NIS2-Richtlinie und geändertes BSI-Gesetz (BSIG) verpflichten Unternehmen zu erhöhter Cybersicherheit. Doch welche Systeme, Komponenten und Prozesse muss eine betroffene Einrichtung für ihre NIS2-Compliance überhaupt einbeziehen? Wir erklären den technischen Anwendungsbereich von NIS2 bzw. Art. 30 BSIG und zeigen, worauf Unternehmen bei der Abgrenzung achten sollten.
In aller Kürze
- Der technische Anwendungsbereich von NIS2 umfasst alle dienstrelevanten Systeme, Komponenten und Prozesse.
- Auch OT-Systeme, Cloud-Dienste, Managed Services und ausgelagerte Systeme zählen dazu.
- Ein vollständiges Asset-Inventar macht geschäftskritische Systeme, Anwendungen, Daten und Prozesse sichtbar.
Was ist der technische Anwendungsbereich gemäß § 30 BSIG?
Kurz gesagt, erstreckt sich der technische Anwendungsbereich von auf alle Systeme, Komponenten und Prozesse, welche die betreffende Einrichtung zur Erbringung ihrer Dienste nutzt und welche technische Mittel zur Verarbeitung von Informationen darstellen.
Um das verständlich zu machen, betrachten wir die Begrifflichkeiten dieser Definition im Einzelnen:
Der technische Anwendungsbereich gemäß § 30 BSIG erstreckt sich gemäß Definition auf
- ein System, eine Komponente oder einen Prozess,
- das, die oder der Informationen
- technisch verarbeitet und
- von der Einrichtung genutzt wird, um ihre Dienste zu erbringen.
(1) a) Was sind informationstechnische Systeme?
Ein informationstechnisches System (IT-System) ist eine funktionale Gesamtheit aus technischen und softwarebasierten Teilen, die zusammen Daten erfassen, verarbeiten, speichern oder übertragen. Beispiele dafür sind:
- ERP-System (z. B. zur Warenwirtschaft und Buchhaltung)
- Webanwendung mit Server, Datenbank und Benutzeroberfläche
- E-Mail-System (Mailserver + Clients + Spamfilter)
- Industrie-/IoT-System (Sensoren + Gateway + Cloud-Plattform)
(1) b) Was sind informationstechnische Komponenten?
Eine Komponente ist ein einzelnes Bauteil (Hardware, Software oder logisches Modul), das Teil eines Systems ist und eine spezifische Funktion übernimmt. Komponenten-Arten (mit Beispielen):
- Hardware-Komponenten: Server, Laptop, Smartphone, Router, Firewall, Sensor
- Software-Komponenten: Betriebssystem, Datenbank, Webserver, App, Treiber
- Logische/technische Module: Authentifizierung (Login), Verschlüsselung, Logging, Backup-Service, API-Gateway
- Schnittstellen/Kommunikation: REST-API, Message Queue, VPN, TLS
(1) c) Was sind informationstechnische Prozesse?
Ein informationstechnischer Prozess ist ein Ablauf/Workflow, bei dem IT eingesetzt wird, um Daten entlang definierter Schritte zu bearbeiten. Das kann vollautomatisch oder teilautomatisch erfolgen. Typische Schritte in IT-Prozessen sind:
- Daten erfassen (Formular, Sensor, Import)
- Daten validieren (Plausibilitätsprüfung)
- Daten verarbeiten (Berechnung, Klassifikation, Zuordnung)
- Daten speichern (Datenbank, Dateiablage)
- Daten übertragen (API, E-Mail, Schnittstelle)
- Daten archivieren/löschen (Aufbewahrung, Retention)
Beispiele:
- Kunde registriert sich → E-Mail-Verifikation → Konto wird angelegt → Begrüßungsmailwird versendet
- Logdaten sammeln → korrelieren → Alarm auslösen → Ticket erstellen
(2) Um welche von Informationen geht es?
Beispiele von Informationen, welche von informationstechnischen Systemen, Komponenten und Prozessen verarbeitet werden können:
- Textdaten: E-Mails, Dokumente (z. B. Verträge, Berichte), Chat-Nachrichten, Websiteinhalte
- Zahlen-/Strukturdaten: Tabellen (Excel), Datenbankeinträge (Kundenstammdaten), Buchungs- und Sensordaten
- Netzwerkdaten: IP-Adressen, Paket-/Verkehrsdaten, Verbindungsmetadaten
- Identitäts- und Zugangsdaten: Benutzerkonten, Rollen/Rechte, Passworthashes, Tokens/Zertifikate
- Transaktionsdaten: Bestellungen, Zahlungen, Rechnungen, Warenkörbe
- Kommunikations- und Metadaten: Absender/Empfänger, Zeitstempel, Betreffzeilen, Geräteinfos
- Geräte-/IoT-Daten: Temperatur, Luftfeuchte, Stromverbrauch, Telemetrie von Maschinen/Fahrzeugen
- Geheimnisse und Schlüsselmaterial: API-Keys, kryptografische Schlüssel
- Personenbezogene Daten (als wichtige Untergruppe): Name, Adresse, Kontaktdaten, Kundennummer, Online-Kennungen
- Besondere Kategorien personenbezogener Daten: Gesundheitsdaten, biometrische Daten, politische Meinung etc.
