NIS2-Beratung hat ein Anreizproblem
Wer die Betroffenheit feststellt, verkauft oft auch das Audit. Was in Anlage 1 und 2 BSIG wirklich steht, warum das Lieferkettenargument falsch herum gedacht ist und wie die Gegenprobe geht.
Ich habe den Eindruck, dass die NIS2-Beratung in Deutschland ein Anreizproblem hat. Wer die Betroffenheit feststellt, verkauft regelmäßig auch gleich das Audit. Das halte ich nicht mehr für einen Ausrutscher, sondern für das Geschäftsmodell, und die Rechnung zahlen Unternehmen, die von NIS2 gar nicht erfasst sind.
Ein Beispiel
Letzte Woche lief mir ein Anbieter über den Weg, der NIS2-Audits für Steuerberater ab 3.590 EUR vermarktet, samt Paragraph und der Aussage, Kanzleien seien betroffen.
Anlage 1 BSIG führt unter 6.1.10 und 6.1.11 die Managed Services Provider und die Managed Security Services Provider auf. Das ist die Tür, auf die man sich dabei stützt, und die Tür existiert tatsächlich. Sie geht aber nach meinem Verständnis nur auf, wenn das Unternehmen solche Dienste selbst am Markt erbringt. Eine Steuerkanzlei tut das nicht, auch dann nicht, wenn sie ihre eigene IT sauber betreibt oder ihre Mandanten digital anbindet.
Für diesen Berufsstand lässt sich das abschließend sagen: Rechtsberatung, Steuerberatung, Wirtschaftsprüfung und Notariat kommen weder in Anlage 1 noch in Anlage 2 vor. In keiner Nummer, unter keiner Bezeichnung.
Das Lieferkettenargument steht auf dem Kopf
Kommt man mit den Anlagen nicht weiter, folgt im Verkaufsgespräch die Lieferkette, und dieses Argument ist falsch herum gedacht.
Teil der Lieferkette eines regulierten Unternehmens zu sein macht Sie nicht selbst NIS2-pflichtig. Es macht Sie zum Gegenstand der Lieferantenanforderungen Ihres Mandanten oder Kunden. Die Pflicht liegt bei ihm, der Druck landet vertraglich bei Ihnen. Der Unterschied ist erheblich, denn im einen Fall steht Ihnen eine Aufsichtsbehörde gegenüber, mit Registrierung, Meldepflichten und persönlicher Haftung der Geschäftsleitung, im anderen ein Vertrag, den Sie verhandeln können. Ein Audit ohne Aufsichtsbezug erfüllt keine dieser Pflichten, weil es keine gibt.
Dasselbe Muster sehe ich bei Handwerksbetrieben, Autohäusern und Praxen. Immer dieselbe Konstruktion: eine weite Auslegung der Anlagen, ein Verweis auf die Lieferkette, ein Hinweis auf die Geschäftsleiterhaftung, und am Ende ein Festpreis. Verkauft wird nicht Sicherheit, verkauft wird die Erleichterung, das Thema hinter sich zu haben.
Der Vollständigkeit halber, weil es die Gegenseite sonst gegen mich verwendet: Es gibt reichlich Fälle, in denen die Betroffenheit tatsächlich vorliegt. Das verarbeitende Gewerbe steht in Anlage 2, ein Maschinenbauer ab fünfzig Beschäftigten ist damit erfasst. Gesundheitsdienstleister stehen in Anlage 1. Mein Vorwurf ist nicht, dass zu Unrecht von Betroffenheit gesprochen wird — er ist, dass sie behauptet statt hergeleitet wird. Wo sie vorliegt, ist das in zwei Sätzen mit Nummer und Schwellenwert zu belegen. Wer diese zwei Sätze nicht liefert, hat sie nicht geprüft.
