NIS-2 in der Praxis: Was wir aus sechs Geschäftsführungsschulungen und den ersten Meldungen gelernt haben

Mit dem NIS-2-Umsetzungsgesetz hat der deutsche Gesetzgeber die Verantwortung für Informationssicherheit dorthin verlagert, wo sie hingehört: in die Geschäftsführung. Leitungsorgane müssen die Risikomanagementmaßnahmen ihres Unternehmens billigen, ihre Umsetzung überwachen und sich selbst regelmäßig schulen lassen – bei persönlicher Haftung. Wir haben in den vergangenen Monaten für zehn Mandanten, darunter die Heras Gruppe, VOSS Automotive, die Mariengesellschaft und Hufnagel, genau diese Geschäftsführungsschulungen durchgeführt und die Unternehmen anschließend bei der Umsetzung begleitet. In diesem Beitrag teilen wir, was wir dabei gelernt haben – von der Betroffenheitsprüfung über die ersten realen Meldungen bis zur Wirtschaftlichkeitsbetrachtung.

NIS-2 macht Risikomanagement zur persönlichen Aufgabe der Geschäftsführung. | Bildquelle: von ShepraRani | Bild Nr.: 1947142953

Warum die Geschäftsführung geschult werden muss

Die NIS-2-Richtlinie und das deutsche Umsetzungsgesetz adressieren erstmals ausdrücklich die Leitungsorgane. Geschäftsführer und Vorstände sind verpflichtet, die Maßnahmen zum Risikomanagement in der Cybersicherheit zu billigen und ihre Umsetzung zu überwachen. Kommen sie dieser Pflicht nicht nach, haften sie gegenüber dem Unternehmen persönlich – ein Verzicht auf diese Haftung ist unwirksam. Ergänzend schreibt das Gesetz eine regelmäßige Schulung der Leitungsorgane vor, damit sie Risiken und Sicherheitspraktiken beurteilen können.

Diese Schulungspflicht ist kein Selbstzweck. Eine Geschäftsführung, die Bedrohungslage, Meldewege und die eigenen Abhängigkeiten kennt, trifft bessere Entscheidungen – über Budgets, Prioritäten und die Organisation der IT-Sicherheit. Genau darauf haben wir unsere Schulungen ausgerichtet.

Sechs Schulungen, sechs unterschiedliche Ausgangslagen

Unsere Mandanten unterscheiden sich in Größe, Branche und Struktur erheblich. Ein international aufgestellter Hersteller von Sicherheitstechnik, ein Automobilzulieferer mit weltweiten Werken, ein Krankenhausträger und ein mittelständisches Familienunternehmen haben unterschiedliche Fragen an NIS-2. Wir haben die Schulungen deshalb auf Deutsch und Englisch und jeweils zugeschnitten auf die konkrete Situation durchgeführt.

Betroffenheit in Konzernstrukturen

Die scheinbar einfache Frage „Sind wir betroffen?“ wird in Konzernen schnell komplex. Tochtergesellschaften, Beteiligungen und ausländische Standorte müssen einzeln betrachtet werden. Hinzu kommt, dass jeder EU-Mitgliedstaat NIS-2 eigenständig umgesetzt hat – mit teils abweichenden Schwellenwerten, Sektorzuordnungen und Registrierungspflichten. Eine Gesellschaft in den Niederlanden kann als wichtige Einrichtung gelten, während die deutsche Schwester darunter fällt oder umgekehrt.

In den Schulungen haben wir gemeinsam mit den Geschäftsführungen eine Betroffenheitsmatrix je Gesellschaft und Land erarbeitet: Welche nationale Umsetzung greift, wo muss registriert werden, welche Behörde ist im Ernstfall zuständig, und welche Anforderungen gelten für die Konzernmutter gegenüber ihren Töchtern. Diese Matrix ist heute die Grundlage der weiteren Umsetzung.

Meldepflichten: Die ersten Vorfälle sind gemeldet

Die dreistufige Meldekette – Erstmeldung innerhalb von 24 Stunden, Folgemeldung nach 72 Stunden, Abschlussbericht nach einem Monat – klingt auf dem Papier einfach. In der Praxis entscheidet sich in den ersten Stunden, ob ein Unternehmen handlungsfähig bleibt.

Bei mehreren unserer Mandanten wurden inzwischen erste Sicherheitsvorfälle nach dem neuen Verfahren an das BSI gemeldet. Die Erfahrung ist eindeutig: Wer die Meldewege vorab definiert hat, Verantwortlichkeiten geklärt sind und die Vorlagen bereitliegen, meldet fristgerecht und ohne Hektik. Wer das nicht getan hat, verliert wertvolle Zeit in Abstimmungsschleifen – zwischen IT, Rechtsabteilung, Geschäftsführung und Konzernzentrale.

