Was vorliegen muss, damit so ein Fragebogen in einer Stunde erledigt ist
In einem Sicherheitsfragebogen steht selten etwas Exotisches, die Arbeit macht der Nachweis. Der Einkauf fragt nach dem zweiten Faktor, nach der Sicherung, nach der getesteten Wiederherstellung, nach dem Tempo bei Updates und danach, wer auf welche Systeme Zugriff hat. Beantworten lässt sich jede dieser Fragen in zwei Sätzen, belegen nicht.
Auftrag: vier Belege greifbar haben, bevor der Bogen kommt. Eine Geräteliste, die stimmt, weil sich sonst keine der anderen Angaben auf etwas bezieht. Die Protokolle aus der laufenden Überwachung, die zeigen, wann welches System sein Update bekommen hat. Eine Wiederherstellungsprobe mit Datum und Dauer, also ein Ergebnis und nicht die Zusage, dass gesichert wird. Eine Zugriffsliste auf aktuellem Stand, Mitarbeiter und Dienstleister zusammen. Der zweite Faktor bei der Anmeldung braucht keinen Beleg: Er ist eingerichtet oder er ist es nicht.
Bei einem Betrieb, den wir betreuen, lag so ein Bogen zwei Wochen vor einer Vergabe am Tisch. Ausgefüllt haben wir ihn gemeinsam. Aufwand: eine Stunde. Grund: die Belege lagen ohnehin vor. Viel war das nicht.
Wer sie nicht hat, rüstet hastig nach oder wird als Partner unbequem. Bei der nächsten Vergabe liegt wieder einer am Tisch. Immerhin ist das planbar: So ein Bogen hat einen Termin, eine Zuständigkeit und ein absehbares Ende.
Fünf Punkte.Still für sich beantwortet.
Es geht nicht um Schuld, nur um das Muster.
Woran der Aufwand tatsächlich hängt
Nicht an der Richtlinie selbst. NIS2 ist eine EU-Richtlinie zur Netz- und Informationssicherheit. Sie gilt nicht direkt: Jeder Mitgliedstaat muss sie in nationales Recht gießen, und wie das in Österreich im Detail aussieht, ist zum Zeitpunkt dieses Beitrags nicht abschließend fixiert. Behauptungen über Paragrafen, die noch nicht feststehen, ersparen wir Ihnen.
Nicht an Ihrer Größe. Die Richtlinie zielt auf bestimmte Sektoren und auf Unternehmen ab einer gewissen Größe. Eine Kanzlei mit zwanzig Mitarbeitern, ein Planungsbüro, eine Hausverwaltung: Vieles davon fällt gar nicht direkt darunter. Ob Ihr Betrieb erfasst ist, bleibt eine Rechtsfrage, und die beantwortet Ihre Rechtsberatung.
Sondern an Ihren Auftraggebern. Direkt betroffene Unternehmen müssen ihre Lieferkette absichern und reichen ihre Pflichten weiter. Der Fragebogen kommt deshalb nicht von einer Behörde, sondern aus einer Geschäftsbeziehung, und er kommt unabhängig davon, wann Österreich seine Umsetzung fertig hat.
Für Technik-Interessierte Nachweisbarkeit ist der eigentliche Aufwand
Vier Punkte entscheiden, ob ein Beleg im Fragebogen zählt oder nur behauptet ist.
Nachweisbar ist am Ende, was ein System von selbst mitschreibt und was jemand aufhebt.
- Die laufende Aufzeichnung. Ein Protokoll entsteht im System, mit Zeitstempel und Gerätenamen, und niemand schreibt es hinterher. Wer im Nachhinein aus Kalender und Erinnerung zusammenstellt, liefert eine Erzählung. Im Bogen ist das der Unterschied zwischen Nachweis und Zusage.
