Ein gemeinsames Ziel, nationale Verfahren

Die NIS2-Richtlinie setzt EU-weit Ziele und Mindestanforderungen. Mitgliedstaaten regeln jedoch nationale Zuständigkeiten, Portale und Verfahren. Unternehmen mit Niederlassungen oder Diensten in mehreren Staaten sollten deshalb nicht von einer einzigen deutschen Umsetzung ausgehen. Der Rahmen ist europäisch, die praktische Aufsicht bleibt teilweise national.

Cyberresilienz und physische Resilienz verbinden

Das BSI-Gesetz konzentriert sich auf die Sicherheit von Informationstechnik und Diensten. Das KRITIS-Dachgesetz adressiert die physische Resilienz kritischer Anlagen. In der Realität lassen sich beide Bereiche nicht sauber trennen: Strom, Gebäudezugang, Personal, Kommunikation und IT beeinflussen gemeinsam, ob eine wichtige Leistung verfügbar bleibt.

Statt zwei parallele Welten aufzubauen, sollten Risikoanalysen, Krisenorganisation und Übungen gemeinsame Schnittstellen nutzen. Unterschiedliche gesetzliche Nachweise bleiben bestehen, aber die zugrunde liegenden Prozesse dürfen zusammenarbeiten.

Mehrstaatliche Unternehmen brauchen eine Zuständigkeitskarte

  • Relevante Dienste und Niederlassungen je Mitgliedstaat erfassen.
  • Nationale Registrierungs- und Meldewege dokumentieren.
  • Zuständigkeiten von Konzern und lokaler Einheit festlegen.
  • Gemeinsame Mindeststandards mit nationalen Ergänzungen verbinden.
  • Cyber-, Gebäude- und Versorgungsszenarien gemeinsam üben.

Eine zentrale Richtlinie kann Konsistenz schaffen. Sie darf lokale Pflichten aber nicht überdecken. Umgekehrt muss nicht jedes Land dieselbe Grundanalyse neu erfinden. Entscheidend ist eine klare Zuordnung: Was gilt überall, was nur lokal, wer entscheidet und wer meldet?

Für jede Einordnung gilt ein fester Prüfzeitpunkt. Nationale Gesetze, behördliche Verfahren und Unternehmensstrukturen verändern sich. Eine Zuständigkeitskarte ohne Datum wird daher langsam zur historischen Darstellung. Eine regelmäßige Prüfung und ein klarer Auslöser bei neuen Diensten oder Standorten halten sie arbeitsfähig, ohne daraus ein tägliches Regulierungsorakel zu machen.

Die Richtlinie richtet sich an die Mitgliedstaaten und wurde in nationales Recht übertragen. Deshalb unterscheiden sich Begriffe, Behörden, Registrierungswege und einzelne Verfahrensdetails. Für ein ausschließlich deutsches Unternehmen ist vor allem das deutsche BSI-Gesetz maßgeblich. Ein grenzüberschreitender Konzern oder Anbieter digitaler Dienste muss zusätzlich prüfen, welche Niederlassung und welcher Dienst welcher nationalen Aufsicht unterliegen.

Harmonisierung bedeutet also nicht, dass überall dasselbe Formular wartet. Sie schafft einen gemeinsamen Rahmen für Risikomanagement, Leitungspflichten, Aufsicht und Meldungen. Die operative Umsetzung bleibt an nationale Gesetze und zuständige Stellen gebunden. Alte Übersichten aus der Umsetzungsphase sind dafür nur eingeschränkt geeignet, weil sie häufig Entwürfe oder erwartete Termine beschreiben.

Cyberresilienz und physische Resilienz zusammen denken

Das BSI-Gesetz konzentriert sich auf die Sicherheit von Informationstechnik und Diensten. Das deutsche KRITIS-Dachgesetz setzt den Rahmen für die physische Resilienz kritischer Anlagen. Beide Regelungsbereiche haben unterschiedliche Anwendungsbereiche, Begriffe und Nachweise. In der betrieblichen Wirklichkeit treffen sie sich jedoch an denselben Leistungen: Strom, Gebäudezugang, Personal, Kommunikation, IT und Lieferanten bestimmen gemeinsam, ob ein kritischer Dienst verfügbar bleibt.

Ein Rechenzentrum kann technisch gut geschützt sein und trotzdem ausfallen, wenn Kühlung, Energieversorgung oder Zutritt versagen. Umgekehrt hilft ein bewachter Standort wenig, wenn ein kompromittierter Fernzugang zentrale Systeme lahmlegt. Risikoanalysen sollten daher physische, digitale und organisatorische Ursachen gemeinsam betrachten. Die rechtliche Zuordnung bleibt getrennt, das Szenario darf zusammenhängend bleiben.

