NIS2: Warum Organisation und Prozesse vor Technologie kommen müssen

Viele Unternehmen reagieren auf die NIS2-Richtlinie mit dem Kauf neuer Sicherheitssoftware oder dem Ausbau ihrer IT-Infrastruktur. Das ist verständlich, aber zu kurz gedacht. NIS2 Organisation und Prozesse sind das eigentliche Fundament jeder erfolgreichen Umsetzung – ohne diese Basis verpufft jede technische Investition wirkungslos.

Die NIS2-Richtlinie gilt seit Oktober 2024 in Deutschland und betrifft Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in bestimmten Sektoren. Wer glaubt, mit einer neuen Firewall oder einem SIEM-System die Anforderungen zu erfüllen, wird spätestens bei der ersten Prüfung durch die Behörden eines Besseren belehrt.

Der Grund ist einfach: NIS2 ist keine technische Norm, sondern eine Governance-Anforderung. Sie verlangt, dass Unternehmen Verantwortlichkeiten klar regeln, Risiken systematisch bewerten und Prozesse dokumentieren – bevor überhaupt eine technische Maßnahme greift.

Dieser Artikel zeigt, warum der organisatorische Rahmen zuerst stehen muss, welche konkreten Anforderungen das bedeutet und wie Sie als Entscheider die Umsetzung strukturiert angehen.

Was NIS2 wirklich von Unternehmen verlangt

Die NIS2-Richtlinie schreibt keine spezifischen Technologien vor. Sie fordert stattdessen ein nachweisbares Sicherheitsniveau – und das auf Basis eines systematischen Ansatzes. Unternehmen müssen belegen können, dass sie Risiken kennen, bewertet haben und aktiv steuern.

Konkret bedeutet das: Es braucht eine dokumentierte Risikoanalyse, klare Zuständigkeiten im Bereich Cybersicherheit, definierte Prozesse für den Umgang mit Sicherheitsvorfällen und eine funktionierende Lieferkettensicherheit. All das sind keine IT-Themen – das sind Managementaufgaben.

Besonders wichtig: Die Geschäftsführung haftet persönlich für die Einhaltung der NIS2-Anforderungen. Wer die Verantwortung vollständig an die IT-Abteilung delegiert, geht ein erhebliches rechtliches und wirtschaftliches Risiko ein.

Warum Technologie ohne Prozesse nicht funktioniert

Ein typisches Szenario aus der Praxis: Ein Unternehmen investiert in ein modernes Security Operations Center, hat aber keine definierten Eskalationswege für Sicherheitsvorfälle. Das System schlägt Alarm – aber niemand weiß, wer reagieren muss, in welchem Zeitrahmen und mit welchen Befugnissen.

Genau hier scheitern viele NIS2-Projekte. Die Technologie ist vorhanden, aber die organisatorischen Voraussetzungen fehlen. Ohne klare Prozesse bleibt auch das beste Tool wirkungslos.

NIS2 verlangt unter anderem, dass Sicherheitsvorfälle innerhalb von 24 Stunden gemeldet werden – an die zuständige Behörde. Das setzt voraus, dass intern bereits Strukturen existieren, die einen Vorfall erkennen, bewerten und kommunizieren können. Diese Strukturen entstehen nicht durch Software, sondern durch klare Verantwortlichkeiten, Schulungen und dokumentierte Abläufe.

Organisation und Prozesse als strategische Grundlage

Der richtige Ansatz beginnt mit einer ehrlichen Bestandsaufnahme: Welche Risiken bestehen? Wer ist für welche Systeme und Prozesse verantwortlich? Welche Abläufe existieren bereits, und wo gibt es Lücken?

Auf Basis dieser Analyse lassen sich Prioritäten setzen – und erst dann sinnvoll über technische Maßnahmen sprechen. Ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 bietet dafür einen bewährten Rahmen, ist aber kein Pflichtstandard unter NIS2. Entscheidend ist, dass die Strukturen nachvollziehbar, dokumentiert und wirksam sind.

Besonders im Mittelstand fehlt es häufig an einer klaren Zuweisung von Sicherheitsverantwortung. Oft ist die IT-Abteilung für alles zuständig – ohne Budget, Mandat oder Schnittstellen zur Geschäftsführung. Das muss sich ändern, wenn NIS2-Compliance ernsthaft angestrebt wird.

Handlungsempfehlungen für Entscheider

• Verankern Sie Cybersicherheit als Managementthema: Die Geschäftsführung muss aktiv eingebunden sein – nicht nur informiert werden.
• Führen Sie eine strukturierte Risikoanalyse durch: Identifizieren Sie kritische Prozesse, Systeme und Abhängigkeiten – intern und in der Lieferkette.
• Definieren Sie klare Verantwortlichkeiten: Wer ist für Informationssicherheit zuständig? Wer entscheidet im Ernstfall? Diese Fragen müssen schriftlich beantwortet sein.
• Erstellen Sie einen Incident-Response-Plan: Legen Sie fest, wie Sicherheitsvorfälle erkannt, bewertet, kommuniziert und behoben werden – inklusive der gesetzlichen Meldefristen.
• Schulen Sie Ihre Mitarbeiter regelmäßig: Technische Schutzmaßnahmen versagen, wenn Mitarbeiter Phishing-Mails nicht erkennen oder Passwörter unsicher handhaben.
• Überprüfen Sie Ihre Lieferkette: NIS2 verlangt, dass auch Dienstleister und Zulieferer ein angemessenes Sicherheitsniveau nachweisen können.
• Dokumentieren Sie alles: Behörden prüfen nicht nur, ob Maßnahmen existieren, sondern ob sie nachweisbar und wirksam sind.

Fazit

NIS2-Compliance ist kein Projekt, das die IT-Abteilung alleine stemmen kann. Es ist eine unternehmensweite Aufgabe, die mit klaren Strukturen, definierten Prozessen und echter Führungsverantwortung beginnt – und erst dann durch Technologie sinnvoll ergänzt wird.

Unternehmen, die diesen Zusammenhang verstehen und entsprechend handeln, sind nicht nur gesetzlich auf der sicheren Seite. Sie bauen auch eine Widerstandsfähigkeit auf, die im Ernstfall tatsächlich schützt.

Die entscheidende Frage lautet daher nicht: Welche Software kaufen wir? Sondern: Sind unsere Verantwortlichkeiten, Prozesse und Strukturen bereit für den Ernstfall?