Von Berater zu Berater: Wie Unternehmen jetzt NIS2-ready werden

Wir lieben unseren Job aus verschiedenen Gründen. Unter anderem dafür, dass die Identity-Community offen ist. Sie tauscht sich angeregt aus, diskutiert Best Practices und versucht gemeinsam, Unternehmen wachzurütteln. Aktuell ist das vor allem mit Blick auf NIS2 dringend nötig. Denn viele Organisationen sehen sich nicht von der EU-Richtlinie betroffen – obwohl sie es sind. Unser Managing Director Sebastian hat darüber mit Can Yildiz von CYI-Consulting gesprochen, Kernthesen aufgestellt und eine Mini-Roadmap festgelegt:

ℹ️ Infos lieber aufs Ohr?

Wer unsere zwei Experten lieber in Farbe sehen und ihnen gespannt zuhören möchte, der kann hier den Podcast starten:

Podcast auf YouTube ansehen

NIS2 ist Chefsache

Regularien wie NIS2, CRA oder vor ein paar Jahren die DSGVO zeigen: Cybersecurity und Datenschutz sind längst keine freiwillige Zusatzaufgabe mehr. Sie sind jedoch auch mehr als reine Pflicht. Schließlich helfen die Anforderungen Unternehmen, sich sicherer gegenüber aktuellen Bedrohungen aufzustellen. Doch selbst wenn dieses Verständnis vorherrscht, begehen Verantwortliche häufig einen Fehler: Sie stempeln NIS2 als reines IT-Thema ab. Dabei geht es weit darüber hinaus. Zentrale Rollen spielen Risikomanagement, Verantwortlichkeiten, technische Maßnahmen, Prozesse und Nachweise.

Damit wird klar, wieso NIS2 Chefsache ist. Die Geschäftsführung muss im ersten Schritt Risiken verstehen, Maßnahmen priorisieren, Budgets freigeben, Zuständigkeiten klären und Nachweise einfordern. Wer NIS2 nicht in der Unternehmenssteuerung verankert, läuft Gefahr einer Managementhaftung. Es gilt der einfache Leitsatz: Responsibility kann verteilt werden. Accountability liegt einzig bei der Chefetage.

NIS2 trifft nicht nur Konzerne

Ein Irrtum hält sich hartnäckig: NIS2-Anforderungen betreffen nur Großkonzerne, Mittelständler haben hier keine Pflichten. Tatsächlich ist jedes Unternehmen gefragt, die Betroffenheit zu prüfen. Denn wer mindestens 50 Mitarbeitende oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro erzielt, und sich einer der regulierten Einrichtungsarten beziehungsweise Sektoren nach BSIG zuordnen lässt, muss handeln.

Eine Entscheidung aus dem Bauchgefühl „Nein, das betrifft uns nicht“ wäre verfrüht und grob fahrlässig. An erster Stelle steht somit eine Betroffenheitsprüfung. Hier ist es meist sinnvoll, Experten oder Fachanwälte hinzuzuziehen, um nichts zu übersehen. Zumindest sollte die Selbsteinschätzung von einem Externen geprüft werden, um nicht gleich in die Fahrlässigkeit abzurutschen.

Nicht-Handeln wird teuer

Pflichten nur um der Sanktionen willen: So sollte man NIS2 nicht verstehen. Tatsächlich stecken hierin wichtige Maßnahmen, um sich vor aktuellen Cyberbedrohungen ausreichend zu schützen und die eigene Cyberresilienz zu stärken.

Heißt aber auch: Organisationen, die es verpassen, zu handeln oder Maßnahmen nicht nachweisbar dokumentieren, handeln fahrlässig und riskieren wirtschaftliche Konsequenzen. Und zwar ab sofort! Im NIS2-Umsetzungsgesetz finden sich nämlich keine definierten Übergangsfristen. Wer seine Pflichten versäumt und auffliegt, muss mit aufsichtsrechtlichen Maßnahmen und empfindlichen Sanktionen rechnen – häufig in Millionenhöhe.

Lieferkettensicherheit darf nicht vergessen werden

NIS2 endet nicht an der eigenen Unternehmensgrenze. Auch Lieferanten, Dienstleister und externe Zugriffe müssen stärker in die Sicherheitsbetrachtung einbezogen werden. Schließlich entstehen Risiken nicht nur durch die eigene IT, sondern auch durch Wartungszugänge, Remote-Zugriffe, Softwareanbieter oder Dienstleister, die auf kritische Systeme zugreifen.

Gerade hier verbirgt sich in vielen Unternehmen ein blinder Fleck: Gerade die Zugriffe externer Partner sind nicht immer sauber dokumentiert, zeitlich begrenzt oder technisch ausreichend abgesichert. Wer Lieferkettenrisiken ernst nimmt, muss daher ebenso prüfen, welche Drittanbieter Zugriff auf Systeme, Daten oder Administrationsoberflächen haben – und ob diese Zugriffe dem Schutzbedarf entsprechen.

