![\"Sicherheit](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" "\\"Sicherheit")
Die Network and Information Security-2-Richtlinie (nachfolgend kurz als NIS2 bezeichnet) der Europ\u00e4ischen Union legt verbindliche Cyber Security-Mindeststandards f\u00fcr Betreiber kritischer Infrastrukturen (KRITIS) fest. Betroffene Unternehmen musste sich bis Ende Juli 2026 beim BSI-Portal registrieren. Nun ist die Schonfrist vorbei und der Praxistest beginnt.<\/p>\n
<\/p>\n
Ich hatte hier im Blog mehrfach \u00fcber die NIS2-Richtlinie berichtet (siehe Beitrag\u00a0NIS-2-Richtlinie muss bis 17. Oktober 2024 von (betroffenen) Unternehmen umgesetzt werden<\/a> und weitere Links am Artikelende). Ziel der Richtlinie ist die St\u00e4rkung von Risiko- und Sicherheitsvorfallmanagement und der Zusammenarbeit. NIS2 bildet die Grundlage f\u00fcr Risikomanagementma\u00dfnahmen und Meldepflichten im Bereich Cybersicherheit in allen Sektoren, die unter die Richtlinie fallen. Dazu geh\u00f6ren etwa Energie, Verkehr, Gesundheit und digitale Infrastruktur. Betroffene Unternehmen mussten sich bis 31. Juli 2026 registrieren (siehe Das Problem der NIS2-Registrierungsl\u00fccke; Meldung bis 31. Juli 2026 m\u00f6glich<\/a> und Doch keine NIS2-Registrierungsl\u00fccke; Kuriose \u00c4nderung am KRITIS-Dachgesetz<\/a>).<\/p>\n Viele Unternehmen haben die formale NIS2-Umsetzung inzwischen weitgehend abgeschlossen. Verantwortliche sind benannt, Kontaktdaten an das BSI \u00fcbermittelt, interne Projekte offiziell abgeschlossen. Nach Monaten voller Checklisten, Rechtsgutachten und Betroffenheitspr\u00fcfungen ist die Versuchung gro\u00df, das Thema nun aus dem unmittelbaren Fokus zu nehmen, merkt Benjamin Schilz von Wire, einem Anbieter einer Kommunikationsplattform f\u00fcr Organisationen an.<\/p>\n Doch genau jetzt beginnt der schwierigere Teil, ist Schilz \u00fcberzeugt, denn NIS2 misst Unternehmen nicht daran, wie vollst\u00e4ndig ihre Unterlagen sind. Entscheidend sei, ob sie einen Sicherheitsvorfall erkennen, innerhalb enger Fristen bewerten und auch unter Druck kontrolliert handeln k\u00f6nnen. F\u00fcr erhebliche Vorf\u00e4lle verlangt die Richtlinie eine erste Warnung innerhalb von 24 Stunden und eine ausf\u00fchrlichere Meldung innerhalb von 72 Stunden. Das funktioniert nur, wenn Zust\u00e4ndigkeiten, Meldewege und Kommunikationskan\u00e4le vorher gekl\u00e4rt und ausreichend etabliert wurden.<\/p>\n Auf dem Papier sind viele Organisationen gut vorbereitet, meint Schilz. Im Idealfall wissen Verantwortliche wer wann \u00fcber welche Kan\u00e4le aktiv wird. Ein realer Angriff folgt jedoch selten dem Ablauf eines Audits.<\/p>\n Ist das E-Mail-System betroffen, wechseln Teams auf Messenger. Kann ein externer Berater nicht auf die interne Plattform zugreifen, erh\u00e4lt er Dateien \u00fcber einen kurzfristig eingerichteten Link. Muss die Gesch\u00e4ftsf\u00fchrung schnell entscheiden, entsteht eine neue Chatgruppe auf privaten Ger\u00e4ten.<\/p>\n Genau hier zeigt sich die eigentliche L\u00fccke. In einer von Wire in Auftrag gegebenen Erhebung hielten sich 62 Prozent der befragten IT-, Security- und Compliance-Verantwortlichen f\u00fcr gut oder sehr gut auf regulatorische Anforderungen vorbereitet. Gleichzeitig gaben 48 Prozent an, sensible Informationen zumindest gelegentlich \u00fcber ungeeignete Kan\u00e4le zu teilen. Bei 61 Prozent blieben Zugriffe auf gemeinsam genutzte Dateien l\u00e4nger aktiv als vorgesehen.<\/p>\n Viele Unternehmen haben also Regeln und Systeme geschaffen. Sie k\u00f6nnen aber nicht immer sicherstellen, dass diese im Arbeitsalltag auch eingehalten werden.