Mit dem Geschäft beginnen, nicht mit dem Werkzeug
NIS2 verlangt wirksame und verhältnismäßige Risikomanagementmaßnahmen. Deshalb beginnt die Umsetzung bei den Leistungen, die das Unternehmen erbringen muss. Welche Prozesse sind kritisch? Welche Systeme, Daten, Personen, Standorte und Dienstleister hängen daran? Wie lange wäre ein Ausfall tragbar? Erst danach lässt sich beurteilen, welche Maßnahmen erforderlich sind. Ohne dieses Bild konkurrieren Einzelmaßnahmen um Aufmerksamkeit, aber niemand kann ihre Priorität überzeugend begründen.
Der Kauf eines weiteren Sicherheitsprodukts kann sinnvoll sein. Er ist aber kein Ersatz für ein Lagebild. Wer das Problem nicht verstanden hat, automatisiert im Zweifel nur die Unklarheit. Ein gutes Programm übersetzt deshalb Geschäftsanforderungen in Risiken, Schutzziele und überprüfbare Maßnahmen. Die Reihenfolge wirkt unspektakulär. Sie verhindert jedoch, dass viel Geld an einer kritischen Abhängigkeit vorbeiarbeitet.
Verantwortung und Steuerung festlegen
Die Geschäftsleitung muss nach § 38 BSIG Umsetzung und Überwachung sicherstellen. Dazu gehören ein klarer Auftrag, verfügbare Mittel, nachvollziehbare Prioritäten und regelmäßige Berichte. Operative Rollen benötigen Entscheidungskompetenz und Vertretungen. Auch Datenschutz, Recht, Einkauf, Personal, Produktion und Kommunikation gehören je nach Risiko an den Tisch. Informationssicherheit betrifft das Unternehmen als Ganzes und nicht nur die Geräte mit einem Netzwerkkabel.
Ein kleines Unternehmen braucht dafür kein Gremium mit zwölf Unterausschüssen. Es braucht einen belastbaren Rhythmus: Risiken prüfen, Maßnahmen entscheiden, Fortschritt kontrollieren und Veränderungen berücksichtigen. Ein monatlicher kurzer Steuerungstermin kann besser wirken als ein jährlicher umfangreicher Bericht, den alle respektvoll ablegen. Wichtig ist, dass Entscheidungen, Verantwortliche, Termine und akzeptierte Restrisiken nachvollziehbar festgehalten werden.
Berichte an die Geschäftsleitung sollten betriebliche Auswirkungen zeigen. Die Zahl offener Schwachstellen allein sagt wenig. Aussagekräftiger ist, welche kritische Leistung betroffen ist, wie wahrscheinlich ein Ausfall erscheint, welche Folgen drohen und welche Übergangsmaßnahme besteht. So wird aus Technik eine steuerbare Führungsfrage. Genau dort gehört sie nach NIS2 hin.
Die gesetzlichen Themen in Arbeitspakete übersetzen
- Risikoanalyse und Sicherheitskonzept für Informationssysteme.
- Bewältigung von Sicherheitsvorfällen und funktionierende Meldewege.
- Aufrechterhaltung des Betriebs, Backup, Krisenmanagement und Wiederherstellung.
- Sicherheit der Lieferkette und Auswahl von Dienstleistern.
- Sichere Beschaffung, Entwicklung, Wartung und Schwachstellenbehandlung.
- Wirksamkeitsprüfung, Schulung, Kryptografie, Zugriffsschutz und Mehrfaktor-Authentisierung.
Diese Themen aus § 30 BSIG sollten nicht als getrennte Häkchen behandelt werden. Ein Dienstleisterzugang betrifft Lieferkette, Zugriffsschutz, Protokollierung und Vorfallbehandlung gleichzeitig. Ein ausgefallenes Identitätssystem betrifft nicht nur Anmeldung, sondern oft Produktion, Kommunikation und Wiederherstellung. Alles hängt mit allem zusammen; das Gesetz hat diese Beobachtung ausnahmsweise nicht unnötig kompliziert formuliert.
Aus den Themen entstehen konkrete Arbeitspakete. Jedes braucht ein Ziel, einen Verantwortlichen, einen Termin und ein messbares Ergebnis. „Backup verbessern“ ist zu ungenau. „Wiederherstellung der Auftragsdatenbank bis Ende März testen und eine Wiederanlaufzeit von vier Stunden nachweisen“ lässt sich prüfen. Diese Präzision hilft sowohl der Umsetzung als auch der späteren Dokumentation.