Der Schaden ist größer als der Rechnungsbetrag
Ein Mittelständler hat ein Budget für Sicherheit, und das ist endlich. Fließt es in ein Audit, das keine Pflicht erfüllt, fehlt es beim Backup, beim Patchstand und bei der Multifaktor-Authentifizierung, also genau dort, wo Vorfälle tatsächlich entstehen. Der Betrieb hat dann ein Dokument im Schrank und dieselbe Angriffsfläche wie vorher, nur mit dem Gefühl, versorgt zu sein. Compliance-Theater ist nicht neutral, es ist teuer und es kostet Aufmerksamkeit, die an anderer Stelle gefehlt hat.
Assistenten verstärken den Effekt
Diese Inhalte sind zahlreich und für Suchmaschinen wie für generative Systeme optimiert. Sie landen deshalb zuverlässig in den Antworten, die sich Geschäftsführer inzwischen zur ersten Einschätzung holen. Aus der Rechtsauffassung eines Anbieters wird eine scheinbar neutrale Auskunft, mit Quelle und Paragraph und allem, was Vertrauen erzeugt.
Wer „bin ich von NIS2 betroffen?“ in den Chat tippt wie eine Frage an einen Kumpel, bekommt eine Antwort in der Qualität eines Kumpels, nur eloquenter formuliert. Und glaubt sie, weil sie so sicher klingt. Die Gegenfrage, worauf sich die Aussage stützt und ob das im eigenen Fall trägt, stellt kaum jemand.
Die Gegenprobe kostet nichts
Öffnen Sie Anlage 1 und Anlage 2 des BSI-Gesetzes und suchen Sie Ihre eigene Tätigkeit. Beide Anlagen zählen: Für wichtige Einrichtungen verweist § 28 Absatz 2 ausdrücklich auf die in den Anlagen 1 und 2 bestimmten Einrichtungsarten. Wer nur die erste aufschlägt, prüft die halbe Liste — in Anlage 2 stehen unter anderem Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, das verarbeitende Gewerbe und die Forschung.
Danach die Schwellenwerte, und zwar vollständig:
Besonders wichtige Einrichtung ist nach § 28 Absatz 1 Nummer 4, wer einer Einrichtungsart der Anlage 1 zuzuordnen ist und mindestens 250 Mitarbeiter beschäftigt — oder einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweist. Die Bilanzsumme wird gern weggelassen; sie steht im Gesetz.
Wichtige Einrichtung ist nach § 28 Absatz 2 Nummer 3, wer einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen ist und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist.
Betreiber kritischer Anlagen sind unabhängig von diesen Schwellen erfasst.
Steht Ihr Geschäftsmodell in keiner der beiden Anlagen, dann steht es dort nicht, und daran ändert auch ein Kunde nichts, der selbst betroffen ist.
Bleiben Lieferantenanforderungen aus Verträgen, und die gehören verhandelt statt auditiert. Ein TISAX-Fragebogen, eine Anlage zur Auftragsverarbeitung oder ein Sicherheitsanhang im Rahmenvertrag sind konkrete Anforderungen mit konkretem Aufwand, und dieser Aufwand ist in aller Regel deutlich kleiner als ein Audit gegen ein Gesetz, das für Sie nicht gilt.
Was wir daraus für uns ableiten
Wir sind selbst Anbieter, und diese Kritik trifft unser eigenes Geschäftsmodell genauso. Deshalb halten wir die Betroffenheitsanalyse von allem getrennt, was danach kommt. Sie bekommen von uns eine schriftliche Einschätzung mit Verweis auf die einschlägige Nummer der Anlagen und auf die Schwellenwerte, und wenn das Ergebnis lautet, dass Sie nicht betroffen sind, dann ist das das Ergebnis. Wir haben diesen Satz im letzten Jahr häufiger gesagt als den anderen.
Fragen Sie Ihren Anbieter, wann er einem Interessenten das letzte Mal gesagt hat, dass er nicht betroffen ist. Die Antwort sagt Ihnen mehr über die Beratung als jede Referenzliste.
Quelle: BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes, § 28 sowie Anlagen 1 und 2.