„NIS2“ – Was bedeutet das für öffentliche Auftraggeber

NIS2 führt für öffentliche Auftraggeber, die in den Anwendungsbereich fallen, verbindliche Anforderungen an die Informationssicherheit ein. Dazu gehören insbesondere technische und organisatorische Maßnahmen, Dokumentations- und Nachweispflichten sowie Meldepflichten bei Sicherheitsvorfällen an das BSI. Der Fokus liegt zudem auf einer Verantwortung der Leitungsebene.

Die Umsetzung umfasst zunächst eine Analyse des Anwendungsbereichs und der bestehenden Prozesse. Danach folgen Priorisierung, Anpassungen von Organisations- und Sicherheitsmaßnahmen sowie die Dokumentation der Umsetzung. Auch Beschaffungsvorhaben, Lieferketten und IT-Dienstleister müssen dabei berücksichtigt werden.

Bei IT-Sicherheitsvorfällen gelten unter NIS2 Meldepflichten direkt an das BSI. Der konkrete Meldeprozess richtet sich nach den jeweils geltenden Fristen und Formaten. Maßgeblich ist, dass Vorfälle rechtzeitig erkannt, bewertet und entsprechend gemeldet werden.

Besonders relevant ist NIS2 für Mitarbeitende öffentlicher Auftraggeber, die an Beschaffung, Betrieb oder rechtlicher Steuerung von IT- und Informationssicherheitsleistungen beteiligt sind. Dazu zählen auch Personen, die Umsetzungsentscheidungen vorbereiten oder für die Einhaltung der Anforderungen verantwortlich sind. Betroffen sind vor allem Rollen mit Bezug zu Governance, Vergabe und IT-Sicherheit.

NIS2 ist ein rechtlicher Rahmen mit verbindlichen Pflichten, Meldeanforderungen und Verantwortlichkeiten, insbesondere für den öffentlichen Sektor. ISO 27001 und BSI IT-Grundschutz sind dagegen Standards bzw. Referenzrahmen für die organisatorische und technische Ausgestaltung von Informationssicherheit. Sie können bei der Umsetzung helfen, ersetzen aber nicht die gesetzlichen Anforderungen von NIS2.