# NIS2 ist kein IT-Projekt: Warum Unternehmen jetzt umdenken müssen

> Der Beitrag von Swiss GRC erklärt, warum die NIS2-Richtlinie der EU mehr ist als ein IT-Projekt oder ein DSGVO-Pendant. Er richtet sich an Geschäftsleitungen und Unternehmen, die direkt oder indirekt betroffen sind, und nennt sechs Schritte zur Cyber-Resilienz.

- URL: https://swissgrc.com/nis2-ist-kein-it-projekt-warum-unternehmen-jetzt-umdenken-muessen/
- Herausgeber: SwissGRC®
- Veröffentlicht: 2026-05-06
- Zuletzt aktualisiert: 2026-08-20

## Kernaussagen

- Die NIS2-Richtlinie der EU zielt laut Swiss GRC auf Widerstandsfähigkeit, operative Stabilität und Verantwortung auf Managementebene, nicht primär auf Dokumentation.
- Geschäftsführungen müssen laut den im Beitrag zitierten BSI-Vorgaben Sicherheitsmassnahmen genehmigen, deren Umsetzung überwachen und sich regelmässig über den Sicherheitsstatus informieren lassen.
- Schätzungsweise 30.000 Unternehmen allein in Deutschland fallen unter die NIS2-Anforderungen, weit mehr als bisher unter KRITIS reguliert waren (Quelle laut Beitrag: ENISA).
- NIS2 verlangt strukturiertes Risikomanagement, Meldeprozesse, Incident Response, Business Continuity und die Berücksichtigung von Lieferkettenrisiken.
- Laut dem verlinkten Beitrag «Nach der NIS2-Deadline» befinden sich zwei Drittel aller Pflichtigen noch im Rückstand.
- Swiss GRC hält Excel-Listen und isolierte Tools für unzureichend, weil Cyber-Resilienz dynamisch ist und Meldepflichten Geschwindigkeit und Transparenz erfordern.

**Wer heute über NIS2 spricht, hört oft denselben Vergleich: „Das wird die DSGVO für Cybersecurity.“ Der Vergleich klingt logisch – greift aber zu kurz und führt viele Unternehmen in die falsche Richtung.**

Denn die [NIS2-Richtlinie der EU](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022L2555) ist keine reine Compliance-Regulierung. Sie verändert grundlegend, wie Unternehmen mit digitalen Risiken umgehen müssen. Es geht nicht primär um Dokumentation, sondern um Widerstandsfähigkeit, operative Stabilität und Verantwortung auf Managementebene.

Viele Organisationen unterschätzen genau diesen Unterschied – und riskieren damit nicht nur regulatorische Konsequenzen, sondern operative Ausfälle, Reputationsschäden und wirtschaftliche Risiken. Wie sich dieser Wandel konkret auf die tägliche GRC-Arbeit auswirkt, zeigt unser Beitrag [„Als GRC aufhörte, periodisch zu sein"](https://swissgrc.com/als-grc-aufhoerte-periodisch-zu-sein-und-zur-taeglichen-arbeit-wurde/).

## Warum der DSGVO-Vergleich problematisch ist

Die DSGVO hat in vielen Unternehmen ein bewährtes Vorgehen etabliert – und dieses Playbook sitzt tief:

| Kriterium | DSGVO-Ansatz | NIS2-Anforderung |
| --- | --- | --- |
| Fokus | Dokumentation & Nachweise | Wirksamkeit & Resilienz |
| Ziel | Audit bestehen | Im Ernstfall handlungsfähig bleiben |
| Verantwortung | Datenschutzbeauftragter | Geschäftsleitung direkt |
| Charakter | Statische Dokumentation | Dynamisches Risikomanagement |
| Reaktion | Auf Anfragen reagieren | Vorfälle aktiv melden & managen |

Der Fokus verschiebt sich von „Compliance" zu „Cyber-Resilienz" – das ist kein gradueller, sondern ein grundlegender Unterschied.

## NIS2 macht Cybersecurity zur Management-Aufgabe

Eine der grössten Veränderungen durch NIS2 betrifft die Geschäftsleitung. Cybersecurity wird nicht länger ausschliesslich als Aufgabe der IT-Abteilung betrachtet. Laut [BSI-Vorgaben zur NIS2-Umsetzung](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/NIS2/NIS2_node.html) müssen Geschäftsführungen Sicherheitsmassnahmen genehmigen, deren Umsetzung überwachen und sich regelmässig über den Sicherheitsstatus informieren lassen.

