Viele Unternehmen haben die formale NIS2-Umsetzung inzwischen weitgehend abgeschlossen. Verantwortliche sind benannt, Kontaktdaten an das BSI übermittelt, interne Projekte offiziell abgeschlossen. Nach Monaten voller Checklisten, Rechtsgutachten und Betroffenheitsprüfungen ist die Versuchung gross, das Thema nun aus dem unmittelbaren Fokus zu nehmen.
Ein Kommentar von Benjamin Schilz
Doch genau jetzt beginnt der schwierigere Teil. Denn NIS2 misst Unternehmen nicht daran, wie vollständig ihre Unterlagen sind. Entscheidend ist, ob sie einen Sicherheitsvorfall erkennen, innerhalb enger Fristen bewerten und auch unter Druck kontrolliert handeln können. Für erhebliche Vorfälle verlangt die Richtlinie eine erste Warnung innerhalb von 24 Stunden und eine ausführlichere Meldung innerhalb von 72 Stunden. Das funktioniert nur, wenn Zuständigkeiten, Meldewege und Kommunikationskanäle vorher geklärt und ausreichend etabliert wurden.
NIS2: Die Lücke zwischen Plan und Praxis
Auf dem Papier sind viele Organisationen gut vorbereitet. Im Idealfall wissen Verantwortliche wer wann über welche Kanäle aktiv wird. Ein realer Angriff folgt jedoch selten dem Ablauf eines Audits.
Ist das E-Mail-System betroffen, wechseln Teams auf Messenger. Kann ein externer Berater nicht auf die interne Plattform zugreifen, erhält er Dateien über einen kurzfristig eingerichteten Link. Muss die Geschäftsführung schnell entscheiden, entsteht eine neue Chatgruppe auf privaten Geräten.
Genau hier zeigt sich die eigentliche Lücke. In einer von Wire in Auftrag gegebenen Erhebung hielten sich 62 Prozent der befragten IT-, Security- und Compliance-Verantwortlichen für gut oder sehr gut auf regulatorische Anforderungen vorbereitet. Gleichzeitig gaben 48 Prozent an, sensible Informationen zumindest gelegentlich über ungeeignete Kanäle zu teilen. Bei 61 Prozent blieben Zugriffe auf gemeinsam genutzte Dateien länger aktiv als vorgesehen.
Viele Unternehmen haben also Regeln und Systeme geschaffen. Sie können aber nicht immer sicherstellen, dass diese im Arbeitsalltag auch eingehalten werden.
Cyberresilienz entscheidet sich in der Kommunikation
Unternehmen investieren zu Recht in Angriffserkennung, Zugangsschutz und Back-ups. Doch selbst gute technische Schutzmassnahmen verhindern nicht jeden Angriff. Danach kommt es darauf an, ob Menschen weiterhin sicher zusammenarbeiten können.
Ein Krisenstab braucht einen vertrauenswürdigen Raum, in dem Entscheidungen vorbereitet, Informationen bewertet und Aufgaben verteilt werden. Die Geschäftsleitung muss erreichbar bleiben. IT, Recht, Kommunikation und externe Spezialisten müssen kollaborieren können, ohne auf eine möglicherweise kompromittierte Infrastruktur angewiesen zu sein.
Fehlt diese Möglichkeit, verzögern sich Entscheidungen. Informationen lassen sich schlechter überprüfen, und sensible Inhalte wandern auf Kanäle, die sich nicht mehr zentral kontrollieren lassen.
Schatten-IT ist selten nur ein Disziplinproblem
Viele Unternehmen reagieren auf unsichere Kommunikationswege mit neuen Richtlinien und zusätzlichen Schulungen. Das ist verständlich, löst aber nicht das grundlegende Problem.
Mitarbeitende greifen häufig auf private Messenger, persönliche E-Mail-Konten oder frei verfügbare Dateidienste zurück, wenn die offiziellen Lösungen ihre Arbeit erschweren. Das betrifft vor allem die Zusammenarbeit mit externen Beteiligten, mobile Teams und Situationen mit hohem Zeitdruck. Ein System, das im normalen Arbeitsalltag als zu kompliziert empfunden wird, setzt sich in einer Krise nicht plötzlich durch. Das gilt auch für Notfallkanäle, die zwar dokumentiert, aber nie praktisch erprobt wurden.
Schatten-IT ist deshalb nicht immer ein Zeichen fehlender Sensibilität. Sie kann darauf hinweisen, dass Sicherheitsvorgaben und Arbeitsabläufe nicht zusammenpassen.
Der beste NIS2-Test beginnt ohne E-Mail
Der entscheidende Praxistest beginnt dort, wo die gewohnten Systeme nicht mehr verfügbar oder vertrauenswürdig sind. Unternehmen sollten deshalb prüfen, wie sie handlungsfähig bleiben, wenn E-Mail, zentrale Identitätsdienste und die übliche Kollaborationsplattform gleichzeitig ausfallen.
Wie kommt der Krisenstab zusammen? Wie werden externe Fachleute eingebunden? Wie lassen sich Identitäten überprüfen, Informationen schützen und Entscheidungen dokumentieren? Und gelingt all das, ohne dass Mitarbeitende auf private Kanäle ausweichen? Wer diese Fragen überzeugend beantworten kann, hat mehr erreicht als formale NIS2-Compliance. Wer lediglich auf Registrierung, Richtlinien und freigegebene Tools verweist, hat erst den einfachen Teil erledigt. Entscheidend ist, ob die Organisation auch dann kontrolliert handeln kann, wenn ihre vertrauten Systeme nicht mehr zur Verfügung stehen.
Benjamin Schilz ist ein erfahrener internationaler Unternehmer mit einer beeindruckenden Erfolgsbilanz bei der Bereitstellung innovativer Cybersicherheitslösungen. Er gründete Acorus Networks, ein Unternehmen für Cybersicherheit und Cloud-Management mit Sitz in Frankreich, das später mit Volterra fusioniert wurde. Bei Volterra spielte er eine Schlüsselrolle, indem er zusätzliche Investitionen sicherte, den globalen Betrieb sowie die Strategie zur Implementierung im Kundenumfeld leitete und schliesslich die Übernahme durch das weltweit tätige Technologieunternehmen F5 aushandelte und abschloss. Anschliessend übernahm er dort die Position des Vice President für Infrastruktur und Betrieb.
Lesen Sie auch: Wie „gute“ Cybersicherheit und -resilienz unter NIS2 wirklich aussehen
An der sicher27 am 18. März 2027 in Zürich erzählt Urs Meier (Leiter Governance, Risk und Compliance der Informatik der Insel Gruppe AG und Stellvertretender Leiter der Informatik), wie das Spital realitätsnahe Tests von Krisen durchführt – ganz nach dem Motto:: Was nicht getestet ist, funktioniert nicht.
