NIS-2 und die Mobilfunkanbindung: welche Pflichten Ihre IoT-Verbindung betreffen

Was das Gesetz verlangt, und ab wann

Das deutsche Umsetzungsgesetz zur europäischen Cybersicherheitsrichtlinie wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und trat einen Tag später in Kraft — ohne Übergangsfrist. Es weitet den Kreis der verpflichteten Unternehmen weit über die bisherigen Betreiber kritischer Infrastruktur hinaus aus, auf achtzehn Sektoren.

Das ist ein Grundthema der IoT-Sicherheit und Netzarchitektur: Drei Kernpflichten treffen jede verpflichtete Einrichtung. Erstens Risikomanagement für die eigenen Systeme und Verbindungen. Zweitens die Meldung erheblicher Sicherheitsvorfälle an die zuständige Behörde. Drittens die Registrierung bei dieser Behörde. Die achtzehn Sektoren stammen aus zwei Anhängen der europäischen Richtlinie: elf aus Anhang I, sieben aus Anhang II.

Für die Registrierung gilt eine gesetzliche Drei-Monats-Frist nach Inkrafttreten — ein festes Datum dazu würde diesen Artikel am Tag nach der Veröffentlichung falsch machen. Den aktuellen Stand und ein Prüfwerkzeug zur eigenen Betroffenheit führt das Prüfwerkzeug des BSI selbst. Auch eine Größenschwelle nennen wir hier bewusst nicht als Rechtsaussage: Die Einordnung richtet sich nach Sektor und Unternehmensgröße, und die verbindliche Prüfung leistet das Werkzeug der Behörde, nicht dieser Artikel.

Welche Anforderungen die Verbindung betreffen — und welche nicht

Das Gesetz verlangt Risikomanagementmaßnahmen in zehn Bereichen. Nur ein Teil davon berührt die Mobilfunkanbindung überhaupt: Sicherheit der Netze, Zugriffskontrolle, Verschlüsselung, Lieferkette und Vorfallbehandlung. Sicherung von Daten, Schulung der Geschäftsleitung oder Notfallpläne sind Ihre Themen, nicht die der Verbindung. Die folgende Zuordnung trennt beides Bereich für Bereich, damit Aufwand dort geplant wird, wo er wirklich anfällt.

Die Tabelle ordnet zu, sie bewertet nicht — die Bezeichnungen der zehn Bereiche sind aus der Richtlinie sinngemäß wiedergegeben, keine wörtliche Zitierung des Gesetzestexts. Ob eine Maßnahme im Einzelfall genügt, entscheidet die Einordnung des Betreibers.

Lieferkettensicherheit — warum Sie uns Fragen stellen müssen

Einer der zehn Bereiche ist die Sicherheit der Lieferkette. Wer verpflichtet ist, muss die Sicherheit seiner unmittelbaren Anbieter bewerten und dokumentieren — also auch die seines Konnektivitätsanbieters. Diese Pflicht wandert damit vom Gesetz zu Ihnen und von Ihnen zu uns, als Auskunftsanfrage.

Was eine solche Bewertung praktisch braucht, lässt sich in vier Fragen fassen: Wer betreibt den Datenweg? Welche Vorlieferanten stehen dahinter? Wo liegen die Daten geografisch? Wie wird eine Störung gemeldet, und in welcher Zeit? Über den privaten Zugang, auf dem der Datenweg geführt wird, geben wir dazu Auskunft — nicht, weil eine Auskunft Konformität herstellt, sondern weil wir die Antwort kennen. Es liegt dabei keine Zertifizierung vor, auch das Fehlen verkaufen wir nicht als Vorteil.

Belegt und freigegeben ist genau eine technische Aussage zum Datenweg: Über den privaten Netzzugang bleibt der Datenverkehr in der Europäischen Union, es gibt keinen Weg über Drittländer. Rechenzentrumsstandorte oder Netzknoten benennen wir dabei nicht.

Meldepflicht — was eine Funkstörung damit zu tun hat

Erhebliche Sicherheitsvorfälle sind gestaffelt zu melden: eine Frühwarnung binnen 24 Stunden, ein Bericht binnen 72 Stunden, ein Abschlussbericht binnen eines Monats. Entscheidend für die Verbindung ist die Unterscheidung: Ein Funkloch ist eine Störung, ein unbefugter Zugriff über die Verbindung ist ein Vorfall.

Die Unterscheidung im Detail: Eine Verfügbarkeitsstörung ohne Angriff — etwa ein Funkloch oder eine Netzüberlastung — ist eine Störung, die den normalen Betrieb betrifft, aber für sich genommen keine Meldepflicht auslöst. Ein Sicherheitsvorfall, der die Vertraulichkeit oder die Verfügbarkeit im Sinne des Gesetzes beeinträchtigt oder dazu führt, dass Daten nicht unverändert ankommen, ist dagegen erheblich und meldepflichtig.