- Die Aufbewahrungsdauer. Protokolle überschreiben sich auf vielen Systemen nach Tagen oder Wochen selbst. Wer im Herbst zeigen will, wann seine IT im Frühjahr ein Update eingespielt hat, braucht eine Ablage außerhalb des Geräts. Das ist eine Einstellung, keine Anschaffung.
- Das Datum am Beleg. Jeder Nachweis gilt für den Tag, an dem er entstanden ist. Der Einkauf fragt nach dem letzten Termin, nicht nach dem ersten. Ein Beleg aus dem Vorjahr füllt die Zeile formal und überzeugt im Einkauf niemanden.
- Die Quelle statt der Tabelle. Belegbar ist, was ein System ausgibt: die Verwaltungskonsole, das Sicherungsprogramm, das Verzeichnis der Benutzerkonten. Eine daneben gepflegte Tabelle ist eine zweite Wahrheit und weicht nach wenigen Monaten ab.
„Ich habe noch keinen Betrieb gesehen, der wegen einer Richtlinie sicherer wurde. Sicherer wird, wer Anmeldungen, Backups und Updates im Griff hat, und das steht zufällig auch in jedem Fragebogen.“
Und was reicht in Ihrer Größe?
An einem Nachmittag erledigt. Der zweite Faktor auf allen Konten, die von außen erreichbar sind. Von den vier Punkten hat dieser das beste Verhältnis von Aufwand zu Wirkung, und er ist der einzige, der ohne Beleg auskommt.
Ein Vormittag, dann laufend. Die Zugriffsliste. Das Anlegen ist die kleinere Hälfte, aktuell halten muss sie der Betrieb, weil sie schneller veraltet als jede andere Unterlage.
Eine Frage der Werkzeuge, nicht der Disziplin. Updates zeitnah einspielen kann jeder Betrieb. Belegen, wann welches System sie bekommen hat, kann nur eine Umgebung, die laufend mitschreibt. Das entscheidet sich beim Werkzeug, nicht beim Vorsatz.
Einmal im Quartal, mit Ergebnis. Die Rücksicherungsprobe. Sie ist der einzige Punkt, bei dem die Maßnahme und ihr Nachweis dasselbe sind: Wer zurückholt, hat den Beleg automatisch.
Nichts davon macht man wegen NIS2, sondern weil es den eigenen Betrieb schützt. Dass dieselben Maßnahmen nebenbei Fragebögen beantwortbar machen, ist ein Nebeneffekt. Stellt sich später heraus, dass Ihr Betrieb doch direkt erfasst ist, starten Sie von einer soliden Basis statt bei null.
Die ehrliche Selbsteinschätzung und die rechtliche Klärung können Sie selbst anstoßen. Für die Umsetzung und vor allem für die Belege daraus braucht es jemanden, der Ihre Systeme laufend betreut, denn Nachweise entstehen im Betrieb und nicht in einer einmaligen Aktion.
„Uns betrifft das gar nicht“
Für die meisten Betriebe in Ihrer Größenordnung stimmt dieser Satz, und wir sagen ihn selbst regelmäßig am Telefon. Direkt erfasst sind die wenigsten, und wer Ihnen etwas anderes erzählt, verkauft gerade etwas.
Nur kommt der Fragebogen nicht aus der Richtlinie, sondern aus einer Geschäftsbeziehung. Von einem Handwerker verlangt man die Versicherungsbestätigung auch nicht, weil man ihm misstraut, sondern weil die eigene Haftung daran hängt.
Vier Fragen, und was Sie selbst tun können.
Wer diese Belege nicht aus dem laufenden Betrieb ziehen kann, hat Ihre IT bisher repariert, wenn es gebrannt hat, mehr nicht.
Nach den Belegen gefragt.Und ein NIS2-Paket angeboten bekommen?
Dann liegt beim nächsten Fragebogen wieder alles bei Ihnen. Reden wir eine halbe Stunde darüber. Wir gehen die vier Grundfragen durch und sagen Ihnen, welche Belege Sie heute schon ziehen können.
