EN
Wer heute über NIS2 spricht, hört oft denselben Vergleich: „Das wird die DSGVO für Cybersecurity.“ Der Vergleich klingt logisch – greift aber zu kurz und führt viele Unternehmen in die falsche Richtung.
Denn die NIS2-Richtlinie der EU ist keine reine Compliance-Regulierung. Sie verändert grundlegend, wie Unternehmen mit digitalen Risiken umgehen müssen. Es geht nicht primär um Dokumentation, sondern um Widerstandsfähigkeit, operative Stabilität und Verantwortung auf Managementebene.
Viele Organisationen unterschätzen genau diesen Unterschied – und riskieren damit nicht nur regulatorische Konsequenzen, sondern operative Ausfälle, Reputationsschäden und wirtschaftliche Risiken. Wie sich dieser Wandel konkret auf die tägliche GRC-Arbeit auswirkt, zeigt unser Beitrag „Als GRC aufhörte, periodisch zu sein".
Warum der DSGVO-Vergleich problematisch ist
Die DSGVO hat in vielen Unternehmen ein bewährtes Vorgehen etabliert – und dieses Playbook sitzt tief:
| Kriterium | DSGVO-Ansatz | NIS2-Anforderung |
|---|---|---|
| Fokus | Dokumentation & Nachweise | Wirksamkeit & Resilienz |
| Ziel | Audit bestehen | Im Ernstfall handlungsfähig bleiben |
| Verantwortung | Datenschutzbeauftragter | Geschäftsleitung direkt |
| Charakter | Statische Dokumentation | Dynamisches Risikomanagement |
| Reaktion | Auf Anfragen reagieren | Vorfälle aktiv melden & managen |
NIS2 macht Cybersecurity zur Management-Aufgabe
Eine der grössten Veränderungen durch NIS2 betrifft die Geschäftsleitung. Cybersecurity wird nicht länger ausschliesslich als Aufgabe der IT-Abteilung betrachtet. Laut BSI-Vorgaben zur NIS2-Umsetzung müssen Geschäftsführungen Sicherheitsmassnahmen genehmigen, deren Umsetzung überwachen und sich regelmässig über den Sicherheitsstatus informieren lassen.
Das verändert die Governance-Strukturen vieler Unternehmen fundamental:
Cybersecurity entwickelt sich damit von einem technischen Thema zu einer Frage guter Unternehmensführung.
Der Mittelstand steht besonders unter Druck
Viele Unternehmen gehen noch immer davon aus, dass NIS2 ausschliesslich Betreiber kritischer Infrastrukturen betrifft. Die Realität sieht anders aus:
Quelle: ENISA – NIS2 Overview
Darunter befinden sich Unternehmen aus folgenden Sektoren:
Das eigentliche Problem: Fehlende Transparenz
In vielen Organisationen sind IT-Strukturen historisch gewachsen. Cloud-Lösungen, externe Dienstleister, hybride Arbeitsmodelle und komplexe Systemlandschaften schaffen neue Abhängigkeiten. Gleichzeitig fehlt häufig ein vollständiger Überblick:
- Welche Systeme sind geschäftskritisch?
- Wo liegen die grössten Risiken und Schwachstellen?
- Wer trägt wofür Verantwortung?
- Welche Drittparteien haben Zugang zu sensiblen Daten?
- Was passiert im Notfall – und wer führt das Playbook?
Die Richtlinie verlangt konkret: strukturiertes Risikomanagement, Meldeprozesse, Incident Response, Business Continuity und die Berücksichtigung von Lieferkettenrisiken. Das BSI stellt dazu konkrete Umsetzungshilfen bereit.
Warum Excel und Insellösungen nicht ausreichen
Viele Unternehmen versuchen aktuell noch, NIS2 mit Excel-Listen, Dokumentenablagen und isolierten Tools abzubilden. Das grundlegende Problem dabei:
Unternehmen benötigen integrierte Governance-, Risk- und Compliance-Strukturen, die alles zentral zusammenführen. Nur so lassen sich:
- Risiken laufend priorisieren und steuern
- Massnahmen wirksam umsetzen und nachverfolgen
- Nachweise jederzeit und vollständig erbringen
- Vorfälle effizient und fristgerecht managen
- Regulatorische Anforderungen dauerhaft erfüllen
NIS2 verändert die Perspektive auf Cybersecurity
Der vielleicht wichtigste Punkt wird in vielen Diskussionen übersehen: NIS2 ist keine reine regulatorische Belastung. Die Richtlinie zwingt Unternehmen dazu, sich strukturiert mit ihrer digitalen Widerstandsfähigkeit auseinanderzusetzen – genau darin liegt langfristig der strategische Vorteil.
Unternehmen mit hoher Cyber-Resilienz profitieren von:
- Stabileren Betriebsprozessen
- Geringeren Ausfallrisiken
- Höherem Vertrauen bei Kunden
- Besserer Versicherbarkeit
- Stärkerer Wettbewerbsfähigkeit
- Höherer regulatorischer Sicherheit
Laut einer aktuellen Analyse der ENISA Threat Landscape 2024 nehmen Häufigkeit und Komplexität von Cyberangriffen auf europäische Unternehmen weiter zu. Cybersecurity wird damit zunehmend zu einem Faktor für Unternehmenswert und Zukunftsfähigkeit.
Jetzt ist der richtige Zeitpunkt zum Handeln
Viele Unternehmen warten noch auf vollständige Klarheit bei nationalen Umsetzungen oder konkreten Behördenvorgaben. Das ist riskant: Die Bedrohungslage entwickelt sich schneller als regulatorische Prozesse – und die Erwartungen von Kunden, Partnern, Versicherern und Aufsichtsbehörden steigen kontinuierlich.
Unternehmen sollten deshalb nicht erst auf regulatorischen Druck reagieren, sondern frühzeitig handeln. Laut unserem Beitrag „Nach der NIS2-Deadline" befinden sich zwei Drittel aller Pflichtigen noch im Rückstand. Ein erster Schritt kann der NIS2 Readiness Check sein – oder direkt ein Discovery Call mit unseren Experten:
- Betroffenheit analysieren – direkt oder indirekt reguliert?
- Governance-Strukturen definieren – wer trägt intern die Verantwortung?
- Risiken systematisch bewerten – wo sind die grössten Lücken?
- Prozesse etablieren – Meldewege, Incident Response, BCM
- Verantwortlichkeiten klären – bis auf Ebene der Geschäftsleitung
- Resilienz strategisch verankern – als dauerhaftes Unternehmensziel
