NIS2, ISMS und Daten­schutz für Un­ter­neh­men in Paderborn und OWL

NIS2 kann relevant sein, wenn Ihr Unternehmen bestimmte Tätigkeiten oder Dienste aus den im BSIG erfassten Sektoren anbietet und die jeweiligen Größenkriterien erfüllt. Zusätzlich gibt es Einrichtungsarten, für die besondere oder größenunabhängige Regeln gelten. Auch verbundene Unternehmen können die Einordnung beeinflussen. Wir erfassen die tatsächlichen Unternehmensdaten und erstellen daraus eine dokumentierte fachliche Ersteinschätzung. Auslegungsbedürftige Rechtsfragen stimmen Sie mit Ihrem Rechtsberater ab.

Ja. Wir gleichen die Fragen mit Ihrem tatsächlichen Betrieb ab, liefern die technischen Angaben und benennen, was offen bleibt. Falsche Angaben in einem Lieferantenfragebogen sind vertraglich riskanter als eine ehrliche Lücke mit Termin. Aus den offenen Punkten wird ein Maßnahmenplan.

Eine berechtigte Frage. Wir bewerten nicht, ob unsere eigene Arbeit ausreicht. Wir dokumentieren den Stand, benennen offene Punkte und machen sichtbar, wo die Nachweislage dünn ist. Die rechtliche Würdigung liegt bei Ihrem Rechtsberater, die unabhängige Datenschutzaufsicht beim Datenschutzbeauftragten, die Zertifizierung bei einer akkreditierten Stelle. Wenn eine unabhängige Gegenprüfung sinnvoll oder vorgeschrieben ist, unterstützen wir bei der Einbindung einer geeigneten Stelle.

Die Pflichten gelten, sobald Ihr Unternehmen die Voraussetzungen erfüllt. Fehlende Risikomanagementmaßnahmen oder Dokumentationen können behördliche Anordnungen und Bußgelder nach sich ziehen. Auch bei Kundenprüfungen, Ausschreibungen oder Anfragen eines Versicherers kann ein fehlender Nachweis relevant werden. Wir priorisieren deshalb zuerst die Registrierung und die größten Risiken.

Nein. NIS2 verlangt geeignete und verhältnismäßige Maßnahmen sowie deren Dokumentation, aber kein bestimmtes Zertifikat. Eine Zertifizierung kann helfen, ersetzt jedoch nicht automatisch den Nachweis jeder einzelnen Maßnahme. Ist eine spätere Zertifizierung geplant, berücksichtigen wir das beim Aufbau.

Nein, und wir wollen das auch nicht. Der Datenschutzbeauftragte berät und überwacht unabhängig — auch die Arbeit von Dienstleistern wie uns. Wir liefern die technischen und organisatorischen Angaben aus dem Betrieb und setzen um, was vereinbart ist. Die Aufgabenverteilung klären wir vor dem Start.

Entscheidungen, die Benennung von Verantwortlichen, die Freigabe von Angaben und der Beschluss über Maßnahmen und akzeptierte Restrisiken bleiben bei Ihnen. Wir ordnen Anforderungen dem Betrieb zu, liefern technische Tatsachen und Belege, koordinieren Aufgaben und setzen vereinbarte Maßnahmen um. Rechtliche Würdigung, unabhängige Aufsicht und Zertifizierung liegen bei den dafür zuständigen Rollen.

Möglicherweise. Auch wenn Ihr Unternehmen nicht direkt unter das BSIG fällt, können regulierte Kunden Anforderungen an ihre Lieferanten weitergeben und Nachweise verlangen. Wir unterscheiden deshalb zwischen möglichen gesetzlichen Pflichten und den vertraglichen Anforderungen Ihrer Kunden — sonst entsteht eine Aufgabenliste, in der Pflicht und Wunsch durcheinandergeraten.

§ 38 BSIG verpflichtet die Geschäftsleitung betroffener besonders wichtiger und wichtiger Einrichtungen, die erforderlichen Risikomanagementmaßnahmen umzusetzen und deren Umsetzung zu überwachen. Die einzelnen Maßnahmen kann sie delegieren, die Überwachungspflicht nicht. Hinzu kommt eine regelmäßige Schulungspflicht. Bei einer schuldhaften Pflichtverletzung kann die Geschäftsleitung gegenüber der eigenen Einrichtung für den verursachten Schaden haften. Ein Sicherheitsvorfall allein führt nicht automatisch zu persönlicher Haftung.

Das hängt von Einrichtungsart, Größe, vorhandenem Stand und den beauftragten Stufen ab. Die ersten Punkte klärt die NIS2-Einordnung. Danach nennen wir Leistungsumfang und Kostenrahmen.