<\/p>\n Unternehmen investieren zu Recht in Angriffserkennung, Zugangsschutz und Back-ups. Doch selbst gute technische Schutzma\u00dfnahmen verhindern nicht jeden Angriff. Danach kommt es darauf an, ob Menschen weiterhin sicher zusammenarbeiten k\u00f6nnen.<\/p>\n Ein Krisenstab braucht einen vertrauensw\u00fcrdigen Raum, in dem Entscheidungen vorbereitet, Informationen bewertet und Aufgaben verteilt werden. Die Gesch\u00e4ftsleitung muss erreichbar bleiben. IT, Recht, Kommunikation und externe Spezialisten m\u00fcssen kollaborieren k\u00f6nnen, ohne auf eine m\u00f6glicherweise kompromittierte Infrastruktur angewiesen zu sein.<\/p>\n Fehlt diese M\u00f6glichkeit, verz\u00f6gern sich Entscheidungen. Informationen lassen sich schlechter \u00fcberpr\u00fcfen, und sensible Inhalte wandern auf Kan\u00e4le, die sich nicht mehr zentral kontrollieren lassen.<\/p>\n Viele Unternehmen reagieren auf unsichere Kommunikationswege mit neuen Richtlinien und zus\u00e4tzlichen Schulungen. Das ist verst\u00e4ndlich, l\u00f6st aber nicht das grundlegende Problem.<\/p>\n Mitarbeitende greifen h\u00e4ufig auf private Messenger, pers\u00f6nliche E-Mail-Konten oder frei verf\u00fcgbare Dateidienste zur\u00fcck, wenn die offiziellen L\u00f6sungen ihre Arbeit erschweren. Das betrifft vor allem die Zusammenarbeit mit externen Beteiligten, mobile Teams und Situationen mit hohem Zeitdruck. Ein System, das im normalen Arbeitsalltag als zu kompliziert empfunden wird, setzt sich in einer Krise nicht pl\u00f6tzlich durch. Das gilt auch f\u00fcr Notfallkan\u00e4le, die zwar dokumentiert, aber nie praktisch erprobt wurden.<\/p>\n Schatten-IT ist deshalb nicht immer ein Zeichen fehlender Sensibilit\u00e4t. Sie kann darauf hinweisen, dass Sicherheitsvorgaben und Arbeitsabl\u00e4ufe nicht zusammenpassen.<\/p>\n Der entscheidende Praxistest beginnt dort, wo die gewohnten Systeme nicht mehr verf\u00fcgbar oder vertrauensw\u00fcrdig sind. Unternehmen sollten deshalb pr\u00fcfen, wie sie handlungsf\u00e4hig bleiben, wenn E-Mail, zentrale Identit\u00e4tsdienste und die \u00fcbliche Kollaborationsplattform gleichzeitig ausfallen.<\/p>\n Wer diese Fragen \u00fcberzeugend beantworten kann, hat laut Schilz, mehr erreicht als formale NIS2-Compliance. Wer lediglich auf Registrierung, Richtlinien und freigegebene Tools verweist, hat erst den einfachen Teil erledigt. Entscheidend ist, ob die Organisation auch dann kontrolliert handeln kann, wenn ihre vertrauten Systeme nicht mehr zur Verf\u00fcgung stehen.<\/p>\n \u00c4hnliche Artikel:<\/strong> Die Network and Information Security-2-Richtlinie (nachfolgend kurz als NIS2 bezeichnet) der Europ\u00e4ischen Union legt verbindliche Cyber Security-Mindeststandards f\u00fcr Betreiber kritischer Infrastrukturen (KRITIS) fest. Betroffene Unternehmen musste sich bis Ende Juli 2026 beim BSI-Portal registrieren. Nun ist die Schonfrist vorbei und … Weiterlesen Die Schonfrist ist vorbei<\/h2>\n
Die L\u00fccke zwischen Plan und Praxis<\/h3>\n
Cyberresilienz entscheidet sich in der Kommunikation<\/h3>\n
Schatten-IT ist selten nur ein Disziplinproblem<\/h2>\n
Der beste NIS2-Test beginnt ohne E-Mail<\/h2>\n
\n
\nNIS-2-Richtlinie von Deutschland beschlossen<\/a>
\nAb heute, 6. Dez. 2025, gilt die NIS-2-Richtlinie in Deutschland<\/a>
\nNIS-2-Registrierung im BSI-Portal jetzt m\u00f6glich (6.1.2026)<\/a>
\nNIS-2-Richtlinie muss bis 17. Oktober 2024 von (betroffenen) Unternehmen umgesetzt werden<\/a>
\nKommunal-IT und Informationssicherheitsbeauftragte (ISBs) in der NIS-2-Falle?<\/a>
\nKI-Verordnung, NIS-2-Richtlinie und Cyber Resilience Act: Auswirkungen auf KMU<\/a>
\nDas Problem der NIS2-Registrierungsl\u00fccke; Meldung bis 31. Juli 2026 m\u00f6glich<\/a>
\nDoch keine NIS2-Registrierungsl\u00fccke; Kuriose \u00c4nderung am KRITIS-Dachgesetz<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"