Wichtig: Es ist nicht relevant welche Art von Informationen verarbeitet werden, sondern nur ob.
(3) Was bedeutet technisch verarbeiten?
Technisch verarbeitet bedeutet, dass Informationen mithilfe von Informationstechnischen Systemen, Komponenten und Prozesse als digitale Daten behandelt und in einem automatisierten, regelbasierten Ablauf bearbeitet werden. Typische Merkmale technischer Verarbeitung sind:
- Automatisierung: Die Verarbeitung geschieht ohne manuelle Einzelfallbearbeitung durch Menschen, sondern durch festgelegte Funktionen/Algorithmen.
- Digitalität: Die Informationen liegen digital vor (oder werden durch Digitalisierung wie Scan/OCR erst digitalisiert).
- Reproduzierbarkeit: Gleiche Eingaben führen nach denselben Regeln zu gleichen/vergleichbaren Ergebnissen.
- IT-gestützte Schritte: z. B. Erfassen, Speichern, Auslesen, Ändern, Übermitteln, Löschen, Analysieren.
Technische Verarbeitung ist also die Bearbeitung von Daten durch IT-Systeme, gesteuert durch Software. Dabei kann ein Programm die automatische Verarbeitung digitaler Daten durchführen, indem es Daten z. B. einliest, validiert, sortiert, berechnet, mit anderen Datensätzen abgleicht, speichert oder weiterleitet.
(4) Was versteht das BSIG unter „Nutzung zur Diensterbringung“?
Unter „Dienste“ versteht das BSIG die Leistungen/Services, die die Einrichtung nach außen erbringt (Geschäfts-/Auftragszweck), für deren Erbringung sie informationstechnische Systeme, -Komponenten und -Prozesse einsetzt. Wegen der Bedeutung dieser Dienste fallen die Einrichtungen in den Anwendungsbereich des BSIG, sei es als kritische, besonders wichtige oder wichtige Einrichtung.
Wichtig: Maßgeblich ist nicht jede Informationsverarbeitung, sondern, ob die jeweiligen IT-Systeme/Prozesse/Komponenten für die Leistungserbringung genutzt werden. Insofern ist der Scope regelmäßig weit, aber funktional begrenzt.
Gelten NIS2 bzw. BSIG auch für Operational Technology (OT)?
Industrielle Steuerungssysteme – etwa SCADA-Systeme, speicherprogrammierbare Steuerungen (SPS) oder Prozessleitsysteme – fallen grundsätzlich ebenfalls unter den Begriff des Netz- und Informationssystems. Dies, sofern sie Daten automatisch verarbeiten und in den Betrieb einer wichtigen oder besonders wichtigen Einrichtung eingebunden sind. Für Sektoren wie Energie, Wasser oder Verkehr ist dieser Punkt besonders relevant, da dort die IT und die Operational Technology (OT) zunehmend konvergieren.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) konkretisiert auf seiner Website, dass mit dem technischen Anwendungsbereich alle Systeme, Komponenten und Prozesse gemeint sind, die Einrichtungen für die Erbringung ihrer Dienste nutzen. Also sowohl klassische IT-Systeme als auch OT-Systeme, d.h. industrielle Steuerungs- und Automatisierungssysteme sowie Systeme der Gebäudeautomation.
Gerade in der OT-Umgebung ist die Abgrenzungsfrage komplex: Einfache, nicht programmierbare Feldgeräte (z. B. rein mechanische Sensoren ohne digitale Datenverarbeitung) dürften nicht erfasst sein. Sobald ein Gerät jedoch Daten digital verarbeitet und in ein Netzwerk eingebunden ist – auch wenn es primär physische Prozesse steuert –, ist eine Einbeziehung in den Anwendungsbereich gut vertretbar.
Hinweis: Die Anforderung gemäß BSIG verlangt zudem IT-Sicherheitsmaßnahmen über den gesamten Lebenszyklus von Systemen, Komponenten und Prozessen (Einkauf/Erwerb, Entwicklung, Betrieb/Wartung). Daher müssen Einrichtungen zusätzlich zu den in diesem Artikel beschriebenen Anforderungen auch die weiteren Anforderungen aus § 30 BISG zwingend berücksichtigen und umsetzen, z. B. Lieferkettensicherheit oder Asset Management.
Was gilt für Cloud-Dienste und externe Dienstleister?
