Roboter-Cybersecurity und NIS2.Die Flotte als Teil des Risikomanagements.

Das BSI-Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen. Besonders wichtig sind nach § 28 Abs. 1 unter anderem Betreiber kritischer Anlagen sowie Unternehmen der Sektoren aus Anlage 1, etwa Energie, mit mindestens 250 Beschäftigten oder mehr als 50 Mio. Euro Jahresumsatz und mehr als 43 Mio. Euro Bilanzsumme. Wichtig sind nach § 28 Abs. 2 Unternehmen der Anlagen 1 und 2 ab 50 Beschäftigten oder jeweils mehr als 10 Mio. Euro Umsatz und Bilanzsumme.

Anlage 2 nennt im Sektor Verarbeitendes Gewerbe unter anderem die Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, elektrischen Ausrüstungen, den Maschinenbau, die Herstellung von Kraftwagen und Kraftwagenteilen sowie den sonstigen Fahrzeugbau. Dazu kommt der Sektor Chemie. Damit fallen viele große Industrieunternehmen unter das Gesetz. Metallerzeugung und Metallbearbeitung werden im Sektor Verarbeitendes Gewerbe der Anlage 2 dagegen nicht genannt, solche Unternehmen können aber über andere Tätigkeiten erfasst sein.

Die Pflichten gelten nach § 30 Abs. 1 BSIG für die informationstechnischen Systeme, Komponenten und Prozesse, die eine Einrichtung für die Erbringung ihrer Dienste nutzt. Ein Humanoide mit Funkverbindung, Fleet-Software und Fernwartung ist ein solches System. Ob Ihr Unternehmen betroffen ist, prüfen Rechtsabteilung und Informationssicherheit anhand der Anlagen und Schwellenwerte.

1. Frühe Erstmeldung in 24 Stunden

   Nach § 32 Abs. 1 BSIG melden besonders wichtige und wichtige Einrichtungen einen erheblichen Sicherheitsvorfall unverzüglich, spätestens 24 Stunden nach Kenntnis.

2. Meldung in 72 Stunden

   Spätestens 72 Stunden nach Kenntnis folgt die Meldung über den Sicherheitsvorfall mit einer ersten Bewertung.

3. Abschlussmeldung nach einem Monat

   Spätestens einen Monat nach der Meldung folgt eine Abschlussmeldung mit Beschreibung, Art der Bedrohung, Abhilfemaßnahmen und grenzüberschreitenden Auswirkungen.

4. Gemeinsame Meldestelle

   Die Meldungen gehen an eine gemeinsame Meldestelle des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe.

5. Hersteller vertraglich einbinden

   Damit das Werk die Fristen halten kann, muss der Hersteller Auffälligkeiten an Ihren Geräten zügig mitteilen. Das gehört in den Rahmenvertrag.

§ 38 Abs. 1 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Nach Abs. 3 müssen Geschäftsleiter regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken in der Informationssicherheit erkennen und bewerten zu können. Für die Flotte bedeutet das: Ein Rollout gehört mit seiner Security-Bewertung auf den Tisch der Geschäftsleitung.

Dazu kommt die Registrierung. Nach § 33 Abs. 1 BSIG registrieren sich Einrichtungen spätestens drei Monate, nachdem sie erstmals als besonders wichtige oder wichtige Einrichtung gelten, über die Registrierungsmöglichkeit von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist abgelaufen ist und betroffene Unternehmen sich umgehend im BSI-Portal registrieren sollen.

Die Roboterflotte selbst löst keine neue Registrierung aus. Sie erweitert aber die Systeme, auf die sich Risikomanagement, Meldewege und Audits erstrecken. Ob ein Vorfall an einem Roboter erheblich im Sinne des Gesetzes ist, muss im Einzelfall bewertet werden.