldverfahren und die gesellschaftsrechtliche Haftung der Geschäftsleitung sind Rechtsberatung außerhalb unseres Nebenrechtsgebiets. Sie laufen über die angegliederte lexICT legal Rechtsanwaltsgesellschaft.