Vorfälle und Meldungen vorbereiten
§ 32 BSIG verlangt bei erheblichen Sicherheitsvorfällen gestufte Meldungen. Die erste Meldung erfolgt unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis; weitere Meldungen ergänzen Bewertung und Abschluss. Dafür braucht es Kriterien, Eskalationswege, erreichbare Vertretungen und Zugang zum vorgesehenen Portal. Ein Incident-Response-Plan darf diese Punkte nicht zwischen allgemeinen Formulierungen verstecken.
Eine Übung sollte Technik und Führung zusammenbringen. Das Szenario kann einfach sein: Ein wichtiger Dienst fällt aus, Hinweise sprechen für einen Angriff und die Ursache ist noch unklar. Wer entscheidet über Abschaltung, Kundeninformation und Meldung? Welche Fakten sind gesichert, welche nur Vermutung? In der Krise gilt zunächst: Niemand ist verletzt, also Sachverhalt klären. Wenn wir ihn verstehen, können wir ihn lösen. Die Schuldfrage darf warten.
Nachweise im Alltag entstehen lassen
Dokumentation sollte zeigen, warum eine Entscheidung getroffen wurde, wer verantwortlich ist und ob eine Maßnahme wirkt. Richtlinien ohne gelebten Prozess sind schwach. Sinnvoller sind wenige aktuelle Nachweise: Risikobewertungen, Protokolle von Wiederherstellungstests, Schulungsnachweise, geprüfte Berechtigungen, Lieferantenbewertungen und Übungen des Meldewegs. Werden diese im Arbeitsablauf erzeugt, entsteht kein separates Papieruniversum.
Die Wirksamkeit lässt sich an praktischen Fragen prüfen. Werden kritische Schwachstellen rechtzeitig geschlossen? Funktioniert die Wiederherstellung mit den vorhandenen Personen und Zugängen? Werden ungewöhnliche Ereignisse erkannt und gemeldet? Erreichen Entscheidungen im Vorfall die richtigen Personen? Eine Maßnahme ist nicht wirksam, weil ihre Beschreibung vollständig ist. Sie ist wirksam, wenn sie unter realistischen Bedingungen ihren Zweck erfüllt.
In überschaubaren Schritten umsetzen
Ein sinnvoller Start dauert keine jahrelange Konzeptphase. Zuerst werden Betroffenheit, Registrierung, kritische Leistungen und Verantwortlichkeiten geklärt. Danach folgt eine Bestandsaufnahme gegen die Anforderungen des § 30. Die größten Risiken und zwingenden organisatorischen Lücken kommen in einen priorisierten Plan. Parallel werden Meldeweg, Geschäftsleitungsreporting und erste Übungen eingerichtet. Bestehende Strukturen werden genutzt, wenn sie funktionieren, und nicht nur umbenannt.
Nicht jede Lücke lässt sich sofort schließen. Übergangsmaßnahmen sind zulässig, wenn sie das Risiko tatsächlich reduzieren, verantwortlich gesteuert werden und ein Enddatum besitzen. Entscheidungen über Restrisiken gehören zur zuständigen Leitung und müssen verständlich dokumentiert sein. „In Bearbeitung“ ist kein Risikozustand. Es ist höchstens eine freundliche Erinnerung daran, dass noch eine Entscheidung fehlt.
Der Fahrplan bleibt lebendig. Neue Dienstleistungen, Übernahmen, Vorfälle, Schwachstellen und geänderte Lieferanten verändern das Risikobild. Deshalb braucht es regelmäßige Überprüfung und anlassbezogene Aktualisierung. NIS2 ist kein Projekt mit einem endgültigen Haken, sondern ein Managementkreislauf. Das klingt weniger spektakulär als eine große Transformation, hält aber erfahrungsgemäß länger.
Kurz gesagt
Eine pragmatische NIS2-Umsetzung beginnt bei kritischen Leistungen und ihren Abhängigkeiten. Sie ordnet Verantwortung, priorisiert Risiken, übersetzt § 30 in überprüfbare Arbeitspakete und übt den Meldeweg nach § 32. Nachweise entstehen aus funktionierenden Prozessen, nicht als Ersatz dafür. Wer Schritt für Schritt Wirkung prüft, erreicht mehr als mit einem großen Konzept, das vor allem durch sein Gewicht überzeugt.
Quellen und weiterführende Informationen
Zuletzt fachlich geprüft: