Praxisbeispiel vom PDF zur Compliance/NIS2 Software

Ausgangslage

Der Anlass war ein Fragebogen aus dem Einkauf eines größeren Kunden. Darin ging es um Zuständigkeiten, Schulungsnachweise, den Umgang mit Sicherheitsvorfällen und die Frage, ob das Unternehmen selbst unter NIS-2 fällt. Beantworten liess sich das nur teilweise, weil die Antworten in Ordnern, Mailverläufen und den Köpfen einzelner Mitarbeitender lagen. Eine Tabelle gab es, gepflegt hat sie zuletzt jemand, der nicht mehr im Haus ist. Das ist keine Ausnahme. Organisationspflichten wachsen seit Jahren, in mittelständischen Betrieben verantwortet sie aber meist jemand nebenbei: die kaufmännische Leitung, die IT, manchmal die Geschäftsführung selbst. Was fehlt, ist selten das Wissen, dass etwas zu tun wäre. Es fehlt der nächste konkrete Schritt.

Entwicklung

Entwickelt wurde SPECTOR, eine Compliance-Software mit zwei Modulen: eines für Compliance-Management entlang der DIN SPEC 91524, dem Leitfaden für Compliance in kleinen und mittleren Unternehmen, und eines für die NIS-2-Pflichten nach BSIG. Bei der Einrichtung wählt man die eigene Branche aus, verfügbar sind 22. Das System legt daraufhin 98 Prozessvorlagen und 58 typische Risiken an. Der Betrieb startet also nicht vor einer leeren Datenbank, sondern vor einem Bestand, den er streicht, ergänzt und an die eigene Wirklichkeit anpasst. Das war im Nachhinein der Punkt, an dem das Projekt nicht liegen geblieben ist. Danach folgte der Selbstcheck, rund eine Stunde im Führungsteam. Ergebnis sind ein Score, eine Heatmap über die Prozessbereiche und ein priorisierter Maßnahmenplan. Jede Antwort erzeugt eine Aufgabe, jede erledigte Aufgabe eine Wirksamkeitskontrolle, jede Kontrolle einen Eintrag im Bericht. Aufgaben bekommen Verantwortliche und Fristen und melden sich per E-Mail, statt in einer Liste zu warten, in die niemand schaut.

Für NIS-2 prüft ein eigener Bereich zuerst die Betroffenheit und dokumentiert sie. Das ist die Antwort auf die Frage aus dem Einkaufsfragebogen, und sie ist auch dann relevant, wenn ein Betrieb selbst nicht unter die Richtlinie fällt, aber als Zulieferer Nachweise liefern muss. Kommt es zu einem Vorfall, laufen im System die Meldefristen mit: 24 Stunden für die Frühwarnung, 72 Stunden für die Meldung, ein Monat bis zum Abschlussbericht.

Zum Datenschutz: SPECTOR wird in Deutschland entwickelt, gehostet und betreut, die Daten liegen in einem deutschen Rechenzentrum, das auch die Anforderungen für Berufsgeheimnisträger nach § 203 StGB erfüllt, und werden georedundant an einem zweiten deutschen Standort gesichert. Ein Datentransfer ins Ausland findet nicht statt. Den Auftragsverarbeitungsvertrag schließt man digital im System ab, Änderungen sind im Audit-Log nachvollziehbar, kritische Statuswechsel lassen sich über ein Vier-Augen-Prinzip absichern.

Was sich übertragen lässt

Der übertragbare Teil ist nicht die Software, sondern die Reihenfolge. Erst klären, ob und wofür man betroffen ist. Dann mit einem vorbefüllten Bestand starten statt mit einem leeren Blatt. Dann jede Erkenntnis sofort in eine Aufgabe mit Namen und Frist übersetzen. Betriebe, die stattdessen mit einem Gutachten beginnen, haben nach drei Monaten ein Dokument und keinen geänderten Arbeitsalltag. Ob eine Software dafür nötig ist, hängt von der Größe ab. Unter etwa 20 Beschäftigten reichen häufig Vorlagen und ein Kalender. Sobald mehrere Personen zuständig sind, mehrere Standorte dazukommen oder Kunden regelmäßig Nachweise verlangen, wird die Nachvollziehbarkeit zum eigentlichen Problem, und dafür ist ein System gebaut.

Wenn Sie einordnen möchten, wo Ihr Betrieb steht, hilft der Selbstcheck von StartDigital als erster Schritt. Zu den rechtlichen Hintergründen finden Sie mehr unter IT-Sicherheit & NIS-2, und im Partnerverzeichnis stehen Dienstleister aus der Region, die bei der Umsetzung unterstützen.

Transparenzhinweis: SPECTOR ist ein Produkt der edesign Werbeagentur in Wangen im Allgäu, die auch an der Umsetzung von StartDigital beteiligt ist. Die Nennung erfolgt als Praxisbeispiel und nicht als Empfehlung. Vergleichbare Lösungen anderer Anbieter finden Sie über das Partnerverzeichnis.