Das verändert die [Governance-Strukturen](https://swissgrc.com/risikomanagement-software/) vieler Unternehmen fundamental:

**Unternehmenssteuerung** Cyber-Risiken werden Teil der strategischen Agenda

**Strategische Relevanz** Sicherheitsentscheidungen auf Vorstandsebene

**Persönliche Haftung** Haftungsfragen rücken stärker in den Fokus

**Budget & Prioritäten** Sicherheitsinvestitionen werden neu bewertet

**Resilienz als Wettbewerbsfaktor** Cyber-Stärke wird zum differenzierenden Merkmal am Markt

Cybersecurity entwickelt sich damit von einem technischen Thema zu einer Frage guter Unternehmensführung.

## Der Mittelstand steht besonders unter Druck

Viele Unternehmen gehen noch immer davon aus, dass NIS2 ausschliesslich Betreiber kritischer Infrastrukturen betrifft. Die Realität sieht anders aus:

30.000

**Unternehmen allein in Deutschland** fallen schätzungsweise unter die neuen NIS2-Anforderungen – weit mehr als bisher unter KRITIS reguliert waren.
[Quelle: ENISA – NIS2 Overview](https://www.enisa.europa.eu/topics/cybersecurity-policy/nis-directive-new)

Darunter befinden sich Unternehmen aus folgenden Sektoren:

Industrie & Produktion Gesundheitswesen Logistik & Transport IT- & Cloud-Services Lebensmittelindustrie Energieversorgung Digitale Dienstleistungen

Achtung: Lieferketten-Effekt

Auch Unternehmen, die selbst nicht direkt reguliert sind, geraten zunehmend unter Druck – weil Kunden, Partner oder Auftraggeber höhere Sicherheitsstandards verlangen. NIS2 verlangt explizit das [Management von Lieferkettenrisiken](https://swissgrc.com/tprm-software/) und wirkt damit weit über den direkten Anwendungsbereich hinaus. Mehr dazu: [Lieferantenrisikomanagement neu denken →](https://swissgrc.com/wenn-risiken-durch-die-vordertuer-eintreten-lieferantenrisikomanagement-neu-denken/)

## Das eigentliche Problem: Fehlende Transparenz

In vielen Organisationen sind IT-Strukturen historisch gewachsen. Cloud-Lösungen, externe Dienstleister, hybride Arbeitsmodelle und komplexe Systemlandschaften schaffen neue Abhängigkeiten. Gleichzeitig fehlt häufig ein vollständiger Überblick:

- Welche Systeme sind geschäftskritisch?
- Wo liegen die grössten Risiken und Schwachstellen?
- Wer trägt wofür Verantwortung?
- Welche Drittparteien haben Zugang zu sensiblen Daten?
- Was passiert im Notfall – und wer führt das Playbook?

Genau hier setzt NIS2 an. Die Richtlinie verlangt einen organisatorischen Wandel – nicht nur die Einführung einzelner Security-Massnahmen.

Die Richtlinie verlangt konkret: strukturiertes [Risikomanagement](https://swissgrc.com/risikomanagement-software/), Meldeprozesse, Incident Response, Business Continuity und die Berücksichtigung von Lieferkettenrisiken. Das [BSI stellt dazu konkrete Umsetzungshilfen](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/NIS2/NIS2_node.html) bereit.

---

## Warum Excel und Insellösungen nicht ausreichen

Viele Unternehmen versuchen aktuell noch, NIS2 mit Excel-Listen, Dokumentenablagen und isolierten Tools abzubilden. Das grundlegende Problem dabei:

Kernproblem

Cyber-Resilienz ist **dynamisch**. Risiken verändern sich laufend. Lieferanten wechseln. Schwachstellen entstehen täglich neu. Meldepflichten erfordern Geschwindigkeit und Transparenz – beides kann eine statische Dokumentation nicht leisten.

Unternehmen benötigen [integrierte Governance-, Risk- und Compliance-Strukturen](https://swissgrc.com/loesungen/), die alles zentral zusammenführen. Nur so lassen sich:

- Risiken laufend priorisieren und steuern
- Massnahmen wirksam umsetzen und nachverfolgen
- Nachweise jederzeit und vollständig erbringen
- Vorfälle effizient und fristgerecht managen
- Regulatorische Anforderungen dauerhaft erfüllen

## NIS2 verändert die Perspektive auf Cybersecurity

Der vielleicht wichtigste Punkt wird in vielen Diskussionen übersehen: **NIS2 ist keine reine regulatorische Belastung.** Die Richtlinie zwingt Unternehmen dazu, sich strukturiert mit ihrer digitalen Widerstandsfähigkeit auseinanderzusetzen – genau darin liegt langfristig der strategische Vorteil.

