Aktuell und auch schon seit vielen Monaten wird viel über vier Zeichen diskutiert: NIS2. Was trocken nach EU-Bürokratie klingt, hat für tausende Unternehmen in Deutschland ganz konkrete Folgen. Die Richtlinie weitet den Kreis der betroffenen Betriebe deutlich aus und rückt auch eines in den Fokus: die Verantwortung der Geschäftsführung.
Haftung ist kein reines IT-Thema mehr
Bisher konnten viele Verantwortliche das Thema Sicherheit guten Gewissens an die IT-Abteilung delegieren. Mit NIS2 ändert sich die Dynamik grundlegend. Die Richtlinie verlangt ausdrücklich, dass die Geschäftsleitung die Risikomanagement-Maßnahmen nicht nur absegnet, sondern deren Umsetzung aktiv überwacht (vgl. Art. 20 Richtlinie (EU) 2022/2555).
Das bedeutet konkret: Die Verantwortung für Cybersicherheit lässt sich nicht mehr vollständig delegieren. Wer in der Leitungsebene sitzt, muss sicherstellen, dass angemessene Schutzmaßnahmen umgesetzt werden und sich selbst regelmäßig mit den relevanten Risiken und Anforderungen auseinandersetzen.
Das klingt im ersten Moment nach zusätzlichem Aufwand. Gleichzeitig ist es eine Chance: Cybersicherheit wird damit zu einem festen Bestandteil unternehmerischer Qualität.
Wissen als gesetzliche Pflicht
Ein zentraler und oft unterschätzter Punkt der NIS2 ist die Schulungspflicht. Nicht nur die Belegschaft muss sensibilisiert werden, auch die Führungsebene selbst ist verpflichtet, sich regelmäßig fortzubilden, um Risiken fundiert bewerten zu können.
In der Praxis führt das häufig zu Fragen wie „Wie viel Training ist ausreichend?“ oder „Wie können wir im Zweifel nachweisen, dass wir unsere Sorgfaltspflicht erfüllt haben?“,
Hier wird ein Punkt entscheidend, der oft zu kurz kommt: Messbarkeit. Statt ausschließlich auf theoretische Schulungen zu setzen, lohnt es sich, den tatsächlichen Stand im Unternehmen sichtbar zu machen. Strukturierte Analysen helfen dabei, zu erfassen, wie es um das Sicherheitsverständnis im Team steht. Das schafft eine belastbare Grundlage für Entscheidungen und hilft dabei, Maßnahmen gezielt dort anzusetzen, wo sie wirklich gebraucht werden.
Drei Schritte, um jetzt handlungsfähig zu werden
Die Anforderungen von NIS2 wirken auf den ersten Blick komplex. In der Umsetzung lassen sie sich jedoch gut strukturieren:
- Betroffenheit prüfen
Gehört Ihr Unternehmen zu den „wesentlichen“ oder „wichtigen“ Einrichtungen? Das betrifft viele Branchen, oft bereits ab 50 Mitarbeitenden oder einem Jahresumsatz von 10 Mio. €. - Risikomanagement klar aufstellen
Welche Prozesse sind kritisch? Wo bestehen Abhängigkeiten? Und wie werden diese aktuell abgesichert? - Nachweise schaffen
Dokumentieren Sie Schulungen, Maßnahmen und Erkenntnisse nachvollziehbar. Das ist nicht nur für Audits relevant, sondern auch für die eigene Steuerung.
Sicherheit ist Führungsaufgabe
NIS2 verändert weniger die Technik als den Blick auf das Thema. Wer heute beginnt, Transparenz in die eigene Sicherheitslage zu bringen und Mitarbeitende aktiv einzubinden, erfüllt nicht nur gesetzliche Anforderungen. Er schafft die Grundlage für ein Unternehmen, das auch unter Druck handlungsfähig bleibt.
PEARL
Kontinuierliches Awareness-Training durch realitätsnahe
Phishing-Simulationen direkt am Arbeitsplatz.
Misst menschliches Risikoverhalten und
liefert gezielte Lernimpulse- und Inhalte.