Wichtig ist hier auch das Thema Software-Lieferkette. Denn diese stellen längst eine neue Angriffsfläche dar. Wieso Schutz hier nicht nur mehr Sicherheit, sondern auch Vertrauen schafft, können Sie in unserem Blogbeitrag „Software Supply Chain Security als Wettbewerbsfaktor“ lesen.

NIS2-ready – die ersten Schritte

NIS2 verlangt nicht nur gute Absichten, sondern nachvollziehbare Maßnahmen. Unternehmen müssen zeigen können, welche Risiken sie identifiziert haben, welche Schutzmaßnahmen daraus abgeleitet wurden und wie deren Wirksamkeit überprüft wird. Der Einstieg sollte deshalb strukturiert erfolgen – nicht aus Panik, sondern mit klarer Priorisierung.

Schritt 1: Betroffenheit prüfen Vor Aktionismus oder Däumchen-Drehen muss eine klare Frage stehen: Fällt das Unternehmen unter NIS2? Mit dieser Betroffenheitsprüfung sollten Organisationen jetzt dringend starten. Das BSI bietet hierfür ein Online-Formular an: https://betroffenheitspruefung-nis-2.bsi.de/ .

Schritt 2: Gap-Analyse durchführen Ist die Betroffenheit geklärt, folgt der Blick auf den Ist-Zustand. Welche Anforderungen werden bereits erfüllt? Wo fehlen technische, organisatorische oder dokumentationsbezogene Maßnahmen? Eine Gap-Analyse, hilft, die Lücke zwischen aktuellem Sicherheitsniveau und NIS2-Anforderungen sichtbar zu machen.

Schritt 3: Risikomanagement aufsetzen oder nachschärfen Ein zentraler Baustein ist das Risikomanagement. Unternehmen sollten dokumentieren, welche Risiken für Systeme, Prozesse, Daten, Lieferketten und Zugriffe bestehen. Daraus müssen sie konkrete Maßnahmen ableiten – mit Verantwortlichkeiten, Prioritäten und Nachweisen.

ℹ️ Bestehende Standards einordnen

Ein ISMS oder eine ISO-27001-Zertifizierung kann eine gute Grundlage sein. Unternehmen sollten sich darauf jedoch nicht blind verlassen. Eine Zertifizierung bedeutet nicht automatisch, dass alle NIS2-Anforderungen vollständig erfüllt sind. Entscheidend ist, ob die konkreten Risiken, Meldewege, Nachweise und Verantwortlichkeiten zur NIS2-Betroffenheit passen.

Schritt 4: Meldeketten vorbereiten Der Ernstfall will vorbereitet sein. Unternehmen sollten klären, wer Sicherheitsvorfälle bewertet, wer intern eskaliert, wer dokumentiert und wer eine Meldung an das BSI absetzt. Wichtig ist dabei, diese auch zu überprüfen und nicht nur auf dem Papier fixiert zu haben.

Schritt 5: IAM-Maßnahmen priorisieren Viele NIS2-Anforderungen lassen sich konkret über Identity and Access Management (IAM) unterstützen. Dazu zählen starke Authentifizierung, Phishing-resistente Multi-Faktor-Authentifizierungen, das Aufräumen verwaister Konten, saubere Rollen- und Rechteprozesse, Privileged Access Management und kontrollierter Remote Access für Mitarbeiter und Dienstleister.

Schritt 6: Nachweise kontinuierlich dokumentieren NIS2-ready zu sein bedeutet nicht, einmal eine Maßnahme umzusetzen und sie danach abzuhaken. Unternehmen müssen nachvollziehbar dokumentieren, was sie getan haben, warum sie es getan haben und wie sie die Wirksamkeit überprüfen. Nachweise werden damit zu einem festen Bestandteil der Sicherheitsorganisation.

Besser jetzt als teuer

NIS2 ist heute bereits für viele Unternehmen verpflichtend. Wer sich damit bislang nicht näher beschäftigt hat, sollte nun die ersten Schritte einläuten: Betroffenheit prüfen, Istzustand analysieren, Risiken erkennen und bewerten, Maßnahmen umsetzen, Meldewege festlegen und überprüfen und Nachweise führen. Diesen Weg müssen Verantwortliche aber nicht allein gehen. Identity-Experten sind die optimale Anlaufstelle, um schnell zum Ziel „NIS2-Readiness“ zu gelangen und teure Haftungsrisiken zu minimieren.

Sie möchten Ihre Betroffenheit überprüfen und; falls nötig, Schritte einleiten? Lassen Sie uns mit einem unverbindlichen Erstgespräch starten!

Jetzt Termin vereinbaren