NIS2 für Abfallwirtschaft und Entsorgungsunternehmen

Warum die Abfallwirtschaft unter NIS2 fällt

Abfallentsorgung ist eine dieser Leistungen, deren Bedeutung erst auffällt, wenn sie nicht mehr funktioniert. Wenn Müllabfuhr und Wertstoffsammlung für mehrere Tage ausfallen, werden die Folgen schnell sichtbar und spürbar: überquellende Container, hygienische Probleme, blockierte Gewerbebetriebe, die ihren Abfall nicht loswerden. Und hinter der sichtbaren Müllabfuhr steht eine komplexe Infrastruktur aus Sortieranlagen, Umladestationen, Deponien, Verbrennungsanlagen und Recyclingbetrieben, die alle aufeinander abgestimmt funktionieren müssen.

Der europäische Gesetzgeber hat die Abfallbewirtschaftung deshalb in Anhang II der NIS2-Richtlinie als eigenen Sektor aufgenommen. Das ist eine bemerkenswerte Entscheidung, denn die Abfallwirtschaft war in der Vorgänger-Richtlinie NIS1 nicht erfasst. NIS2 erkennt an, dass die Abfallentsorgung eine kritische Dienstleistung ist, deren Ausfall die öffentliche Gesundheit und die Umwelt gefährdet.

Konkret betroffen sind:

• Entsorgungsunternehmen: Sammlung, Transport und Entsorgung von Siedlungs- und Gewerbeabfällen
• Sortier- und Recyclinganlagen: Betreiber von Sortieranlagen, Recyclingbetrieben und Wertstoffhöfen
• Abfallverbrennungsanlagen: Thermische Verwertung und Müllverbrennung
• Deponiebetreiber: Betrieb und Nachsorge von Deponien
• Sondermüllentsorger: Entsorgung gefährlicher Abfälle
• Kommunale Entsorgungsbetriebe: Eigenbetriebe und kommunale Gesellschaften

Die Schwellenwerte gelten wie bei allen NIS2-Sektoren: mindestens 50 Mitarbeiter oder mindestens 10 Millionen Euro Jahresumsatz. In der Abfallwirtschaft gibt es viele Unternehmen, die genau in diesem Bereich liegen. Kommunale Entsorgungsbetriebe, die eine Kreisstadt und das Umland bedienen, haben typischerweise 60 bis 200 Mitarbeiter. Privatwirtschaftliche Entsorgungsunternehmen, die sich auf Gewerbeabfall oder Sondermüll spezialisiert haben, liegen häufig bei 50 bis 150 Mitarbeitern.

Da die Abfallwirtschaft in Anhang II gelistet ist, werden betroffene Unternehmen als wichtige Einrichtungen eingestuft. Das bedeutet: reaktive Aufsicht durch das BSI (Prüfungen nur bei konkretem Anlass), Bußgelder bis 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes und die identischen Meldepflichten wie für wesentliche Einrichtungen (24h/72h/1 Monat).

Die digitale Prozesskette der Abfallwirtschaft

Viele Menschen assoziieren Abfallwirtschaft mit Müllfahrzeugen und Containern. Tatsächlich ist die Branche mittlerweile hochgradig digitalisiert. Vom Moment, in dem ein Abfallbehälter geleert wird, bis zur endgültigen Verwertung oder Deponierung durchläuft der Abfall eine digitale Prozesskette, in der IT-Systeme eine zentrale Rolle spielen.

Routenplanung und Tourenoptimierung

Die Routenplanung ist das logistische Herzstück eines Entsorgungsunternehmens. Spezialisierte Software (wie AMCS, Recrion, BDE|mobile oder Awido) plant die täglichen Touren unter Berücksichtigung von Behälterstandorten, Leerungshäufigkeiten, Fahrzeugkapazitäten, Verkehrslage und gesetzlichen Lenk- und Ruhezeiten.

Bei einem Unternehmen, das täglich 30 bis 50 Touren fährt, werden pro Tag Tausende von Einzelstopps geplant und koordiniert. Jede Tour ist auf Minuten optimiert, weil Fahrzeuge und Fahrer die teuersten Ressourcen sind. Ein Ausfall der Routenplanung bedeutet: Die Disponenten müssen Touren manuell zusammenstellen, was bei dieser Komplexität kaum realistisch ist. Im besten Fall fahren die Fahrer die Touren des Vortags nach, was bei wechselnden Leerungsrhythmen schnell zu Problemen führt.

