NIS2-Beratung hat ein Anreizproblem

Wir haben den Eindruck, dass die NIS2-Beratung in Deutschland ein Anreizproblem hat: Wer die Betroffenheit feststellt, verkauft oft gleich das Audit dazu. Die Rechnung zahlen Unternehmen, die von NIS2 gar nicht erfasst sind.

Ein Beispiel. Ein Anbieter vermarktet NIS2-Audits für Steuerkanzleien ab 3.590 Euro, mit Verweis auf Anlage 1 BSIG. Dort stehen unter 6.1.10 und 6.1.11 Managed Service Provider und Managed Security Service Provider, aber nur, wenn ein Unternehmen solche Dienste selbst am Markt erbringt. Eine Steuerkanzlei tut das nicht. Rechtsberatung, Steuerberatung, Wirtschaftsprüfung und Notariat kommen in keiner der beiden Anlagen vor.

Das Lieferkettenargument steht auf dem Kopf. Teil der Lieferkette eines regulierten Unternehmens zu sein macht Sie nicht selbst NIS2-pflichtig. Es macht Sie zum Gegenstand der Lieferantenanforderungen Ihres Kunden. Die Pflicht liegt bei ihm, der Druck landet vertraglich bei Ihnen. Und ein Vertrag lässt sich verhandeln, eine Aufsichtsbehörde nicht. Ein Audit ohne Aufsichtsbezug erfüllt keine dieser Pflichten, weil es keine gibt.

Es gibt genug Fälle, in denen die Betroffenheit tatsächlich vorliegt: Das verarbeitende Gewerbe steht in Anlage 2, Gesundheitsdienstleister in Anlage 1. Der Vorwurf ist nicht, dass zu Unrecht von Betroffenheit gesprochen wird, sondern dass sie behauptet statt hergeleitet wird. Wo sie vorliegt, lässt sie sich in zwei Sätzen mit Nummer und Schwellenwert belegen.

Der Schaden ist größer als der Rechnungsbetrag. Ein Sicherheitsbudget ist endlich. Fließt es in ein Audit, das keine Pflicht erfüllt, fehlt es bei Backup, Patchstand und Multifaktor-Authentifizierung, also dort, wo Vorfälle tatsächlich entstehen. Am Ende steht ein Dokument im Schrank und dieselbe Angriffsfläche wie vorher.

Die Gegenprobe kostet nichts. Öffnen Sie Anlage 1 und Anlage 2 des BSI-Gesetzes und suchen Sie Ihre eigene Tätigkeit; § 28 Absatz 2 verweist für wichtige Einrichtungen ausdrücklich auf beide. Besonders wichtige Einrichtung ist nach § 28 Absatz 1 Nummer 4, wer einer Einrichtungsart der Anlage 1 zuzuordnen ist und mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz über 50 Millionen Euro und eine Jahresbilanzsumme über 43 Millionen Euro aufweist. Wichtige Einrichtung ist nach § 28 Absatz 2 Nummer 3, wer einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen ist und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist. Betreiber kritischer Anlagen sind unabhängig von diesen Schwellen erfasst.

Steht Ihr Geschäftsmodell in keiner der beiden Anlagen, ändert daran auch ein Kunde nichts, der selbst betroffen ist. Bleiben Lieferantenanforderungen aus Verträgen, gehören sie verhandelt statt auditiert.

Wir sind selbst Anbieter, und diese Kritik trifft unser eigenes Geschäftsmodell genauso. Deshalb trennen wir die Betroffenheitsanalyse von allem, was danach kommt: Sie bekommen von uns eine schriftliche Einschätzung mit Verweis auf die einschlägige Nummer und den Schwellenwert, auch wenn das Ergebnis lautet, dass Sie nicht betroffen sind. Das gehört bei uns zum Assessment.

Fragen Sie Ihren Anbieter, wann er einem Interessenten zuletzt gesagt hat, dass er nicht betroffen ist. Die Antwort sagt mehr über die Beratung als jede Referenzliste.