NIS2

NIS2 wird meist als Sicherheitsthema gelesen. Für die Souveränitätsfrage ist eine bestimmte Vorschrift entscheidend, und sie steht in Artikel 21.

Die Vorschrift, um die es geht

Betroffene Unternehmen müssen Risiken in der Lieferkette bewerten, einschließlich der Sicherheit ihrer direkten Anbieter und Dienstleister. Sie müssen also wissen, wovon sie abhängen — nicht ungefähr, sondern dokumentiert.

Damit wird aus einer strategischen Frage eine Pflichtübung: Wer sind unsere kritischen IT-Lieferanten, welchem Recht unterliegen sie, was passiert bei Ausfall, und wie lange dauert der Ersatz?

Wer betroffen ist

Der Kreis ist deutlich größer als bei der Vorgängerrichtlinie. Erfasst sind wesentliche und wichtige Einrichtungen in 18 Sektoren, in der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz — darunter Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IKT-Dienstleister, Post, Abfall, Chemie, Lebensmittel und Herstellung.

Deutschland hat die Richtlinie mit dem NIS2-Umsetzungsgesetz in nationales Recht überführt. Prüfen Sie den aktuellen Stand der Betroffenheit beim BSI, bevor Sie annehmen, es betreffe Sie nicht.

Der Teil, der Aufmerksamkeit erzeugt

Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und kann persönlich haften. Schulungspflicht inklusive.

Das ist der Grund, warum NIS2 Budgets bewegt, wo zehn Jahre Argumentieren nichts bewirkt hat.

Wie man es sinnvoll nutzt

Die geforderte Lieferantenübersicht ist dieselbe Liste, die eine Souveränitätsbetrachtung braucht. Wer sie ohnehin erstellen muss, sollte gleich zwei Spalten mehr aufnehmen: Rechtsraum des Mutterkonzerns und geschätzte Wechseldauer. Der Aufwand ist marginal, der Erkenntnisgewinn nicht.