Großer Kunde meint, wir fallen unter NIS2: Was ist NIS2 und gilt das für ein KMU in Frankreich?

Die Rechtsabteilungen der großen Firmen schicken diese Texte einfach per Copy-Paste an jeden raus, um sich rechtlich abzusichern. Ruhig bleiben, an einen Tisch setzen und den Rahmen eingrenzen: „Wir sind keine kritische Infrastruktur bei euch, sondern ein isolierter Softwareanbieter.“

Wir hatten vor 3 Monaten einen ähnlichen Brief von einem Kunden aus dem Energiesektor. Zuerst wollten die ein Audit mit 60 Punkten. Wir haben uns zusammengesetzt, den Nachweis auf Datenbank-Zugriffsprotokolle und Zwei-Faktor-Authentifizierung beschränkt und das Ganze auf 8 Punkte runtergehandelt – ohne einen Cent zusätzlich auszugeben.

Wie genau seid ihr denn an das System des Kunden angebunden? Wenn ihr per VPN dauerhaften und uneingeschränkten Vollzugriff auf deren Server habt, ist die Sorge des Kunden verständlich. Geht das Ganze nur über eine unidirektionale API oder sitzt ihr direkt mit im Netz?

Hinweis: Dies ist meine persönliche Erfahrung, das muss nicht auf alle zutreffen.

Stellt direkt ein Security-One-Pager zusammen: interne 2FA, Backup-Zyklen und grundlegende Sicherheitsschulungen für die Mitarbeiter. Das schickt ihr an deren Risikoabteilung mit dem Hinweis: „Das ist unser Sicherheitsprofil auf KMU-Niveau.“

Am Markt laufen grad etliche Berater rum, die kleinen Firmen unter dem Deckmantel „NIS2-Compliance-Beratung“ 20.000 bis 30.000 Euro aus der Tasche ziehen wollen. Bloß nichts unterschreiben, die Richtlinie kann KMU direkt überhaupt keine Bußgelder aufbrummen.

Artikel 2 der EU-Richtlinie definiert die Schwellenwerte für die Unternehmensgröße eindeutig. In Ihrer offiziellen Stellungnahme sollten Sie sich juristisch sauber auf die KMU-Definition der Europäischen Kommission berufen, um aktenkundig zu machen, dass keine unmittelbare Pflicht für Sie besteht.

unser kunde kam mit derselben panik an sobald unternehmen nis2 hören wollen sie die ganze rechnung auf die lieferanten abwälzen. also einfach sachlich bleiben die grundlegenden kontrollen vorlegen und dann ist das thema meistens erledigt.

Ein Thema, das gerade aktuell ist. Ein nicht getestetes Backup ist kein Backup.

Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Da stimme ich zu. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Hier muss man eine Unterscheidung treffen. Wer bei was ist nis2 hetzt, stolpert alle an derselben Stelle.

Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht. Korrigiert mich, falls ich falsch liege.

Wenn du so vorgehst kläre das vorher... also änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt über den sie eingehen.

Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt über den sie eingehen. An deiner Stelle würde ich so vorgehen.

Ja, die Situation bei was ist nis2 ist genau so. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

die Diskussion ist abgeschweift, ich fasse mal zusammen aber vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. aus Erfahrung weiß ich das.

Da hast du recht. Jeder nicht schriftlich festgehaltene Punkt ist einer an den sich beide Parteien später unterschiedlich erinnern.

Ich fasse kurz zusammen, was bisher gesagt wurde. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Wenn ihr es zum ersten Mal macht, fangt klein an die Skalierung kommt später.

Ich bin derselben Meinung. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Notiert, danke. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Ein automatisierter Scan-Report ist kein Penetrationstest. Nur als Notiz könnte nützlich sein.