Wir haben keine IT-Abteilung, wer muss diesen Sicherheitsfragebogen ausfüllen

Keine IT-Abteilung ist keine Ausnahme

Die Frageliste befasst sich nicht damit, wer auf der Gehaltsliste steht, sondern damit, ob die zehn Maßnahmen des Artikels 21 Absatz 2 NIS2 vorhanden sind — auch bei fünf Mitarbeitern. Ein Kunde, der diese Liste versendet, möchte wissen, ob Risikoanalyse, Vorfallbehandlung, Kontinuität und Zugriffskontrolle geregelt sind, nicht ob es dafür eine Abteilung mit diesem Namen gibt. Bei einem kleinen Unternehmen liegt die Antwort oft beim Eigentümer oder einem externen IT-Dienstleister, und das ist eine gültige Antwort: wer es tut, steht nicht in der Frageliste, sondern nur ob es getan wird.

Praktisch bedeutet dies, dass derjenige, der das Hosting, die Laptops oder die Buchhaltungssoftware verwaltet — oft ein externes Büro — die tatsächlichen Antworten auf Fragen über Sicherungskopien und Notfallvorkehrungen und zur Mehrstufenauthentifizierung hat. Dieser Dienstleister muss die Frageliste nicht ausfüllen, sondern liefert das Beweismittel oder die Bestätigung, mit der der Unternehmer selbst antwortet. Bei Fragen, die sich nicht auf Technik, sondern auf Richtlinien beziehen — wer darf wo zugreifen, was passiert bei einem Vorfall — liegt das Wissen meist beim Eigentümer selbst, auch ohne IT-Hintergrund.

Artikel 21 Absatz 2 verlangt Maßnahmen, keine Funktionsbezeichnung

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt die zehn Maßnahmen als Ergebnisverpflichtung für das Unternehmen, ohne Anforderungen an die Organisationsstruktur zu stellen, mit der dieses Ergebnis erreicht wird. Anlage A der ISO/IEC 27001 konkretisiert dieselben Maßnahmen in Kontrollmaßnahmen, die ebenso von einer externen Partei wie von internem Personal ausgeführt werden können. Ob das Unternehmen selbst unter die Richtlinie fällt, ist übrigens eine separate Frage, unabhängig davon, wer die Frageliste ausfüllt — das lässt sich aus dem eigenen NIS2-Status ableiten.