GPS-Tracking und Telematik

Moderne Entsorgungsfahrzeuge sind mit GPS-Trackern, Bordcomputern und Telematik-Systemen ausgestattet. Diese Systeme erfüllen mehrere Funktionen:

• Echtzeit-Ortung: Die Disposition weiß jederzeit, wo sich jedes Fahrzeug befindet, und kann bei Ausfällen oder Staus umplanen
• Leerungsbestätigung: Jede Behälterleerung wird mit GPS-Koordinaten und Zeitstempel dokumentiert. Das ist wichtig für die Abrechnung und für den Nachweis gegenüber kommunalen Auftraggebern
• Wiegedatenerfassung: Fahrzeuge mit integrierter Wägetechnik erfassen das Gewicht jeder Leerung oder jeder Containerabholung
• Fahrerverhalten: Beschleunigung, Bremsen, Leerlaufzeiten werden erfasst, um den Dieselverbrauch zu optimieren

Wiegesysteme: Die Brücke zwischen Logistik und Abrechnung

An den Eingängen von Sortieranlagen, Umladestationen und Deponien stehen Brückenwaagen, die jedes einfahrende und ausfahrende Fahrzeug wiegen. Die Differenz ergibt das Netto-Gewicht des angelieferten Abfalls. Diese Wiegedaten sind die Grundlage für die gesamte Abrechnung und für die behördliche Dokumentation.

Ein typisches Wiegesystem umfasst:

• Brückenwaage mit Wägezelle: Physische Waage, die das Fahrzeuggewicht erfasst
• Wiegesoftware: Erfasst Brutto-/Tara-/Netto-Gewicht, ordnet die Wiegung einem Auftrag und einer Abfallart zu
• Kamerasystem: Fotografiert das Fahrzeug und das Kennzeichen bei jeder Ein- und Ausfahrt
• Schrankensteuerung: Öffnet die Schranke nach erfolgreicher Verwiegung
• Schnittstelle zum ERP: Wiegedaten fließen automatisch ins ERP-System für Abrechnung und Entsorgungsnachweis

Ein manipuliertes Wiegesystem kann erhebliche finanzielle Schäden verursachen. Wenn die erfassten Gewichte systematisch nach unten verändert werden, verliert das Unternehmen Umsatz. Wenn die Gewichte nach oben manipuliert werden, werden Kunden überhöht abgerechnet. In beiden Fällen stimmen die behördlichen Mengennachweise nicht, was zu Ordnungswidrigkeiten führen kann.

Elektronische Abfallnachweise (eANV)

Für die Entsorgung gefährlicher Abfälle ist seit 2010 der elektronische Abfallnachweis (eANV) über das Portal der Zentralen Koordinierungsstelle der Länder (ZKS-Abfall) verpflichtend. Der eANV dokumentiert den Entsorgungsweg gefährlicher Abfälle vom Erzeuger über den Beförderer bis zum Entsorger. Alle drei Beteiligten müssen den Nachweis elektronisch signieren.

Für Entsorgungsunternehmen bedeutet das: Die eANV-Software und die Verbindung zum ZKS-Portal sind geschäftskritisch. Wenn ein Entsorgungsunternehmen keine elektronischen Entsorgungsnachweise erstellen kann, darf es keinen gefährlichen Abfall annehmen oder transportieren. Ein IT-Ausfall, der den eANV-Prozess unterbricht, hat deshalb unmittelbare rechtliche und betriebliche Konsequenzen.

Betriebstagebuch und Umweltmonitoring

Deponiebetreiber und Betreiber von Abfallbehandlungsanlagen führen ein Betriebstagebuch, das die zuständige Behörde jederzeit einsehen kann. Bei modernen Anlagen ist dieses Betriebstagebuch digital und enthält:

• Mengen und Arten der angenommenen Abfälle
• Betriebsparameter der Anlage (Temperaturen, Emissionen, Durchsätze)
• Dokumentation von Störungen und Abhilfemaßnahmen
• Ergebnisse von Eigenüberwachungsmaßnahmen

Die Integrität und Verfügbarkeit dieses Betriebstagebuchs ist nicht nur eine NIS2-Anforderung, sondern auch eine umweltrechtliche Pflicht.

Branchenspezifische Risiken

Die Abfallwirtschaft hat ein Risikoprofil, das sich von anderen Sektoren in mehreren Punkten unterscheidet.