Wer binnen 24 Stunden melden muss, braucht vorher geklärt, wer beim Anbieter erreichbar ist und welche Angaben dieser überhaupt liefern kann — ein Anruf lohnt sich, bevor der Ernstfall eintritt. Unsere Servicezeiten liegen Montag bis Freitag von 9 bis 17 Uhr; eine pauschale Reaktionszeit sichern wir nicht zu.

Welche technischen Mittel es auf der Verbindungsebene gibt

Vier Bausteine wirken direkt auf der Mobilfunkverbindung: ein privater Zugangspunkt trennt den Datenweg, ein verschlüsselter Tunnel schützt den Inhalt, eine feste Adressvergabe steuert die Erreichbarkeit, und eine Gerätebindung verhindert die Nutzung einer Karte in fremder Hardware. Jeder deckt etwas anderes ab.

Der private Zugangspunkt trennt den Weg, verschlüsselt aber nichts. Der Tunnel schützt den Inhalt, ändert aber nichts an der Erreichbarkeit von außen. Die feste Adressvergabe steuert, wer ein Gerät erreichen kann, ersetzt aber keine Verschlüsselung. Die Gerätebindung verhindert nur, dass eine Karte in fremder Hardware arbeitet — gegen Angriffe über die Datenverbindung selbst wirkt sie nicht.

Alle vier sind bei SIM4IOT belegt vorhanden, die Gerätebindung ausdrücklich als Option, nicht als Standardausstattung. Aufpreis, Vorlaufzeit und Mindestabnahme für privaten Zugang, Tunnel und feste Adresse sind an dieser Stelle bewusst nicht genannt — sie liegen noch nicht fest.

Wo die Grenze liegt — was kein Anbieter mitliefern kann

Konformität ist keine Produkteigenschaft. Ein Anbieter liefert Bausteine und Auskunft; die Einordnung der eigenen Einrichtung, die Bewertung der Risiken, die Meldeprozesse und die Verantwortung der Geschäftsleitung bleiben beim Betreiber. Das Gesetz adressiert die Einrichtung, nicht den Zulieferer eines Bausteins. Diese Grenze ist keine Zurückhaltung, sondern der Rechtsstand — vertraglich verschieben lässt sie sich nicht.

Die persönliche Verantwortung der Geschäftsleitung ist dabei ungewöhnlich scharf geregelt: Sie trägt die Verantwortung persönlich, und ein Verzicht darauf ist unwirksam. Was daraus im Einzelfall folgt, klärt die eigene Rechtsberatung — wir sind nicht die Stelle dafür.

Wer Ihnen Konformität verkauft, verkauft Ihnen etwas, das er nicht besitzt.

Zwei weitere Regelwerke, kurz eingeordnet

Zwei Regelwerke tauchen in Ausschreibungen neben dem Gesetz auf. Das eine betrifft die Sicherheit industrieller Automatisierungssysteme, das andere die Verarbeitung von Zahlungskartendaten. Beide richten sich an den Betreiber der Anlage beziehungsweise an den Zahlungsverarbeiter, nicht an den Lieferanten einer Mobilfunkverbindung.

Die IEC 62443 (Industrial Automation and Control Systems Security) zielt auf die Sicherheit industrieller Automatisierungs- und Steuerungssysteme; die Mobilfunkanbindung ist darin meist ein Baustein im Kapitel zu Netztrennung und Fernzugriff, nicht der Gegenstand selbst. Der PCI-DSS (Payment Card Industry Data Security Standard) zielt auf den Schutz von Zahlungskartendaten; eine Mobilfunkverbindung spielt dort allenfalls im Fernzugriff auf ein Zahlungssystem eine Rolle.

Zu beiden Regelwerken nennen wir hier bewusst keine Kapitel-, Stufen- oder Anforderungsnummern und keine Konformitätszusage — die Normtexte sind kostenpflichtig und wurden für diesen Artikel nicht im Wortlaut geprüft.

Ihre nächsten drei Schritte

Drei Schritte in dieser Reihenfolge: eigene Betroffenheit mit dem Werkzeug der Behörde prüfen, dann die vier Fragen zur Lieferkette an jeden Anbieter stellen, dann die Bausteine auswählen, die zur eigenen Einordnung passen. Der dritte Schritt ohne die ersten zwei erzeugt Aufwand ohne Nachweis.

1. Eigene Betroffenheit prüfen — mit dem Prüfwerkzeug des BSI, nicht mit einer Vermutung.
2. Die vier Lieferkettenfragen stellen — an jeden Konnektivitätsanbieter, nicht nur an uns.
3. Bausteine auswählen — passend zur eigenen Einordnung, nicht pauschal alle vier zugleich.

Der Nachweis gehört Ihnen, die Auskunft über den Datenweg gehört uns.

Für die Bewertung Ihrer Lieferkette brauchen Sie von uns vier Auskünfte: wer den Datenweg betreibt, welche Vorlieferanten dahinterstehen, wo die Daten geografisch bleiben und wie eine Störung gemeldet wird. Diese vier geben wir Ihnen schriftlich. Die Einordnung Ihrer Einrichtung und den Nachweis selbst können wir Ihnen nicht abnehmen — und niemand sonst kann das.