Das gilt auch für Krisenorganisation und Übungen. Ein Szenario mit Stromausfall, gestörter Kommunikation und eingeschränktem Personal prüft mehr als drei isolierte Checklisten. Rollen, Eskalationen und Ersatzwege können gemeinsam geübt werden. Anschließend lässt sich sauber dokumentieren, welche Erkenntnis welchem Regelwerk und welcher Maßnahme zugeordnet wird.

Mehrstaatliche Unternehmen brauchen eine Zuständigkeitskarte

Eine Zuständigkeitskarte beginnt bei Diensten und rechtlichen Einheiten. Sie zeigt je Staat die betroffene Tätigkeit, nationale Einstufung, zuständige Behörde, Registrierung, Meldekanal und interne Rolle. Besonders bei zentral betriebenen Plattformen muss klar sein, welche lokale Einheit eine Störung meldet und welche Informationen die Konzernzentrale bereitstellt. Ohne diese Zuordnung entstehen im Ernstfall parallele Meldungen oder unangenehme Lücken.

Ein konzernweiter Mindeststandard ist trotzdem sinnvoll. Gemeinsame Anforderungen an Identitäten, Schwachstellen, Dienstleister, Backups und Vorfallbehandlung schaffen Konsistenz und erleichtern Nachweise. Nationale Ergänzungen werden dort hinzugefügt, wo Gesetz oder Aufsicht sie verlangen. So muss nicht jedes Land dieselbe Grundanalyse neu erfinden, und die Zentrale verwechselt Einheitlichkeit nicht mit Vollständigkeit.

  • Relevante Dienste, Anlagen und Gesellschaften je Mitgliedstaat erfassen.
  • Nationale Einstufung, Registrierung und Meldewege mit Prüfdatum dokumentieren.
  • Zuständigkeiten von Konzern, lokaler Einheit und Dienstleistern festlegen.
  • Gemeinsame Mindeststandards mit nationalen Ergänzungen verbinden.
  • Cyber-, Gebäude-, Personal- und Versorgungsszenarien gemeinsam üben.
  • Änderungen der nationalen Rechtslage in einem geregelten Prozess beobachten.

Meldungen und Lieferketten grenzüberschreitend vorbereiten

NIS2 sieht eine gestufte Meldung erheblicher Sicherheitsvorfälle vor. Die konkrete Abwicklung folgt dem jeweils anwendbaren nationalen Recht. Ein Konzernprozess sollte deshalb schnell belastbare Grundinformationen sammeln und zugleich lokale Fristen und Kanäle berücksichtigen. Dazu gehören Zeitpunkt der Kenntnis, betroffene Dienste, vermutete Ursache, grenzüberschreitende Auswirkungen und bereits ergriffene Maßnahmen.

Auch Lieferketten verlaufen selten entlang einer Landesgrenze. Ein zentraler Cloud-Dienst, Telekommunikationsanbieter oder Spezialwartungsbetrieb kann mehrere Gesellschaften gleichzeitig betreffen. Verträge und Krisenpläne sollten festlegen, wer informiert, welche Nachweise verfügbar sind und wie Prioritäten bei einem großflächigen Ausfall gesetzt werden. Ein allgemeiner Satz zur Zusammenarbeit ist nett; eine erreichbare Telefonnummer und ein geübter Ablauf sind nützlicher.

Doppelte Arbeit vermeiden, Unterschiede erhalten

Regulatorische Programme neigen dazu, für jedes Gesetz eigene Tabellen, Rollen und Sitzungen aufzubauen. Das wirkt zunächst ordentlich und produziert später widersprüchliche Risikobilder. Besser ist ein gemeinsames Inventar kritischer Leistungen, Anlagen, Systeme und Abhängigkeiten. Darauf können unterschiedliche Bewertungen und Nachweise aufsetzen, ohne die Realität mehrfach zu erfassen.

Die Geschäftsleitung benötigt daraus eine zusammengeführte Sicht. Sie sollte erkennen, welche Leistung gefährdet ist, welche gesetzlichen Pflichten berührt sind, welche Maßnahmen fehlen und wer entscheidet. Ein Bericht je Regelwerk kann für Spezialisten nötig sein. Für Führung zählt der Zusammenhang. Alles hängt mit allem zusammen – bei kritischen Diensten ist das keine Philosophie, sondern Betriebsbeschreibung.

Kurz gesagt

NIS2 ist europäisch, ihre Umsetzung bleibt in wichtigen Details national. In Deutschland ergänzen sich Cyberregeln und physische Resilienzanforderungen. Wer grenzüberschreitend arbeitet, braucht deshalb eine belastbare Zuständigkeits- und Meldekarte statt einer Sammlung alter Länderübersichten.

Quellen und weiterführende Informationen

Zuletzt fachlich geprüft:

Passend zum Thema