Dezentrale Struktur und mobile Endgeräte

Entsorgungsunternehmen sind dezentral organisiert. Die Wertschöpfung findet nicht in einer Fabrikhalle statt, sondern auf Hunderten von Touren, an Dutzenden von Standorten und auf dem gesamten Gemeindegebiet. Die Fahrer sind mit mobilen Endgeräten (Tablets, Bordcomputer) ausgestattet, die über Mobilfunk mit der Zentrale kommunizieren.

Diese dezentrale Struktur schafft eine breite Angriffsfläche:

• Mobile Endgeräte können gestohlen oder physisch kompromittiert werden
• Mobilfunkverbindungen können abgehört werden, wenn sie nicht verschlüsselt sind
• Bordcomputer in den Fahrzeugen haben oft eingeschränkte Sicherheitsfunktionen
• Fahrer haben typischerweise kein hohes IT-Sicherheitsbewusstsein

Kommunale Abhängigkeiten

Viele Entsorgungsunternehmen arbeiten im Auftrag kommunaler Auftraggeber. Die Entsorgungspflicht liegt bei den Landkreisen und kreisfreien Städten, die die operative Durchführung an Dritte vergeben. Das bedeutet: Ein IT-Ausfall bei einem Entsorgungsunternehmen betrifft nicht nur das Unternehmen selbst, sondern die Daseinsvorsorge einer gesamten Kommune.

Kommunale Auftraggeber achten zunehmend auf die IT-Sicherheit ihrer Dienstleister. In Ausschreibungen tauchen immer häufiger Anforderungen an ein ISMS oder zumindest an grundlegende IT-Sicherheitsmaßnahmen auf. NIS2 verstärkt diesen Trend.

Saisonale und witterungsabhängige Belastungsspitzen

Die Abfallwirtschaft unterliegt saisonalen Schwankungen (Gartenabfälle im Herbst, Sperrmüllaktionen, Weihnachtsverpackungen) und witterungsbedingten Herausforderungen (Winterdienst, der Fahrzeuge und Personal bindet). Ein Cyberangriff während einer Belastungsspitze richtet überproportional hohen Schaden an, weil die Kapazitäten ohnehin ausgelastet sind und keine Reserven für manuelle Prozesse zur Verfügung stehen.

Umweltrechtliche Konsequenzen

Ein Cyberangriff auf ein Entsorgungsunternehmen hat potenziell umweltrechtliche Konsequenzen, die über die NIS2-Bußgelder hinausgehen. Wenn ein Angreifer Betriebsdaten einer Deponie manipuliert (etwa die Emissionswerte oder die Sickerwasseranalysen), kann das zu einer umweltrechtlichen Haftung führen. Wenn elektronische Entsorgungsnachweise nicht verfügbar sind und trotzdem gefährlicher Abfall transportiert wird, ist das eine Ordnungswidrigkeit nach dem Kreislaufwirtschaftsgesetz.

Besondere NIS2-Anforderungen für die Abfallwirtschaft

Risikoanalyse: Logistik und Umwelt-Compliance als Dimensionen

Die Risikoanalyse muss neben den klassischen IT-Risiken die spezifischen Auswirkungen auf die Entsorgungslogistik und die Umwelt-Compliance berücksichtigen – in ISMS Lite lassen sich diese branchenspezifischen Bewertungsdimensionen als eigene Risikokriterien anlegen:

• Welche IT-Systeme sind für die tägliche Tourenplanung und -durchführung unverzichtbar?
• Was passiert, wenn die Wiegesysteme einen Tag lang ausfallen? Können Fahrzeuge trotzdem angenommen werden?
• Wie lange kann das Unternehmen ohne eANV-System gefährlichen Abfall entsorgen? (Antwort: gar nicht, jedenfalls nicht legal.)
• Welche Umweltmonitoring-Systeme sind IT-gestützt und was passiert bei ihrem Ausfall?

Absicherung der Wiegesysteme

Wiegesysteme sind geschäftskritisch und gleichzeitig anfällig, weil sie an der Schnittstelle zwischen physischer Infrastruktur und IT stehen. Die Brückenwaage ist ein physisches Gerät, aber die Wiegesoftware, die Kameraanbindung und die ERP-Schnittstelle sind IT-Systeme.

Empfohlene Maßnahmen:

• Netzwerksegmentierung: Wiegesysteme in ein eigenes Netzwerksegment stellen, das vom Office-Netz getrennt ist
• Integritätsschutz: Wiegedaten mit einem Hashwert oder digitaler Signatur versehen, um nachträgliche Manipulation zu erkennen
• Offline-Fähigkeit: Die Wiegesoftware muss auch dann funktionieren, wenn die Verbindung zum ERP temporär unterbrochen ist. Wiegedaten werden lokal zwischengespeichert und bei Verbindungswiederherstellung synchronisiert.
• Zugriffskontrolle: Nur autorisiertes Personal darf Konfigurationsänderungen an der Wiegesoftware vornehmen. Jede Änderung wird protokolliert.

