Cyberresilienz : NIS-2: Registrierung bringt noch keine Sicherheit

Obwohl selbst die nochmals verlängerte Meldefrist für NIS-2 am 30. September 2026 abgelaufen ist, haben sich erst rund 20.000 von etwa 30.000 betroffenen Unternehmen beim BSI registriert. Es herrscht also weiterhin viel Unsicherheit und Unwissen, wer unter die Richtlinie fällt. Natürlich sollten sich Betroffene so schnell wie möglich registrieren. Doch die mit der Meldepflicht erzeugte Aufmerksamkeit darf nicht von der eigentlichen Herausforderung ablenken. Diese besteht in der tatsächlichen Verbesserung der Sicherheit und nicht in der formellen Registrierung.

Entsprechende Durchsetzungsmaßnahmen sollten darauf abzielen, dass Unternehmen ihre wesentlichen Risiken in der Praxis kennen und reduzieren. Diese müssen die aktuellen Gefahren verstehen, auf einen schwerwiegenden Cybervorfall vorbereitet sein und getestete Abläufe zur Wiederherstellung besitzen. Nur dann sind sie tatsächlich sicherer. Und genau daran muss sich der Erfolg von NIS‑2 messen, an der Verbesserung organisatorischer Cyberresilienz.

Technik vorhanden, doch Governance fehlt

Dabei ist aus Sicht der Informationssicherheit vieles an NIS-2 nicht grundsätzlich neu. Erfahrungen aus aktuellen Assessments und Umsetzungsprojekten belegen, dass die grundlegende Technik bereits vorhanden ist: Firewalls, Backup-Lösungen, Endpoint-Schutz, Patch-Management und Netzwerksicherheit sind seit Langem etabliert.

Die eigentlichen Schwachstellen liegen häufig in der Kontrolle und Steuerung der Sicherheitsmaßnahmen. Dazu zählen etwa die Bereiche Risikomanagement, Verantwortlichkeiten, Krisenabläufe oder Nachweisfähigkeit gegenüber Aufsichtsbehörden. Business-Impact-Analysen oder belastbare Governance-Strukturen fehlen ebenso wie regelmäßige Schulungen aller Mitarbeitenden.

Geschäftsleitung ist gefordert

Der eigentliche Paradigmenwechsel betrifft daher die Unternehmensleitung statt der IT-Abteilung. Sicherheitsmaßnahmen müssen neben der technischen Umsetzung auch von der Geschäftsführung unterstützt, überwacht und verstanden werden. Die Verantwortung für Cyberresilienz darf im Zuge aktueller Gefahren sowie Regelungen wie NIS-2 nicht länger bei der IT allein liegen. Denn die Geschäftsleitung ist letztendlich für Ausfälle durch IT-Angriffe verantwortlich und haftet auch für Schäden. So muss sie vorab für die entsprechenden Sicherheitsvorkehrungen und Reaktionsabläufe sorgen.

Dieser Paradigmenwechsel ist durchaus gerechtfertigt. Denn Cyberrisiken bedrohen heute neben den IT-Systemen auch Lieferfähigkeit, Produktion, Wertschöpfung, Reputation und in einigen Branchen sogar die Aufrechterhaltung kritischer Versorgungsleistungen. Wer diese Risiken wirksam steuern will, muss dies dort verankern, wo strategische Entscheidungen getroffen werden: in der Geschäftsleitung.

Meldepflicht als Reifetest

Besonders deutlich wird das bei Meldepflichten. Eine Erstmeldung innerhalb von 24 Stunden wirkt auf dem Papier überschaubar. In der Praxis setzt sie jedoch eine erhebliche organisatorische Reife voraus. Denn es ist eindeutig festzulegen, wer einen Vorfall bewertet, wer über die Meldepflicht entscheidet und wer Behörden, Kunden oder Partner informiert. Zudem muss klar sein, wer erreichbar ist, wenn der Vorfall am Wochenende oder nachts eintritt.

Stellt sich ein Unternehmen erst während einer Krise diese Fragen, wird es nur unzureichend auf den Vorfall reagieren und kaum die regulatorischen Anforderungen erfüllen können. Doch Resilienz und Meldefähigkeit entstehen nicht durch Registrierung bei einer Behörde und das Ausfüllen von Formularen. Sie entsteht durch vorbereitete und eingeübte Prozesse, klare Verantwortlichkeiten und robuste Krisenstrukturen. Deshalb offenbaren Meldepflichten häufig den tatsächlichen Reifegrad einer Organisation.

Transparenz für Resilienz nötig

Zur Erhöhung dieses Reifegrades müssen sich Unternehmen im ersten Schritt grundlegende Fragen stellen: Welche Prozesse sind wirklich geschäftskritisch? Welche Systeme dürfen nicht ausfallen? Welche Informationen sind besonders schützenswert? Von welchen Dienstleistern hängt die eigene Leistungsfähigkeit ab? Welche Risiken können akzeptiert werden – und welche nicht?

Erstaunlich viele Organisationen können diese Fragen bis heute nur teilweise oder gar nicht beantworten. Deshalb liegt der eigentliche Wert von NIS-2 nicht in der Compliance, sondern in der Transparenz. Die Richtlinie zwingt Unternehmen dazu, ihre Prozesse, Assets, Datenbestände, Abhängigkeiten und Verantwortlichkeiten sichtbar und nachvollziehbar darzustellen. Asset-Inventare, Risikoregister, Prozesslandkarten oder Lieferantenklassifizierungen sollten daher nicht als bürokratische Pflichten betrachtet werden. Sie sind sinnvolle und notwendige Steuerungsinstrumente für stärkere Resilienz.

Der Einfluss von KI

Die aktuelle, rasante Entwicklung von Künstlicher Intelligenz wird hier die Spielregeln in vielerlei Hinsicht ständig verändern. KI beeinflusst die Bedrohungslandschaft ebenso wie die Möglichkeiten zur Automatisierung von Sicherheitsprozessen. Aufgrund der steigenden Volatilität wird eine strukturierte Governance noch wichtiger. Denn wer nicht weiß, wo kritische Daten liegen, wie Prozesse funktionieren oder wem Informationen gehören, wird sich weder ausreichend vor aktuellen Angriffen schützen noch die Potenziale moderner KI-Anwendungen nutzen können.

Hierin liegt die vielleicht größte Chance von NIS-2. Die dadurch angestoßenen Investitionen in Governance, Risikomanagement, Datenverständnis und organisatorische Transparenz zahlen nicht nur auf Compliance und Resilienz ein. Sie schaffen gleichzeitig die Voraussetzungen für die nächste Phase der digitalen Transformation. Unternehmen, die ihre Prozesse gezielt steuern, ihre Daten kennen und Verantwortlichkeiten klar regeln, verfügen über die notwendige Grundlage, um Automatisierung und KI gezielt, sicher und wirtschaftlich einzusetzen.

Thomas Lang ist Managing Director und Partner bei Valantic und Experte für Informationssicherheit. Als sogenannter „Breach Coach“ unterstützt er Unternehmen nach Cyberangriffen und Ransomware-Erpressungen dabei, handlungsfähig zu bleiben und die richtigen Schritte einzuleiten. Zu seinen Beratungsschwerpunkten gehören IT-Strategie, Krisenmanagement, IT-Governance & Compliance sowie IT-Infrastruktur & Betrieb.