NIS2 und BSIG: Was Handwerksbetriebe jetzt wissen sollten
Cybersicherheit ist längst kein reines Thema großer Konzerne mehr – auch für das Handwerk gewinnt sie zunehmend an Bedeutung. Mit der europäischen NIS2-Richtlinie und ihrer Umsetzung im deutschen BSI-Gesetz (BSIG) steigen die Anforderungen an die Informationssicherheit spürbar. Die wichtigsten Punkte im Überblick:
Warum das Thema auch das Handwerk betrifft
Angebote, Rechnungen, Terminplanung, Maschinensteuerung, Kundendaten in der Cloud – moderne Handwerksbetriebe sind auf funktionierende IT angewiesen. Ein Ausfall oder Angriff kann den gesamten Geschäftsbetrieb lahmlegen. Zu den häufigsten Risiken zählen:
- Verschlüsselung der Unternehmensdaten durch Ransomware
- Manipulation von Rechnungen oder Bankverbindungen
- Kompromittierte E-Mail-Konten
- Diebstahl vertraulicher Kunden- oder Projektdaten
- Ausfall von Produktionsanlagen oder CNC-Steuerungen
- Betrugsversuche durch Phishing oder CEO-Fraud
Bin ich unmittelbar betroffen?
Für kleine und mittlere Handwerksbetriebe gelten die gesetzlichen Pflichten nicht unmittelbar. Eine direkte Betroffenheit entsteht nur, wenn beide Bedingungen zutreffen:
- Der Betrieb ist einem im BSIG erfassten Sektor zuzuordnen (z. B. Energie, Wasser, Gesundheit, verarbeitendes Gewerbe, IT-Dienste).
- Die Schwellenwerte werden erreicht (z. B. mehr als 50 Mitarbeitende und über 10 Mio. € Umsatz für „wichtige Einrichtungen“).
Der wichtigere Punkt: mittelbare Betroffenheit
Auch ohne gesetzliche Pflicht kann NIS2 Handwerksbetriebe erreichen – nämlich über ihre Kunden und Lieferketten. Regulierte Unternehmen (Industrie, Krankenhäuser, öffentliche Auftraggeber, Energieversorger) müssen die Sicherheit ihrer Lieferkette gewährleisten und geben Anforderungen vertraglich weiter.
Typische Beispiele:
- Sicherheitsfragebögen und Selbstauskünfte
- Vorgaben zu Passwörtern und Multi-Faktor-Authentifizierung
- Nachweise zu Backups und Verschlüsselung
- Regelungen zur sicheren Fernwartung und zur Meldung von Vorfällen
Solche Anforderungen finden sich schon heute häufig in Ausschreibungen und Vertragsanlagen.
Was Handwerksbetriebe tun sollten
Ein zertifiziertes Managementsystem nach ISO/IEC 27001 ist für die meisten Betriebe nicht nötig. Entscheidend ist ein angemessenes, risikoorientiertes Vorgehen:
- Verantwortlichkeiten klären
- Risiken erkennen und angemessene Schutzmaßnahmen umsetzen
- Notfallabläufe festlegen und bekannt machen
- Mitarbeitende regelmäßig schulen
Tipp: Beantworten Sie Sicherheitsanfragen von Kunden ernsthaft und wahrheitsgemäß. Pauschale Zusagen wie "wir erfüllen NIS2 vollständig" sollten Sie nur machen, wenn dies tatsächlich geprüft wurde.
