NIS2 zwischen Leitfaden und Wirksamkeit

Mit dem Umsetzungsgesetz zur NIS2-Richtlinie ist aus einer abstrakten EU-Vorgabe konkrete Realität geworden. Für zehntausende Unternehmen läuft die Uhr: Betroffenheit klären, Maßnahmen definieren, Nachweise aufbauen. Parallel dazu überschwemmen Leitfäden den Markt. Hersteller, Dienstleister und Verbände erklären, wie NIS2 „einfach“ umzusetzen sei, meist in Form strukturierter Maßnahmenkataloge.

Doch genau hier beginnt das eigentliche Problem: Reicht es, Controls abzuhaken? Oder verfehlt dieser Ansatz das eigentliche Ziel von NIS2, nämlich messbare Wirksamkeit und echte Resilienz?

Die Ausgangslage: Regulatorische Erschöpfung

Viele Geschäftsführer erleben Regulierung nicht als strategischen Rahmen, sondern als Dauerbelastung. Jedes Jahr neue Gesetze, neue Fristen, neue Drohkulissen. In diesem Umfeld ist Priorisierung unausweichlich. Was akut sanktionierbar ist, bekommt Aufmerksamkeit. Was noch diskutiert wird, rutscht nach hinten.

Hinzu kommt: Selbst die grundlegende Frage, ob ein Unternehmen überhaupt unter NIS2 fällt, ist für viele nicht trivial. Unterschiedliche Auslegungen, nationale Besonderheiten und komplexe Schwellenwerte sorgen dafür, dass bereits die Betroffenheitsanalyse Zeit, Geld und externe Beratung bindet. Entsprechend häufig wird NIS2 zunächst vertagt.

Warum NIS2 trotzdem anders ist

Zwei Aspekte unterscheiden NIS2 fundamental von früheren Regulierungen:

1. Der Geltungsbereich ist deutlich größer. NIS2 adressiert nicht mehr nur klassische Hochsicherheitsbranchen wie Finanzdienstleister oder Energieversorger, sondern reicht bis in den industriellen Mittelstand mit vergleichsweise moderaten Umsatz- und Mitarbeitergrenzen.

2. Die Verantwortung wandert sichtbar nach oben. Die explizite Einbindung der Geschäftsführung - inklusive persönlicher Haftungsrisiken - macht Cybersecurity endgültig zur Managementaufgabe. IT-Sicherheit lässt sich nicht mehr delegieren, ohne Kontrolle zu behalten.

Das Kernmissverständnis: Konformität ist keine Sicherheit

NIS2 formuliert Maßnahmen relativ konkret: Früherkennung von Angriffen, Multifaktor-Authentifizierung, Incident Response, Meldepflichten. Was fehlt, ist eine qualitative Definition von Wirksamkeit. Ein Intrusion-Detection-System ohne 24/7-Monitoring erfüllt formal die Anforderung zur Angriffserkennung, versagt aber praktisch, wenn Alarme am Wochenende niemanden erreichen. Eine MFA-Richtlinie schützt nicht, wenn Administratoren sie aus Bequemlichkeit umgehen, und niemand kontrolliert.

Das Ergebnis ist trügerische Sicherheit: Der Compliance-Haken ist gesetzt, die Angriffsfläche bleibt bestehen.

Herstellerleitfäden: Hilfestellung oder Abkürzung?

Viele NIS2-Leitfäden folgen einem identischen Muster: Bedrohungsszenario, Maßnahmenliste, Produktzuordnung. Das ist verständlich, aber gefährlich. Cybersecurity ist kein Baukasten, der sich unabhängig vom Unternehmenskontext zusammensetzen lässt. Ein zusätzliches Tool ersetzt keine Prozesse. Prozesse ersetzen keine Verantwortung. Verantwortung ersetzt keine gelebte Kultur.

Besonders kritisch wird es, wenn bestehende Strukturen ignoriert werden. Lieferantenmanagement etwa lässt sich nicht sinnvoll „einkaufen“, wenn bereits etablierte Einkaufsprozesse existieren, die mit geringem Mehraufwand erweitert werden könnten. Neue Tools schaffen hier oft Reibung statt Effizienz.

Der notwendige Perspektivwechsel: Vom Tool zum Konzept

Ein wirksamer NIS2-Ansatz beginnt nicht beim Produkt, sondern bei der Analyse:

• Welche Anforderungen gelten konkret, auch international?

• Welche Controls sind bereits (teilweise) umgesetzt?

• Wo existieren technische, organisatorische oder personelle Lücken?

• Welche Maßnahmen erhöhen tatsächlich den Reifegrad?

Erst auf dieser Basis lassen sich Entscheidungen treffen: Was wird intern verantwortet? Was wird sinnvoll ausgelagert? Welche bestehenden Systeme lassen sich weiter nutzen?

Gerade beim Thema 24/7-Monitoring zeigt sich die Realität: Ein eigenes SOC ist für die meisten mittelständischen Unternehmen weder wirtschaftlich noch personell darstellbar. Managed Services sind hier keine Schwäche, sondern eine rationale Entscheidung, solange Steuerung, Reporting und Verantwortung im Unternehmen verbleiben.

Testen heißt mehr als Scannen

NIS2 erwähnt Tests, bleibt aber bewusst unscharf. In der Praxis reicht klassisches Schwachstellenmanagement nicht aus. Technische Penetrationstests prüfen Erkennung und Reaktion, sagen aber wenig über Entscheidungsfähigkeit aus. Erst Krisenübungen - etwa Tabletop-Szenarien auf Managementebene - zeigen, ob Rollen klar sind, Meldeketten funktionieren und Entscheidungen unter Druck getroffen werden können. Erfahrungsgemäß greift in echten Vorfällen niemand reflexartig zum Notfallhandbuch. Ohne Übung entsteht Chaos.

Meldepflichten: Vorbereitung entscheidet über Zeit

Die formalen Anforderungen an Erstmeldungen sind niedrig. Entscheidend ist dennoch die Vorbereitung. Unterschiedliche nationale Meldewege, Registrierungen bei Behörden und interne Zuständigkeiten müssen vorab geklärt sein. Wer das erst im Ernstfall tut, verliert wertvolle Stunden und riskiert zusätzliche Verstöße.

Steuerbarkeit als Schlüssel

Am Ende läuft alles auf eine zentrale Frage hinaus: Ist Cybersecurity steuerbar? Geschäftsführung und Vorstand müssen in der Lage sein, Risiken einzuordnen, nicht gefühlt, sondern messbar. Reaktionszeiten, Patch-Dauer, Erkennungsquoten, Umsetzungsfortschritt. Was im Finanzbereich selbstverständlich ist, wird nun auch in der IT-Sicherheit erwartet.

Unternehmen, die NIS2 ernst nehmen, erkennt man künftig weniger an Zertifikaten als an Transparenz: klare KPIs, nachvollziehbare Prioritäten und die Fähigkeit, über Risiken zu sprechen, ohne auszuweichen.

Fazit

NIS2 ist kein Sicherheitsversprechen. Es ist ein Mindeststandard. Wer ihn ausschließlich formal erfüllt, wird im Ernstfall überrascht. Wer ihn als Anlass nutzt, Strukturen, Prozesse und Verantwortung neu zu ordnen, gewinnt mehr als regulatorische Konformität: Entscheidungsfähigkeit im Krisenfall.

Ergänzend dazu vertiefen wir die Einordnung der NIS2-Richtlinie in der aktuellen Podcastfolge sowie im begleitenden secure mag "NIS2 ohne Illusionen".