NIS-2: Rechtsunsicherheit ist keine Ausrede

Worum es wirklich geht

Die Diskussion um NIS-2 dreht sich oft um Detailverordnungen und Auslegungsfragen. Verständlich – aber gefährlich. Denn der Kern steht längst fest: Unternehmen mit wesentlicher Bedeutung für Wirtschaft und Gesellschaft müssen ihre IT-Sicherheit und Governance nachweisbar professionalisieren. Wer jetzt auf „wir warten ab“ setzt, riskiert genau das, was NIS-2 adressiert: längere Ausfälle, Kettenreaktionen in der Lieferkette und Führungshaftung ohne belastbare Belege für angemessene Maßnahmen.

Essenz von NIS-2 in fünf Punkten

• Verantwortung der Leitung: Geschäftsführung/Vorstand ist ausdrücklich in der Pflicht, Risiken zu kennen, Maßnahmen zu beschließen und Wirksamkeit prüfen zu lassen.
• Risikobasierte Controls: Keine Checklistenreligion, sondern angemessene, dokumentierte Maßnahmen entlang von Identitäten, Endpunkten, Netz, Anwendungen und Daten.
• Meldepflichten & Incident Reporting: Schwere Vorfälle sind fristgerecht und qualifiziert zu melden – ohne Panik, aber mit Fakten.
• Supply-Chain-Security: Drittparteien sind nicht „außen“, sondern Teil eurer Angriffsfläche. Mindestkontrollen und Nachweise werden vertraglich eingefordert.
• Durchsetzung & Sanktionen: „Papier-Sicherheit“ reicht nicht. Fehlende Governance und untaugliche Prozesse sind sanktionsfähig – unabhängig von guter Absicht.

Wer ist betroffen – direkt, indirekt, über Verträge

Viele Unternehmen fallen unmittelbar in den Anwendungsbereich, andere spüren NIS-2 über ihre Kunden: Große Auftraggeber und Betreiber verlangen Nachweise und Auditrechte, auch wenn ihr selbst nicht formell „drin“ seid. Realistisch betrachtet gibt es drei Klassen:

1. Direkt betroffen (wesentliche/important entities): formale Pflichten und Behördenkontakt.
2. Indirekt betroffen (kritische Zulieferer/Dienstleister): vertragliche Nachweispflichten, Audits, Mindeststandards.
3. Faktisch betroffen: keine formale Einordnung, aber Abhängigkeit von Kunden, die NIS-2-Anforderungen „durchreichen“.

Häufige Irrtümer – und die nüchterne Antwort

• „Wir brauchen erst das finale Rundschreiben.“ – Falsch. Die erwarteten Kontrollen sind seit Jahren Best Practice: phishingsichere MFA, Patch-SLOs, Segmentierung, Backups mit Integritätsnachweis, Incident Reporting-Prozess.
• „Zertifikat = erledigt.“ – Nein. Zertifikate helfen, ersetzen aber keine gelebten Prozesse oder Lieferkettenkontrollen.
• „Unsere IT regelt das.“ – Teilwahr. NIS-2 ist Governance: Risikoentscheidungen, Budget, Verträge, Eskalation – das ist Chefsache.
• „Wir sind zu klein/unwichtig.“ – Bis ein Ausfall einen Kunden trifft, der sehr wichtig ist. Dann gelten dessen Regeln – und zwar sofort.

Vom Gesetzestext zur Praxis – so sieht „angemessen“ aus

Beginnen Sie dort, wo Versagen am teuersten ist: bei Identitäten, externen Angriffsflächen und Wiederherstellung. „Angemessen“ heißt: dokumentiert, wiederholbar, geprüft.

Kernbausteine, die tragen:

• Identitäten zuerst: Phishingsichere MFA (z. B. Passkeys/FIDO2) für kritische Rollen, Just-in-Time-Privilegien, Abschaltung schwacher Legacy-Protokolle.
• Patch-SLOs statt „wir patchen regelmäßig“: Internet-exponierte Kritikalitäten in Tagen, intern mit klaren Fristen; Eskalation bei Verzug ist automatisiert, nicht manuell.
• Segmentierung & Härtung: Trennung kritischer Zonen, gehärtete Admin-Workstations, Standardblockaden für riskante Skripting-Tools.
• Backups mit Beweis: Offline/immutable, zeitgestoppte Restore-Drills inkl. Integritätsnachweis – schriftlich, wiederholbar.
• Melde- & Kommunikationspfad: Ein geübtes Incident Reporting mit Rollen, Fristen, Kontaktwegen (intern/extern), juristischen Leitplanken.
• Lieferkette vertraglich absichern: Mindestkontrollen (MFA, Patch-SLOs, Logging), Drill-Pflichten, Meldefristen, Auditrechte.

Minimalfahrplan ohne Theater

Nicht alles auf einmal, aber konsequent – und mit Belegen.

1. Risikolandkarte & Verantwortlichkeiten (Management-Beschluss):
   Welche Prozesse sind kritisch? Welche Angriffswege sind realistisch? Wer entscheidet bei Abweichungen? Schriftlich festhalten, im Führungskreis beschließen.

2. Kontrollen ins Betriebshandbuch (nicht nur in die Präsentation):
   Für jede Kontrolle (z. B. MFA, Patch-SLO, Restore-Drill) ein einseitiges Runbook: Ziel, Trigger, Schritte, Owner, Nachweise. Kein Roman – aber operabel.

3. Nachweise einsammeln und versionieren:
   Tickets, Protokolle, Screens, Drill-Logs. Ohne Nachweis ist es nicht passiert. Alles zentral, revisionssicher, auffindbar.

4. Lieferkette in Stufen:
   Desk-Review für alle, Remote-Audit für „hoch“, zielgerichtete Tests für „kritisch“. Fehlende Belege ⇒ Frist, Eskalation, notfalls Zugriffseinschränkung.

Was und wie gemessen wird

Kennzahlen ersetzen keine Kontrolle, aber sie machen Fortschritt sichtbar – und Versäumnisse messbar. Setzen Sie auf wenige, harte KPIs mit klaren Reaktionen bei Abweichung:

• MFA-Abdeckung (phishing-resistent) bei kritischen Rollen.
• Patch-SLO-Einhaltung nach Exponierung (Internet vs. intern).
• Restore-Zeit & Integrität für die zwei wichtigsten Geschäftsprozesse.
• Incident-Reife: Zeit bis Erstbewertung, Zeit bis Meldung, Vollständigkeit der Erstmeldung.
• Lieferketten-Fitness: Anteil kritischer Partner mit bestandenen Nachweisen/Drills und funktionierendem 24/7-Kontaktweg.

Wichtig: Jede Abweichung braucht eine definierte Konsequenz (z. B. Eskalation, Change-Freeze, Zusatzprüfung). Reporting ohne Handlung ist Beschäftigungstherapie.

Praktische Tipps für skeptische Führungskräfte

• Fragen Sie nach Beweisen, nicht nach Absichten. „Zeigen Sie mir das letzte Restore-Protokoll mit Zeitstempel.“
• Priorisieren Sie dort, wo Zeit Geld ist. Ein stabiler Wiederanlauf senkt Stillstandskosten – und überzeugt Versicherer.
• Koppeln Sie Budget an Wirkung. Weniger Tools, mehr belastbare Prozesse.
• Machen Sie es audittauglich. Alles, was nicht auffindbar ist, existiert im Zweifel nicht – schon gar nicht unter NIS-2.

Fazit: Handeln schlägt Ausreden

NIS-2 ist kein Selbstzweck, sondern ein Katalysator für solide Governance. Wer heute Prozesse, Nachweise und Lieferkette in Ordnung bringt, gewinnt doppelt: weniger Risiko im Alltag und weniger Stress, wenn es ernst wird. Warten auf perfekte Klarheit ist eine Strategie – nur keine gute. Die Anforderungen sind bekannt, der Weg ist machbar. Fangen Sie an, und dokumentieren Sie, dass Sie es getan haben.

FAQ über Blog Beitrag