Absicherung mobiler Endgeräte und Bordcomputer

Die Vielzahl mobiler Endgeräte im Feld erfordert ein Mobile-Device-Management (MDM), das die Geräte zentral verwaltet und absichert:

• Geräteverschlüsselung: Alle mobilen Geräte müssen verschlüsselt sein, damit bei Verlust oder Diebstahl keine Daten abfließen
• Fernlöschung: Die Möglichkeit, ein verlorenes Gerät aus der Ferne zu sperren und zu löschen
• App-Management: Nur freigegebene Apps dürfen installiert werden
• VPN-Pflicht: Die Kommunikation zwischen mobilen Geräten und der Zentrale läuft über einen verschlüsselten VPN-Tunnel

eANV-Prozess absichern

Der elektronische Abfallnachweis ist ein geschäftskritischer Prozess mit rechtlichen Implikationen. Die Absicherung umfasst:

• Verfügbarkeit sicherstellen: Redundante Internetverbindung für den Zugang zum ZKS-Portal
• Zertifikate schützen: Die elektronischen Signaturen für den eANV basieren auf Zertifikaten, die sicher aufbewahrt und verwaltet werden müssen
• Notfallverfahren definieren: Was passiert, wenn der eANV-Prozess für einen Tag nicht verfügbar ist? Die Nachweisverordnung erlaubt in Ausnahmefällen eine vorübergehende Rückkehr zum Papierverfahren, aber das muss dokumentiert und der Behörde angezeigt werden.

Praxisbeispiel: Entsorgungsunternehmen mit 95 Mitarbeitern

Ausgangslage:

Die EntsorgPro GmbH (fiktives Beispiel) ist ein privatwirtschaftliches Entsorgungsunternehmen mit Sitz in Niedersachsen. 95 Mitarbeiter, 18 Millionen Euro Jahresumsatz. Das Unternehmen betreibt eine Sortieranlage, eine Umladestation und führt die kommunale Abfallsammlung für zwei Landkreise durch. Zusätzlich bietet es Gewerbeabfallentsorgung und Containerdienstleistungen an. Das Unternehmen ist als zertifizierter Entsorgungsfachbetrieb (Efb) nach § 56 KrWG anerkannt.

Die IT-Infrastruktur:

• ERP-System: Branchenlösung (Recom/Recrion), On-Premise, verwaltet Aufträge, Abrechnung, Wiegedaten, Entsorgungsnachweise
• Routenplanung: Integriertes Modul der Branchenlösung, plant täglich 35 Touren
• Telematik: GPS-Tracker und Bordcomputer in 40 Fahrzeugen (Müllfahrzeuge, Containerfahrzeuge, Sonderfahrzeuge)
• Wiegesysteme: Zwei Brückenwaagen (Sortieranlage und Umladestation) mit Wiegesoftware, Kamerasystem und Schrankensteuerung
• eANV-Software: Für die Entsorgung gefährlicher Abfälle (Sondermüll-Transporte)
• Betriebstagebuch: Digital geführt für die Sortieranlage (genehmigungspflichtige Anlage nach BImSchG)
• Server-Infrastruktur: 4 physische Server (ERP, Fileserver/AD, Backup, Wiegesystem-Server)
• Mobile Geräte: 40 Bordcomputer in den Fahrzeugen, 15 Tablets für Fahrer und Außendienst
• Arbeitsplätze: 20 PCs (Disposition, Verwaltung, Wiegehaus)

Die IT wird von einem IT-Verantwortlichen (der gleichzeitig die kaufmännische Leitung unterstützt) und einem externen Systemhaus betreut. Ein ISMS existiert nicht. Die Efb-Zertifizierung deckt organisatorische Anforderungen an Fachkunde und Betriebsorganisation ab, aber keine expliziten IT-Sicherheitsanforderungen.

Phase 1: Bestandsaufnahme und regulatorische Einordnung (Monat 1-2)

Betroffenheitsanalyse: EntsorgPro fällt mit 95 Mitarbeitern und 18 Millionen Euro Umsatz unter NIS2. Abfallbewirtschaftung ist in Anhang II gelistet. Einstufung: wichtige Einrichtung.

Regulatorische Bestandsaufnahme: EntsorgPro unterliegt neben NIS2 folgenden Regelwerken: Kreislaufwirtschaftsgesetz (KrWG), Nachweisverordnung (NachwV) für gefährliche Abfälle, Entsorgungsfachbetriebeverordnung (EfbV), BImSchG (für die Sortieranlage), Gewerbeabfallverordnung, DSGVO.

ISB benennen: Da kein eigener IT-Leiter vorhanden ist, wird die ISB-Rolle extern vergeben. Ein externer ISB mit Branchenkenntnis (Abfallwirtschaft/Logistik) wird mit einem Zeitbudget von 2 Tagen pro Monat beauftragt.

Asset-Inventar erstellen:

Besondere Feststellung: Die Wiegesysteme sind über ein flaches Netzwerk direkt mit dem ERP-Server verbunden. Die Bordcomputer in den Fahrzeugen kommunizieren unverschlüsselt mit dem ERP. Drei Tablets haben keinen PIN-Schutz. Das Backup des ERP wird auf einem NAS im gleichen Serverraum gespeichert, ein Offsite-Backup existiert nicht.

Phase 2: Risikoanalyse (Monat 3-4)

Besonders kritisch identifiziert: Der fehlende Offsite-Backup und die fehlende Netzwerksegmentierung. Ein Ransomware-Angriff würde sowohl die Produktivsysteme als auch das Backup auf dem lokalen NAS verschlüsseln und das Unternehmen ohne funktionsfähige Wiederherstellungsmöglichkeit zurücklassen.

Phase 3: Technische Maßnahmen (Monat 5-8)

Offsite-Backup (Monat 5, höchste Priorität): Ein Cloud-basiertes Backup wird eingerichtet. Tägliche Sicherung der ERP-Datenbank, Wiegedaten und eANV-Daten in ein verschlüsseltes Cloud-Backup. Wöchentliches Full-Backup auf Offline-Medium (externe Festplatte), das in einem Bankschließfach aufbewahrt wird. Monatlicher Restore-Test.

Netzwerksegmentierung (Monat 5-6):

• Office-Zone: Verwaltung, Disposition, E-Mail, Internet
• Wiegesystem-Zone: Brückenwaagen, Wiegesoftware, Kamerasysteme. Nur definierte Verbindungen zum ERP
• Server-Zone: ERP, Fileserver, Active Directory. Zugriff nur aus definierten Zonen
• WLAN-Zone: Separate Netze für Mitarbeiter (mit Zugang zum ERP) und Besucher (nur Internet)

Mobile-Device-Management (Monat 6-7): Einführung eines MDM-Systems (Microsoft Intune, da bereits M365 lizenziert) für alle Tablets und, soweit möglich, für die Bordcomputer. Geräteverschlüsselung, PIN-Pflicht, Fernlöschung, App-Whitelisting.

Verschlüsselung der Fahrzeugkommunikation (Monat 7): Die Kommunikation zwischen Bordcomputern und ERP wird auf VPN-Tunnel umgestellt. Die GPS-Daten werden verschlüsselt übertragen.

MFA (Monat 7-8): Multi-Faktor-Authentifizierung für alle Zugänge: VPN, Microsoft 365, ERP-Webzugang, eANV-Portal-Administration.

Phase 4: Organisatorische Maßnahmen (Monat 8-10)

Schulungsprogramm:

• Alle Mitarbeiter: 30-Minuten-Online-Modul zu Cyberhygiene
• Fahrer: Kurzschulung (15 Minuten, im Rahmen der Fahrerbesprechung) zum sicheren Umgang mit Bordcomputer und Tablet, Meldung bei Verlust
• Disposition: Vertiefung zu Phishing-Erkennung und sicherem Umgang mit dem ERP-System
• Geschäftsführung: NIS2-Pflichten, persönliche Haftung, Budget-Freigabe
• Externer ISB: Regelmäßiger Bericht an die Geschäftsführung (quartalsweise)

Lieferantenbewertung:

Business-Continuity-Plan:

Tabletop-Übung: Szenario: Ransomware-Angriff am Montagmorgen um 5:00 Uhr, ERP und Fileserver verschlüsselt, Backup-NAS ebenfalls betroffen. Cloud-Backup ist intakt. 35 Fahrer stehen um 6:00 Uhr am Betriebshof und warten auf ihre Tourdaten. Ergebnis: Die Fahrer können die Touren des Freitags nachfahren (Tourlisten werden künftig freitags ausgedruckt und im Fahrzeug hinterlegt). Die Wiegestationen wechseln auf Papierprotokoll. Das ERP wird aus dem Cloud-Backup innerhalb von 22 Stunden wiederhergestellt. Verbesserungspotenzial: RTO von 22 Stunden ist zu lang. Investition in einen Hot-Standby-Server oder eine Cloud-ERP-Instanz wird geprüft.

