Die Schonfrist ist vorbei: Jetzt wird NIS2 zum Praxistest.
Viele Unternehmen haben die formale NIS2-Umsetzung inzwischen weitgehend abgeschlossen. Verantwortliche sind benannt, Kontaktdaten an das BSI übermittelt, interne Projekte offiziell abgeschlossen. Nach Monaten voller Checklisten, Rechtsgutachten und Betroffenheitsprüfungen ist die Versuchung groß, das Thema nun aus dem unmittelbaren Fokus zu nehmen.
Zusammenfassung (TL; DR):
- Nach der formalen NIS2-Umsetzung müssen Unternehmen nun die zuverlässige Bewältigung von Sicherheitsvorfällen unter Zeitdruck nachweisen.
- Viele Verantwortliche nutzen jedoch im Ernstfall unsichere Kommunikationskanäle, was eine gefährliche Sicherheitslücke darstellt.
- Echte Cyberresilienz erfordert daher krisenfeste, von der normalen Infrastruktur unabhängige Kommunikationswege für die Handlungsfähigkeit bei Systemausfällen.
Erkennen Unternehmen Sicherheitsvorfälle?
Doch genau jetzt beginnt der schwierigere Teil. Denn NIS2 misst Unternehmen nicht daran, wie vollständig ihre Unterlagen sind. Entscheidend ist, ob sie einen Sicherheitsvorfall erkennen, innerhalb enger Fristen bewerten und auch unter Druck kontrolliert handeln können. Für erhebliche Vorfälle verlangt die Richtlinie eine erste Warnung innerhalb von 24 Stunden und eine ausführlichere Meldung innerhalb von 72 Stunden. Das funktioniert nur, wenn Zuständigkeiten, Meldewege und Kommunikationskanäle vorher geklärt und ausreichend etabliert wurden.
Die Lücke zwischen Plan und Praxis
Auf dem Papier sind viele Organisationen gut vorbereitet. Im Idealfall wissen Verantwortliche wer wann über welche Kanäle aktiv wird. Ein realer Angriff folgt jedoch selten dem Ablauf eines Audits.
Ist das E-Mail-System betroffen, wechseln Teams auf Messenger. Kann ein externer Berater nicht auf die interne Plattform zugreifen, erhält er Dateien über einen kurzfristig eingerichteten Link. Muss die Geschäftsführung schnell entscheiden, entsteht eine neue Chatgruppe auf privaten Geräten.
Werden alle Regeln eingehalten?
Genau hier zeigt sich die eigentliche Lücke. In einer von Wire in Auftrag gegebenen Erhebung hielten sich 62 Prozent der befragten IT-, Security- und Compliance-Verantwortlichen für gut oder sehr gut auf regulatorische Anforderungen vorbereitet. Gleichzeitig gaben 48 Prozent an, sensible Informationen zumindest gelegentlich über ungeeignete Kanäle zu teilen. Bei 61 Prozent blieben Zugriffe auf gemeinsam genutzte Dateien länger aktiv als vorgesehen.
Viele Unternehmen haben also Regeln und Systeme geschaffen. Sie können aber nicht immer sicherstellen, dass diese im Arbeitsalltag auch eingehalten werden.
Cyberresilienz entscheidet sich in der Kommunikation
Unternehmen investieren zu Recht in Angriffserkennung, Zugangsschutz und Back-ups. Doch selbst gute technische Schutzmaßnahmen verhindern nicht jeden Angriff. Danach kommt es darauf an, ob Menschen weiterhin sicher zusammenarbeiten können.
Ein Krisenstab braucht einen vertrauenswürdigen Raum, in dem Entscheidungen vorbereitet, Informationen bewertet und Aufgaben verteilt werden. Die Geschäftsleitung muss erreichbar bleiben. IT, Recht, Kommunikation und externe Spezialisten müssen kollaborieren können, ohne auf eine möglicherweise kompromittierte Infrastruktur angewiesen zu sein.
Fehlt diese Möglichkeit, verzögern sich Entscheidungen. Informationen lassen sich schlechter überprüfen, und sensible Inhalte wandern auf Kanäle, die sich nicht mehr zentral kontrollieren lassen.
Schatten-IT ist selten nur ein Disziplinproblem
Viele Unternehmen reagieren auf unsichere Kommunikationswege mit neuen Richtlinien und zusätzlichen Schulungen. Das ist verständlich, löst aber nicht das grundlegende Problem.
Mitarbeitende greifen häufig auf private Messenger, persönliche E-Mail-Konten oder frei verfügbare Dateidienste zurück, wenn die offiziellen Lösungen ihre Arbeit erschweren. Das betrifft vor allem die Zusammenarbeit mit externen Beteiligten, mobile Teams und Situationen mit hohem Zeitdruck. Ein System, das im normalen Arbeitsalltag als zu kompliziert empfunden wird, setzt sich in einer Krise nicht plötzlich durch. Das gilt auch für Notfallkanäle, die zwar dokumentiert, aber nie praktisch erprobt wurden.
Schatten-IT ist deshalb nicht immer ein Zeichen fehlender Sensibilität. Sie kann darauf hinweisen, dass Sicherheitsvorgaben und Arbeitsabläufe nicht zusammenpassen.
Der beste NIS2-Test beginnt ohne E-Mail
Der entscheidende Praxistest beginnt dort, wo die gewohnten Systeme nicht mehr verfügbar oder vertrauenswürdig sind. Unternehmen sollten deshalb prüfen, wie sie handlungsfähig bleiben, wenn E-Mail, zentrale Identitätsdienste und die übliche Kollaborationsplattform gleichzeitig ausfallen.
Wie kommt der Krisenstab zusammen? Wie werden externe Fachleute eingebunden? Wie lassen sich Identitäten überprüfen, Informationen schützen und Entscheidungen dokumentieren? Und gelingt all das, ohne dass Mitarbeitende auf private Kanäle ausweichen? Wer diese Fragen überzeugend beantworten kann, hat mehr erreicht als formale NIS2-Compliance. Wer lediglich auf Registrierung, Richtlinien und freigegebene Tools verweist, hat erst den einfachen Teil erledigt. Entscheidend ist, ob die Organisation auch dann kontrolliert handeln kann, wenn ihre vertrauten Systeme nicht mehr zur Verfügung stehen.
NIS2 misst den Erfolg nicht an vollständigen Dokumenten, sondern an der praktischen Reaktionsfähigkeit. Unternehmen müssen erhebliche Sicherheitsvorfälle unter extremem Zeitdruck bewältigen und sind gesetzlich verpflichtet, eine erste Warnung innerhalb von 24 Stunden sowie eine detaillierte Meldung innerhalb von 72 Stunden abzugeben.
Obwohl sich viele Verantwortliche gut vorbereitet fühlen, teilen 48 Prozent sensible Informationen im Ernstfall über ungeeignete Kanäle. Wenn die normale IT ausfällt, weichen Teams aus Zeitdruck oft auf Schatten-IT wie private Messenger, private E-Mail-Konten oder ungesicherte Dateilinks aus, die sich zentral nicht kontrollieren lassen.
Der Test beginnt im Worst-Case-Szenario, wenn die gewohnten Systeme (E-Mail, zentrale Identitätsdienste, interne Kollaborationsplattformen) gleichzeitig ausfallen oder kompromittiert sind. Echte Resilienz beweist sich darin, ob der Krisenstab und externe Experten über eine völlig unabhängige, krisenfeste Infrastruktur sicher zusammenarbeiten und Entscheidungen dokumentieren können.
