Wie Unternehmen NIS-2 erfolgreich umsetzen
Cybersecurity rückt mit der NIS-2-Richtlinie stärker denn je in den Fokus von Geschäftsführung und Management. Im Gespräch gibt Andreas Grau Einblicke, welche Herausforderungen und Chancen sich daraus für Unternehmen ergeben und wie eine strukturierte Umsetzung gelingen kann.
Herr Grau, Cybersecurity war lange ein Thema der Technikabteilungen. Warum ist sie heute Chefsache?
Cyberangriffe betreffen heute ganze Geschäftsmodelle und die Risiken sind nicht mehr rein technisch, sie gefährden zum Beispiel auch Lieferketten. Gleichzeitig verlangen EU-Richtlinien wie NIS-2 oder die deutsche Gesetzgebung mit dem IT-Sicherheitsgesetz 2.0 klare Verantwortlichkeiten auf Managementebene. IT-Sicherheit ist damit kein IT-Projekt mehr, sondern Teil der Unternehmenssteuerung. Wer Cybersecurity heute noch als rein technisches Thema behandelt, übersieht ihren strategischen Kern.
Für alle, die sich noch nicht intensiv damit befasst haben: Was ist NIS-2 eigentlich und was ändert sich gegenüber der alten Richtlinie?
NIS-2 ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. Sie erweitert den Geltungsbereich und die Anforderungen deutlich. Viele mittelständische Unternehmen, die bislang nicht betroffen waren, fallen nun unter die neuen Regeln. Ziel ist es, die Cyberresilienz in Europa zu stärken, damit Organisationen Angriffe abwehren und Vorfälle bewältigen können. Neu ist auch der Fokus auf Managementverantwortung, Meldepflichten sowie die Bewertung von Risiken entlang der Lieferkette. Die Meldepflichten sind kein bürokratisches Vehikel, sondern die Grundvoraussetzung für eine staatenübergreifende Abwehr im Falle von beispielsweise großflächigen, politisch motivierten Angriffen auf die Infrastruktur mehrerer EU-Mitgliedstaaten.
Was sind die größten Hürden, die Unternehmen aktuell bei der Umsetzung von NIS-2 sehen?
Die größte Hürde ist oft Orientierung. Viele wissen nicht genau, ob sie betroffen sind oder wie tiefgreifend die Anforderungen tatsächlich sind. Unternehmen müssen ihre Betroffenheit selbst prüfen. Hierzu empfehlen wir, sich Unterstützung zu holen, insbesondere wenn es um die genaue Einordnung der Kritikalität der Einrichtung geht. Dazu kommt: In vielen Unternehmen ist IT-Sicherheit historisch gewachsen – also fragmentiert, mit parallelen Systemen und unklaren Zuständigkeiten. NIS-2 zwingt dazu, das Thema strukturell zu verankern und abteilungsübergreifend zu denken. Das ist kein einfacher, aber ein notwendiger Schritt.
Kritiker sehen NIS-2 vor allem als Pflichtübung. Welche Chancen ergeben sich aus Ihrer Sicht für Unternehmen?
Wenn man NIS-2 nur als Regulierung sieht, wirkt sie lästig. Wer sie jedoch als Rahmen für die Sicherheit sowohl des eigenen Unternehmens als auch der Gesellschaft versteht, kann echten Mehrwert schaffen. Unternehmen, die ihre Sicherheitsprozesse systematisch aufbauen, werden resilienter und schneller handlungsfähig – auch jenseits von Cyberthemen. Viele nutzen die Umsetzung als Anlass, ihre IT-Landschaft zu modernisieren, Zuständigkeiten zu klären und Risiken erstmals ganzheitlich zu bewerten. Das schafft Transparenz und Vertrauen – intern wie extern.
Wo sollten Unternehmen anfangen, wenn sie sich jetzt auf den Weg machen wollen?
Zuerst gilt es zu klären, ob und in welchem Umfang man von NIS-2 betroffen ist. Danach sollte eine Bestandsaufnahme erfolgen: Welche Systeme, Prozesse und Lieferanten sind kritisch? Auf dieser Grundlage kann priorisiert werden. Wichtig ist, klein anzufangen, aber konsequent zu bleiben: lieber bei allen Maßnahmen das Nötigste sauber umsetzen als nur einen Teil der Maßnahmen anzugehen. Ganz wichtig ist es, frühzeitig Verantwortung festzulegen, sonst bleibt das Thema in der Luft hängen. Um einen schnellen Einstieg zu ermöglichen, haben wir einen pragmatischen 2-Tages-Workshop entwickelt, der das notwendige Wissen aus Recht und IT an alle Beteiligten vermittelt und gleichzeitig eine Standortbestimmung mit Handlungsoptionen liefert.
Wo sehen Sie typische Fehler in Projekten und wie lassen sich diese vermeiden?
Der häufigste Fehler ist, NIS-2 als reines IT-Projekt zu behandeln. Das führt zwangsläufig zu blinden Flecken. Ein anderer ist das Verständnis, man müsse in allen Punkten direkt Perfektion erreichen, um compliant zu sein. Sicherheit ist keine einmalige Maßnahme, sondern ein kontinuierlicher Verbesserungsprozess. Wer mit realistischen Zielen startet und regelmäßig überprüft, kommt langfristig weiter. Und schließlich: Kommunikation. Viele Projekte scheitern nicht an Technik, sondern daran, dass niemand außerhalb der IT versteht, warum das Ganze wichtig ist.
Welche Trends werden die IT-Sicherheit in den nächsten Jahren prägen?
Die Vernetzung nimmt weiter zu und mit ihr die Angriffsfläche. KI wird vieles verändern, sowohl auf Seiten der Angreifer als auch der Verteidiger. Aber der wichtigste Trend ist vielleicht ein kultureller: Sicherheit wird zunehmend Teil der Unternehmens-DNA. Früher war sie etwas, an das man „mitgedacht“ hat. Heute wird sie zum Qualitätsmerkmal, zum Ausdruck von Professionalität und Verantwortungsbewusstsein.
Und ganz persönlich: Was motiviert Sie, sich mit so komplexen Themen wie NIS-2 auseinanderzusetzen?
Mich reizt die Schnittstelle zwischen Technik, Organisation und Mensch. NIS-2 zwingt Unternehmen dazu, diese Bereiche miteinander zu verbinden. Es ging mir bei meiner Arbeit immer schon darum, Sicherheit greifbar und handhabbar zu machen. Wenn man sieht, wie ein Unternehmen durch eine Bewusstseinsveränderung und klare Prozesse sicherer wird, merkt man, dass sich der Aufwand lohnt. Am Ende geht es nicht um Paragrafen, sondern um Vertrauen – in Systeme, in Menschen, in die eigene Handlungsfähigkeit.