Cloud-Infrastrukturen, die eine betroffene Einrichtung nutzt, gehören ebenfalls zu den Netz- und Informationssystemen, auf deren Sicherheit sie achten muss. Das schließt auch solche Systeme ein, die durch Dritte – etwa Managed-Service-Provider – betrieben oder aktiv verwaltet werden. Dabei verbleibt die regulatorische Verantwortung bei der betroffenen Einrichtung selbst; sie muss vertraglich und technisch sicherstellen, dass auch in ausgelagerten Umgebungen die NIS2-Anforderungen eingehalten werden.
Achtung: In Unternehmen, die stark auf Cloud- oder Managed Services setzen, zeigt sich regelmäßig, dass die Verträge mit Dienstleistern die NIS2-Anforderungen (z. B. Meldepflichten, Sicherheitsstandards) nicht ausreichend abbilden. Eine Überprüfung und ggf. Anpassung bestehender Verträge ist daher dringend empfehlenswert.
Wie lässt sich der technische Anwendungsbereich von NIS2 in der Praxis greifen?
Für die Praxis ist damit klar: Sie müssen die NIS2-Risikomanagement-Maßnahmen nicht nur für zentrale Server oder einzelne Netzsegmente umsetzen, sondern für die Gesamtheit der dienstrelevanten Technik und Abläufe. Die Abgrenzung des technischen Anwendungsbereiches orientiert sich an der Frage, welche Systeme und Prozesse für die Erbringung Ihrer Dienste tatsächlich erforderlich sind.
Für die Praxis lassen sich aus den folgenden Leitlinien ableiten:
- Kernsysteme sind eindeutig vom technischen Anwendungsbereich erfasst: Server, Netzwerkkomponenten, Betriebssysteme und eingebettete Steuerungssysteme fallen unstreitig unter die Definition. Sie müssen zwingend in die NIS2-Compliance einbezogen werden.
- Anwendungssoftware: Ob auch Applikationen (z. B. ERP, CRM, SCADA-Oberflächen) direkt unter den Begriff fallen, ist rechtlich noch nicht abschließend geklärt. Aus Vorsichtsgründen empfiehlt es sich, auch kritische Anwendungen in das Informationssicherheits-Managementsystem (ISMS) zu integrieren.
- Daten als eigene Komponente: Die Definition im BSIG schließt ausdrücklich digitale Daten ein. Das unterstreicht, dass Datensicherheit integraler Bestandteil der NIS2-Compliance ist.
Hinweis: Viele Unternehmen stellen bei der initialen NIS2-Gap-Analyse fest, dass ihr IT-Asset-Inventar, also ein vollständiges Verzeichnis aller unternehmenseigenen IT-Werte, unvollständig ist. Eine strukturierte Bestandsaufnahme und Verwaltung technischer Ressourcen ist daher häufig der erste notwendige Schritt – bevor überhaupt bewertet werden kann, welche Systeme vom technischen Anwendungsbereich der NIS2 erfasst sind.
Tipp: Lesen Sie auch, wie Sie Ihr bestehendes ISMS für NIS2-Compliance erweitern.
Wie kann activeMind Unternehmen dabei unterstützen, den technischen Anwendungsbereich von NIS2 festzulegen?
Den technischen Anwendungsbereich von NIS2 legen wir in einem Kickoff-Workshop individuell für Ihr Unternehmen fest. Hierfür lassen sich unsere Berater Ihr Geschäftsmodell und die dafür eingesetzten Assets (Technologien, Prozesse, Lieferanten) erklären. So können wir den NIS2- Anwendungsbereich (Scope) genau festlegen, direkt in unsere spezialisierte NIS2-Software übertragen und einen individuellen Masterplan für Sie erstellen.
Ihre Vorteile:
- Durch unsere langjährige Erfahrung bei der Errichtung von ISMS nach verschiedenen Normen wie ISO 27001, BSI-Grundschutz oder TISAX, können wir den technischen Anwendungsbereich schnell und zuverlässig einschätzen.
- Der NIS2-Anwendungsbereich für Ihr Unternehmen ist weder zu weit gefasst (Kosten) noch zu eng (mangelnde Compliance).
Die Festlegung des idealen NIS2-Scopes überfordert viele interne Teams. Unsere Experten helfen Ihnen gerne dabei.
Fazit: Lieber zu weit denken als zu eng
Der technische Anwendungsbereich von § 30 BSIG ist bewusst weit gefasst. Er umfasst sämtliche Hardware, Systemsoftware und die darüber verarbeiteten digitalen Daten, die zur Erbringung der Dienste nötig sind. Unternehmen, die ihre NIS2-Compliance voranbringen wollen, sollten daher mit einem vollständigen Asset-Inventar beginnen, OT-Systeme nicht vergessen und Verträge mit externen Dienstleistern kritisch prüfen. Wer den technischen Anwendungsbereich zu eng zieht, riskiert nicht nur Lücken im Sicherheitskonzept, sondern auch aufsichtsrechtliche Konsequenzen wie NIS2-Bußgelder und Haftung der Geschäftsführung.