Die Bewertung der Lieferantenabhängigkeiten deckte in fast allen Unternehmen einen Investitionsstau auf. | Bildquelle: von Vitalii Vodolazskyi | Bild Nr.: 163365444

Lieferantenabhängigkeiten und Investitionsstau

NIS-2 fordert ausdrücklich die Sicherheit der Lieferkette. Ein zentrales Ergebnis unserer Arbeit war deshalb die systematische Bewertung der Lieferantenabhängigkeiten. Gemeinsam mit IT und Einkauf haben wir je Mandant die Dienstleister identifiziert, deren Ausfall den Geschäftsbetrieb gefährden würde – Rechenzentrumsbetreiber, Cloud-Anbieter, Managed-Service-Provider, Wartungspartner für Produktionssysteme – und die vertraglichen wie technischen Absicherungen bewertet.

Dabei wurde in fast allen Unternehmen ein Investitionsstau sichtbar:

veraltete Systeme ohne Herstellersupport,
fehlende Netzsegmentierung zwischen Office-IT und Produktion,
Backup-Konzepte, die nie unter realen Bedingungen getestet wurden,
Lücken im Monitoring, die einen Angriff über Wochen unentdeckt lassen würden.

Diese Punkte haben wir nicht nur benannt, sondern mit Wirtschaftlichkeitsbetrachtungen hinterlegt: Was kostet die Maßnahme, was kostet ein Ausfall, welches Risiko wird tatsächlich reduziert. Damit konnten die Geschäftsführungen Investitionsentscheidungen auf einer belastbaren Grundlage treffen – und sie gegenüber Gesellschaftern und Beiräten begründen.

IT und Informationssicherheit ganzheitlich verzahnen

Ein häufig unterschätzter Effekt von NIS-2 ist organisatorischer Natur. Die Richtlinie zwingt Unternehmen, IT-Betrieb und Informationssicherheit als Einheit zu denken. In vielen Mittelständlern arbeiten beide Bereiche nebeneinander her: Die IT hält den Betrieb am Laufen, die Sicherheit wird als Bremse wahrgenommen.

Wir haben in den Projekten gezielt daran gearbeitet, diese Trennung aufzulösen – mit gemeinsamen Risikobewertungen, abgestimmten Maßnahmenplänen und klaren Rollen. Das Ergebnis ist ein ganzheitliches Sicherheitsverständnis, das die Geschäftsführung trägt und die Fachbereiche mittragen. Aus unserer Sicht ist das der eigentliche Gewinn von NIS-2: nicht die Registrierung beim BSI, sondern eine Organisation, die Sicherheit als Teil des Geschäfts versteht.

Unsere Empfehlungen für Geschäftsführungen

Aus sechs Schulungen und den ersten realen Meldungen lassen sich drei Empfehlungen ableiten:

Betroffenheit gesellschaftsweise prüfen. Bei Konzernstrukturen reicht ein Blick auf die Muttergesellschaft nicht aus. Jede Gesellschaft und jedes Land braucht eine eigene Bewertung.
Meldeprozesse üben, bevor sie gebraucht werden. Ein Meldeprozess, der nur auf dem Papier existiert, versagt im Ernstfall. Tabletop-Übungen mit der Geschäftsführung sind der schnellste Weg, Lücken zu finden.
Den Investitionsstau wirtschaftlich begründen. NIS-2 ist für viele Unternehmen der Anlass, überfällige Investitionen in die IT endlich anzugehen. Mit einer sauberen Wirtschaftlichkeitsbetrachtung wird aus der Pflicht eine nachvollziehbare Entscheidung.

Sie möchten wissen, wie Ihr Unternehmen bei NIS-2 steht, oder benötigen die gesetzlich geforderte Schulung für Ihre Geschäftsführung? Unsere Coaches von itsecuritycoach begleiten Sie von der Betroffenheitsprüfung über die Schulung bis zum Aufbau der Meldeprozesse – auf Deutsch und Englisch. Nehmen Sie Kontakt auf und vereinbaren Sie ein unverbindliches Beratungsgespräch.

Externer ISB: Sicherheit organisieren statt Papier produzieren

ISO 27001, NIS-2, TISAX – ohne eigene Vollzeitstelle, planbar und auditfest. In 15 Minuten klären wir, welches ISB-Modell zu Ihrem Unternehmen passt.

Kostenloses Erstgespräch vereinbaren