Fünf Schritte zur NIS-2-Konformität NIS-2 ist Gesetz, die nächsten 18 Monate sind keine Schonfrist

Anbieter zum Thema

Rittal GmbH & Co. KG

DAXTEN GmbH

VON ZUR MÜHLEN'SCHE GmbH

NIS-2 ist da und es kam quasi über Nacht. Nachdem gefühlt in den letzten Monaten nichts passiert ist, ging es ganz schnell. Es wird keinen großzügigen Übergang geben und keine politische Nachsicht für schlecht vorbereitete Unternehmen. Wer das immer noch glaubt, hat die letzten Jahre Regulierung nicht verstanden.

In der Praxis sehe ich aktuell vor allem eines: Unsicherheit. Nicht darüber, ob NIS-2 kommt, sondern darüber, wie man sie realistisch angeht. Viele Organisationen wissen, dass sie betroffen sein könnten. Kaum eine weiß, wie ein belastbarer Fahrplan aussieht, der operativ funktioniert und im Ernstfall auch standhält.

Das eigentliche Risiko liegt deshalb nicht in der Richtlinie selbst. Es liegt in falschen Annahmen. NIS-2 ist kein IT-Projekt. Es ist auch kein reines Compliance-Thema. Und es ist ganz sicher kein Dokumentationsproblem.

Update: NIS 2 tritt morgen in Kraft

Bundestag verabschiedet NIS 2

Erst klären, dann handeln

Der häufigste Fehler am Anfang ist Aktionismus. Checklisten werden abgearbeitet, Berater beauftragt, Produkte eingeführt. Alles, bevor sauber geklärt ist, ob und warum ein Unternehmen überhaupt unter NIS-2 fällt.

Die Betroffenheit ergibt sich nicht mehr nur aus der Unternehmensgröße. Entscheidend sind Rolle, Branche und Funktion in der Lieferkette. Gerade im Datacenter-Umfeld ist das kritisch. Betreiber, Dienstleister und Zulieferer geraten schneller in den Anwendungsbereich, als vielen bewusst ist.

Rechenzentren brauchen Redundanz und Verschlüsselung

Notwendige NIS-2-Maßnahmen für Datacenter

Diese Klärung gehört auf die Geschäftsführungsebene. Nicht delegiert, nicht nebenbei. Mit NIS-2 wird Cybersicherheit explizit zur Managementverantwortung. Haftung ist kein theoretisches Konstrukt mehr, sondern real.

Wer hier keine klare Zuordnung von Verantwortung schafft, produziert später genau das, was Aufsichtsbehörden beanstanden: organisatorische Unklarheit.

Gap-Analysen helfen wenig, Ehrlichkeit hilft viel

Sobald die Betroffenheit feststeht, folgt der unangenehme Teil. Die ehrliche Bestandsaufnahme. Und genau hier wird es in vielen Unternehmen dünn. Ich sehe regelmäßig Gap-Analysen, die auf dem Papier sauber aussehen und operativ kaum belastbar sind. Richtlinien existieren, Prozesse sind beschrieben, Zuständigkeiten formal benannt. Im Alltag weiß trotzdem niemand, wer im Incident-Fall entscheidet, meldet oder priorisiert.

NIS-2 interessiert sich nicht für wohlformulierte Dokumente. Relevant ist, ob Risiken erkannt, bewertet und gesteuert werden. Und ob das Management diese Steuerung nachvollziehbar verantwortet.

Confidential Computing mit Enclaive.io

Vertrauenswürdige Datenverarbeitung in der hybriden Multicloud

Aus der Praxis lassen sich fünf Maßnahmen benennen, die Unternehmen tatsächlich aus der größten Haftungszone herausführen. Nicht theoretisch, sondern ganz konkret.

• Erstens ein funktionierendes Risikomanagement, das IT-Risiken mit Geschäftsrisiken verbindet. Solange Cyberrisiken isoliert betrachtet werden, bleiben Entscheidungen wirkungslos.

• Zweitens ein belastbares Incident-Handling inklusive Meldeprozessen. Viele Organisationen haben heute bereits meldepflichtige Vorfälle und merken es nicht einmal.

• Drittens zeitgemäße Zugriffskontrollen. Gerade in Rechenzentren sind historisch gewachsene Berechtigungen ein massives Einfallstor. Das ist kein neues Problem, aber unter NIS-2 nicht mehr tolerierbar.

• Viertens die Absicherung der Lieferkette. Vertrauen ersetzt keine Prüfung. Dienstleister, Cloud-Anbieter und Betreiber externer Infrastrukturen müssen systematisch bewertet werden. Auch dann, wenn das unbequem ist.

• Fünftens die Qualifikation der Führungsebene. NIS-2 adressiert das Management ausdrücklich. Unwissen schützt nicht vor Verantwortung.

Diese Punkte müssen nicht perfekt sein. Aber sie müssen adressiert, priorisiert und nachvollziehbar bearbeitet werden. Wer versucht, alles gleichzeitig zu lösen, blockiert sich selbst.

Nachweisfähigkeit schlägt Aktionismus

Ein weiterer Irrtum ist die Annahme, es reiche aus, Maßnahmen einmal umzusetzen. NIS-2 ist kein Projekt mit Enddatum. Es ist ein dauerhafter Zustand.

Nachweisfähigkeit bedeutet nicht Dokumentationswahn. Sie bedeutet, erklären zu können, warum Entscheidungen getroffen wurden und wie Risiken bewertet werden. Im Ernstfall zählt nicht, ob jeder Angriff verhindert wurde. Entscheidend ist, ob angemessen gehandelt wurde.

Gefährdungsbeurteilung im Rechenzentrum

Prüfstrategien minimieren Risiken, wenn sie klar und eindeutig sind

Für Datacenter-Betreiber ist das besonders relevant. Physische Sicherheit, Redundanzen, Notfallkonzepte und IT-Sicherheit lassen sich nicht mehr getrennt betrachten. NIS-2 bewertet diese Zusammenhänge ganzheitlich.

ISO-Zertifikate können helfen. Sie ersetzen aber keine funktionierende Sicherheitsorganisation. Wer sich darauf verlässt, riskiert ein böses Erwachen.

Warum Abwarten keine Option ist

Die kommenden 18 Monate werden oft als Vorbereitungszeit verstanden. Tatsächlich sind sie die letzte Phase, in der Unternehmen Gestaltungsspielraum haben. Danach bestimmen Aufsichtsbehörden Tempo und Richtung. Und wenn morgen etwas passiert, kann es noch viel schneller gehen.

Ich rate Unternehmen dringend, NIS-2 nicht als regulatorische Pflichtübung zu betrachten. Wer das Thema jetzt strukturiert angeht, stärkt nicht nur seine Resilienz, sondern auch seine Position gegenüber Kunden und Partnern. Sicherheitsnachweise werden zunehmend eingefordert. Nicht aus Imagegründen, sondern aus Eigeninteresse.

NIS-2 zwingt Unternehmen, Verantwortung zu übernehmen. Wer das frühzeitig tut, behält die Kontrolle. Wer wartet, wird sie verlieren.

(ID:50667820)