NIS2 für Automobilzulieferer: TISAX® und BSIG zusammen umsetzen

Die Herstellung von Kraftwagen und Kraftwagenteilen steht in Anlage 2 des BSI-Gesetzes (BSIG). Ab 50 Mitarbeitern oder jeweils mehr als 10 Mio. € Umsatz und Bilanzsumme ist ein Zulieferer damit wichtige Einrichtung nach NIS2. Ein ISMS für TISAX® liefert viele Nachweise, die § 30 BSIG verlangt. Das Label selbst belegt NIS2 aber nicht: TISAX® prüft weder die Registrierung beim BSI noch die Meldefristen oder die Pflichten der Geschäftsleitung, und nur die bewerteten Standorte.

Wann NIS2 für einen Automobilzulieferer gilt

Entscheidend ist die NACE-Abteilung Ihrer Tätigkeit, nicht die Branche Ihrer Kunden. Allein die Belieferung eines OEM macht Sie nicht betroffen.

Ein Spritzgießer aus Abteilung 22 ist über diese Tätigkeit nicht betroffen, auch wenn alle Kunden Autobauer sind. Ein Zulieferer von Kabelbäumen oder Steuergeräten kann dagegen unter Abteilung 26, 27 oder 29 fallen. In Deutschland entspricht NACE der Klassifikation WZ 2008; ist Ihre Zuordnung unklar, lassen Sie sie prüfen.

• Anlage 2 heißt höchstens „wichtig“. Auch ein Zulieferer mit 3.000 Mitarbeitern ist wichtige Einrichtung, es sei denn, er übt zusätzlich eine Tätigkeit aus Anlage 1 aus oder betreibt eine kritische Anlage.
• Konzerne. Zahlen von Partner- und verbundenen Unternehmen zählen mit, außer das Unternehmen ist von ihnen unabhängig (§ 28 Abs. 4). Ein Werk mit 40 Mitarbeitern kann also als Teil einer größeren Gruppe betroffen sein.
• IT-Dienste für Kunden. Wer IT-Systeme für Kunden betreibt, kann Managed Services Provider sein (Anlage 1 Nr. 6.1.10). Tätigkeiten aus Anlage 1 können zur Einstufung „besonders wichtig“ führen.

Ihren Fall prüfen Sie im NIS2-Betroffenheits-Check. Die Zählweise erklärt der Artikel Fällt Ihr Unternehmen unter NIS2?.

Was Ihr ISMS für TISAX® schon liefert

VDA® ISA und § 30 BSIG haben denselben Kern: risikobasierte Informationssicherheit mit dokumentierten Maßnahmen. Beginnen Sie mit der aktuellen Selbsteinschätzung, ihren Nachweisen und offenen Findings. Die Tabelle zeigt, wo die Nachweise im ISA meist liegen und was Sie für NIS2 zusätzlich prüfen sollten.

Wie bei ISO® 27001 nennt das BSIG Multi-Faktor-Authentifizierung und gesicherte Notfallkommunikation ausdrücklicher als der Katalog. Prototypenschutz und Datenschutz haben in § 30 kein direktes Gegenstück. Der ISA 2027 verschärft die Anforderungen an Lieferanten und ergänzt das Krisenmanagement, beides rückt ihn näher an § 30. Prüfen Sie alle zehn Bereiche, nicht nur diese Beispiele: Die zehn NIS2-Maßnahmen nach § 30 BSIG.

Was TISAX® nicht prüft

• Geltungsbereich. Ein TISAX®-Assessment umfasst die bewerteten Standorte, NIS2 gilt für die ganze Einrichtung. Ein Label gilt drei Jahre, die NIS2-Pflichten gelten laufend.
• Registrierung (§ 33). Spätestens drei Monate, nachdem Sie erstmals oder erneut als Einrichtung gelten, über das BSI-Portal. Änderungen binnen zwei Wochen. Eine fehlende Registrierung kann mit bis zu 500.000 € geahndet werden (§ 65).
• Meldungen an das BSI (§ 32). Frühe Erstmeldung binnen 24 Stunden und Meldung binnen 72 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, Abschlussmeldung spätestens einen Monat nach der Meldung. Dauert der Vorfall dann noch an, ist stattdessen eine Fortschrittsmeldung fällig. Siehe NIS2-Meldepflicht.
• Geschäftsleitung (§ 38). Sie muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Siehe NIS2-Schulung der Geschäftsleitung.

Beispiel: ein Nachweis, zwei Verwendungen

Ein Hersteller von Fahrzeugteilen (NACE 29) mit 180 Mitarbeitern hat ein geprüftes Werk und einen separaten Logistikstandort. Er ist wichtige Einrichtung. Der ISB nutzt den bestehenden Wiederherstellungsplan weiter, ergänzt die Logistiksysteme und testet, ob die Produktion wieder anläuft, wenn deren Anbindung ausfällt. Das Testprotokoll nennt Systeme, Wiederanlaufziel, tatsächliches Ergebnis, Verantwortlichen und Korrekturmaßnahmen. Derselbe Datensatz dient der ISA-Selbsteinschätzung und der Lückenprüfung nach § 30.

Die Reihenfolge, die funktioniert

1. Einstufen: NACE-Abteilung, Größe, Gruppe. Begründung dokumentieren.
2. Registrieren, wenn Sie betroffen sind und es noch nicht getan haben.
3. Vorfallprozess erweitern: „erheblich nach BSIG?“, BSI-Fristen, Vertretung am Wochenende.
4. Scope-Lücke schließen: Standorte und Funktionen außerhalb des TISAX®-Scopes brauchen die Maßnahmen nach § 30 ebenfalls.
5. Geschäftsleitung schulen und die Teilnahme dokumentieren.

In Valiido laufen VDA® ISA und NIS2 als Frameworks in einem ISMS mit gemeinsamen Datensätzen und Vorfallfristen. Registrierung und Meldungen übermitteln Sie selbst, und AuditMagic prüft gegen ISO® 27001 und TISAX®, nicht gegen NIS2. Sie arbeiten schon an TISAX®? Dann starten Sie mit Valiido für TISAX®.

Häufig gestellte Fragen

Kann ein Automobilzulieferer besonders wichtige Einrichtung sein?

Nicht allein über Anlage 2. Besonders wichtig kann er werden, wenn er zusätzlich eine Tätigkeit aus Anlage 1 ausübt, etwa IT-Betrieb für Kunden als Managed Services Provider oberhalb der Schwellen für besonders wichtige Einrichtungen, oder eine kritische Anlage betreibt.

Unser OEM verlangt NIS2-Nachweise, wir sind aber nicht betroffen. Was nun?

Ihr Kunde muss nach § 30 Abs. 2 Nr. 4 BSIG seine Lieferkette absichern und gibt Anforderungen über Verträge weiter. Registrieren müssen Sie sich nicht, dokumentierte Maßnahmen sollten Sie aber zeigen können. Teilen Sie nur die relevanten Nachweise, nicht Ihr vollständiges ISMS; das verlangt das BSIG nicht.