Phase 5: Audit und kontinuierliche Verbesserung (Monat 10-12)

Internes Audit durch externen ISB:

Feststellungen:

1. Die Bordcomputer in acht älteren Fahrzeugen (Baujahr vor 2020) unterstützen kein VPN und keine Verschlüsselung. Kompensatorische Maßnahme: Diese Fahrzeuge werden bei der nächsten Fahrzeugerneuerung ersetzt. Bis dahin: keine sensiblen Daten auf diesen Geräten, Tourinformationen werden nur als Read-Only übertragen.
2. Die Wiegesoftware an der Umladestation hat seit 14 Monaten kein Update erhalten. Korrekturmaßnahme: Patch-Zyklus mit dem Wiegesystem-Hersteller vereinbaren.
3. Der Notfall-Papiervorrat für die manuelle Wiegung ist nicht am Wiegehaus gelagert, sondern im Verwaltungsgebäude. Korrekturmaßnahme: Notfallmaterialien direkt am Wiegehaus bereitstellen.

Management-Review: Die Geschäftsführung genehmigt den Restrisiko-Katalog, das Budget für das Folgejahr und beauftragt die Prüfung einer Cloud-ERP-Lösung zur Verbesserung der Wiederherstellungszeit.

Budget-Übersicht

Das Budget ist für ein Unternehmen dieser Größe realistisch und liegt am unteren Ende der NIS2-Umsetzungskosten, weil EntsorgPro als wichtige Einrichtung keine proaktive BSI-Aufsicht hat und die OT-Komplexität (Sortieranlage, Wiegesysteme) überschaubar ist. Wer die Tool-Kosten im Rahmen halten will: ISMS Lite bietet den kompletten Funktionsumfang ab 500 Euro pro Jahr oder als Einmalkauf für 2.500 Euro, ohne Seat-Lizenzen oder versteckte Kosten.

Was du jetzt tun solltest

Wenn du in der Abfallwirtschaft tätig bist und NIS2 umsetzen musst, sind folgende erste Schritte sinnvoll:

1. Backup-Strategie sofort prüfen. Hast du ein Offsite-Backup, das bei einem Ransomware-Angriff intakt bleibt? Wenn nicht, ist das die erste Maßnahme. Ein Entsorgungsunternehmen ohne funktionierendes ERP kann innerhalb von ein bis zwei Tagen keine Touren mehr fahren.

2. Wiegesysteme und eANV als kritische Assets behandeln. Diese Systeme sind nicht nur betrieblich wichtig, sondern haben rechtliche Implikationen. Ihre Integrität und Verfügbarkeit müssen priorisiert geschützt werden.

3. Mobile Geräte unter Kontrolle bringen. Wenn Bordcomputer und Tablets ohne PIN-Schutz und ohne Verschlüsselung im Einsatz sind, ist das ein einfach zu behebendes, aber hohes Risiko. Ein MDM-System ist die Grundlage.

4. Efb-Zertifizierung und NIS2 zusammendenken. Die Efb-Zertifizierung fordert bereits eine dokumentierte Betriebsorganisation. Nutze diese Struktur als Grundlage für das ISMS, statt ein paralleles System aufzubauen.

Die Abfallwirtschaft mag auf den ersten Blick nicht wie ein typischer NIS2-Kandidat wirken. Aber die Digitalisierung der Branche hat dafür gesorgt, dass Routenplanung, Wiegedaten, Entsorgungsnachweise und Betriebstagebücher heute vollständig von funktionierenden IT-Systemen abhängen. Wer diese Systeme nicht schützt, riskiert nicht nur Bußgelder, sondern den Stillstand einer Dienstleistung, auf die jede Kommune und jeder Gewerbebetrieb angewiesen ist.

Weiterführende Artikel

• NIS2 für den Mittelstand: Was du wissen musst und was jetzt zu tun ist
• NIS2 für Logistik und Transportunternehmen
• Risikobewertung im ISMS: Methoden, Kriterien und Praxisbeispiele
• IT-Asset-Management im ISMS: Warum du wissen musst, was du hast
• Mobile-Device-Richtlinie und BYOD: Smartphones und Tablets im ISMS