Unternehmen mit hoher Cyber-Resilienz profitieren von:

- Stabileren Betriebsprozessen
- Geringeren Ausfallrisiken
- Höherem Vertrauen bei Kunden
- Besserer Versicherbarkeit
- Stärkerer Wettbewerbsfähigkeit
- Höherer regulatorischer Sicherheit

Laut einer aktuellen Analyse der [ENISA Threat Landscape 2024](https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024) nehmen Häufigkeit und Komplexität von Cyberangriffen auf europäische Unternehmen weiter zu. Cybersecurity wird damit zunehmend zu einem Faktor für Unternehmenswert und Zukunftsfähigkeit.

---

## Jetzt ist der richtige Zeitpunkt zum Handeln

Viele Unternehmen warten noch auf vollständige Klarheit bei nationalen Umsetzungen oder konkreten Behördenvorgaben. Das ist riskant: Die Bedrohungslage entwickelt sich schneller als regulatorische Prozesse – und die Erwartungen von Kunden, Partnern, Versicherern und Aufsichtsbehörden steigen kontinuierlich.

Unternehmen sollten deshalb nicht erst auf regulatorischen Druck reagieren, sondern frühzeitig handeln. Laut unserem Beitrag [„Nach der NIS2-Deadline"](https://swissgrc.com/nach-der-nis2-deadline-zwei-drittel-aller-pflichtigen-im-verzug-was-jetzt/) befinden sich zwei Drittel aller Pflichtigen noch im Rückstand. Ein erster Schritt kann der [NIS2 Readiness Check](https://nis2compliant.app) sein – oder direkt ein [Discovery Call](https://swissgrc.com/discoverycall/) mit unseren Experten:

1. Betroffenheit analysieren – direkt oder indirekt reguliert?
2. Governance-Strukturen definieren – wer trägt intern die Verantwortung?
3. Risiken systematisch bewerten – wo sind die grössten Lücken?
4. Prozesse etablieren – Meldewege, Incident Response, BCM
5. Verantwortlichkeiten klären – bis auf Ebene der Geschäftsleitung
6. Resilienz strategisch verankern – als dauerhaftes Unternehmensziel

Denn am Ende geht es bei NIS2 nicht nur um Compliance. Es geht um die Fähigkeit eines Unternehmens, auch unter digitalen Angriffen handlungsfähig zu bleiben.

## Häufige Fragen

### Ist NIS2 die DSGVO für Cybersecurity?

Nach Darstellung von Swiss GRC greift dieser Vergleich zu kurz. Die DSGVO setzt auf Dokumentation und Nachweise, NIS2 auf Wirksamkeit und Resilienz, also darauf, im Ernstfall handlungsfähig zu bleiben.

### Wer ist bei NIS2 für Cybersecurity verantwortlich?

Die Verantwortung liegt direkt bei der Geschäftsleitung und nicht mehr allein bei der IT-Abteilung. Sie muss Sicherheitsmassnahmen genehmigen, die Umsetzung überwachen und sich regelmässig über den Sicherheitsstatus informieren lassen.

### Sind auch Unternehmen betroffen, die nicht direkt unter NIS2 fallen?

Ja, indirekt. Kunden, Partner oder Auftraggeber verlangen höhere Sicherheitsstandards, und NIS2 fordert das Management von Lieferkettenrisiken. Die Wirkung reicht damit über den direkten Anwendungsbereich hinaus.

### Warum reichen Excel-Listen für NIS2 nicht aus?

Risiken, Lieferanten und Schwachstellen ändern sich laufend, und Meldepflichten erfordern Geschwindigkeit und Transparenz. Statische Dokumentation kann das laut Beitrag nicht leisten, deshalb braucht es integrierte GRC-Strukturen.

### Welche ersten Schritte empfiehlt Swiss GRC für die NIS2-Umsetzung?

Der Beitrag nennt sechs Schritte: Betroffenheit analysieren, Governance-Strukturen definieren, Risiken bewerten, Prozesse wie Meldewege, Incident Response und BCM etablieren, Verantwortlichkeiten klären und Resilienz strategisch verankern. Als Einstieg dienen der NIS2 Readiness Check oder ein Discovery Call.