Die Pflicht, die niemand
an einer Stelle aufgeschrieben hat
NIS 2 setzt den Rahmen, das nationale Gesetz regelt die Einzelheiten, Branchenvorschriften kommen hinzu, und Ihre Verträge geben Teile davon in der Lieferkette weiter. Die Pflicht, die tatsächlich für Sie gilt, existiert nur dort, wo sich diese Texte überschneiden.
„Ein Sicherheitsvorfall trifft einen Lieferanten, nicht Sie. Welche Meldepflichten löst das aus, bis wann und gegenüber wem?“
Artikel 23 legt die Meldestufen fest. Die nationale Umsetzung benennt die Behörde und kann die Einzelheiten verschärfen. Ihr Liefervertrag bestimmt, wann der Lieferant Sie informieren muss — und damit, ob Sie die Frist überhaupt rechtzeitig in Gang setzen können.
Warum kommt die herkömmliche Suche hier nicht weiter?
Vier Textquellen, eine Antwort.
Richtlinie, nationales Gesetz, Branchenvorschrift und Vertrag. Wer nur einen dieser Texte liest, erhält eine Antwort, die überzeugt klingt und falsch ist.
Die Geschäftsleitung steht persönlich in der Pflicht.
Artikel 20 verpflichtet die Leitungsorgane, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. „Das Tool hat es so gesagt“ ist keine Verteidigung, auf die sich jemand verlassen möchte; die Begründung muss sich prüfen lassen.
Die Fristen sind kurz.
Eine Frühwarnung bemisst sich in Stunden, nicht in Wochen. Wer die Antwort erst erarbeitet, während die Frist läuft, liest vier Dokumente zum denkbar falschen Zeitpunkt.
Wie sieht das an einem Beispiel aus?
Ein Lieferant meldet einen Sicherheitsvorfall, der einen von uns betriebenen Dienst betrifft. Welche Pflichten haben wir?
- 01Richtlinie, Artikel 23
Legt die Meldestufen und ihre inhaltlichen Anforderungen fest.
- 02Nationale Umsetzung
Benennt die zuständige Behörde und den Meldeweg.
- 03Liefervertrag, Ziffer 11
Verpflichtet den Lieferanten, uns zu informieren — er hat dafür aber bis zu 48 Stunden Zeit.
- 04Interne Eskalationsrichtlinie
Legt fest, wer zur Meldung befugt ist, und regelt die Stellvertretung.
Die Pflicht und ihre Stufen folgen aus Artikel 23 und dem nationalen Gesetz; die vertragliche 48-Stunden-Frist des Lieferanten ist die praktische Engstelle — sie wird als Feststellung benannt, nicht versteckt.
Was leistet ARGUS in diesem Fall?
Rechtstexte und interne Dokumente in einem Index
EU-Recht, nationales Gesetz, interne Richtlinien und Verträge sind gemeinsam durchsuchbar, sodass eine Antwort begründet von einem Text zum anderen führen kann.
Begründungsweg statt bloßer Antwort
Das Ergebnis zeigt, welche Teilfrage durch welchen Text beantwortet wurde — genau den Teil, den die Geschäftsleitung prüfen können muss.
Konflikterkennung
Wo eine Vertragsklausel eine gesetzliche Pflicht unterläuft, werden beide gemeinsam angezeigt, statt dass das System sich für eine entscheidet.
Konzernweit nutzbar
Derselbe Index beantwortet Fragen für mehrere Gesellschaften; gesellschaftsspezifische Dokumente bleiben über Metadatenfilter getrennt.
Was ARGUS nicht leistet
Wir sagen es hier, damit Sie es nicht erst in der dritten Woche eines Pilotprojekts herausfinden.
- ARGUS ist keine Rechtsberatung und ersetzt weder Ihren Rechtsbeistand noch Ihren CISO.
- Nationale Umsetzungen sind unterschiedlich und ändern sich. Die Antwort ist nur so aktuell wie die Texte, die Sie indexiert haben — deshalb nennt sie immer die Fassung.
- ARGUS reicht keine Meldungen ein und ist nicht an Behördenportale angebunden.
- Die Szenarien hier haben wir aufgebaut und vorgeführt; sie stammen nicht aus produktiven Installationen.
Fragen, die uns gestellt werden
Müssen wir die NIS-2-Rechtstexte selbst indexieren?+
Wie aktuell sind die Antworten zu NIS 2?+
Lässt sich die NIS-2-Auswertung vollständig offline betreiben?+
Prüfen Sie es an einer Frage, an der Sie schon Zeit verloren haben
Bringen Sie eine Frage mit, die sich aus Ihren eigenen Dokumenten beantworten lassen sollte, und die Dokumente, in denen die Antwort stehen müsste. Fehlt der Nachweis, ist genau dies das Ergebnis — und es lohnt sich, das zu wissen, bevor ein Prüfer es feststellt.
Zuletzt aktualisiert: