Cybersicherheit / NIS2

Ende 2025 war dann doch noch so weit: mit über einem Jahr Verspätung trat das deutsche Umsetzungsgesetz für die NIS2-Richtlinie der EU Anfang Dezember 2025 in Kraft. NIS2 steht für “Network and Information Security 2”. Die zweite EU-Richtlinie zur Stärkung der Cybersicherheit in europäischen Unternehmen musste auch in Deutschland in nationales Recht verwandelt werden und das war ein langwieriges Unterfangen.

Einheitliche EU Mindeststandards

Die Richtlinie schafft einheitliche Mindeststandards für Risikomanagement und Cybersicherheit. Unternehmen, deren Tätigkeit als kritisch für das Funktionieren der Wirtschaft und der Verwaltung angesehen wird, sind ab sofort gehalten diese umzusetzen, sofern sie in den Anwendungsbereich fallen. Das auf der Richtlinie basierende deutsche Gesetz („Gesetz über das Bundesamt für die Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen“ – BSIG -) fällt in eine Zeit, in der Unternehmen und auch öffentliche Stellen so sehr digitalen Bedrohungen ausgesetzt sind wie kaum je zuvor.

 Regulierung? Ach nö …

Die Reaktion meiner Auftraggeber oder sonstigen Gesprächspartnern ist oftmals ein genervtes Augenrollen, wenn die Sprache auf EU-Gesetzgebung, Regulierung von Digitalisierung und Anforderungen an Informationssicherheit kommt. Ich halte das für einen großen Fehler. Die Sicherheit von IT-Infrastruktur ist anders als vielfach angenommen nie nur die Implementierung von technischen Maßnahmen. Viele Fehler, die im Alltag von Unternehmen zu Cyberangriffen und den damit verbundenen teils katastrophalen Folgen führen, sind nicht auf eine mangelnde technische Ausstattung zurückzuführen. Entscheidend sind mangelhaft umgesetzte Konzepte, mangelhaft kontrollierte Prozesse, unklare Zuständigkeiten und vor allem auch die fehlende Priorisierung des Themas Sicherheit durch die Geschäftsführung.

Governance statt Zusatzfunktion

Das BSIG setzt genau an diesem Punkt an. Mit dem BSIG ist einerseits ein umfassender rechtlicher Rahmen für die Mindestanforderungen an Cybersicherheit in einem Unternehmen gesetzt. Hinzu kommt die klare Festlegung des Gesetzes der „Governance“ für den Bereich der Cybersicherheit. Der Begriff der „Governance“ bedeutet Steuerung und Führung und beschreibt die Vorgaben, auf deren Grundlage ein Unternehmen gesteuert, Prozesse kontrolliert und Entscheidungen trifft.

Das NIS2-Umsetzungsgesetz verlangt in der Konsequenz von Unternehmen, Cybersicherheit nicht als Zusatzfunktion zu betrachten, um die man sich vielleicht irgendwann mal kümmern muss, wenn gerade nichts anderes anliegt - sondern als fundamentale Voraussetzung ihrer Tätigkeit.

Dieser Anspruch wird durch eine Reihe von Sanktionen und Befugnissen der Aufsichtsbehörde untermauert. Das Bundesamt für die Sicherheit in der Informationstechnik (BSI) übernimmt in Deutschland die Rolle der Aufsichtsbehörde.

Übergreifender Nutzen

Der Prozess und die Ergebnisse einer guten Governance im Bereich der Informationssicherheit kommen nicht nur der Erfüllung der Pflichten nach NIS2 zugute. Sie können auch für das Datenschutzmanagement, für den Nachweis von guten Sicherheitsstandards gegenüber Auftraggebern und im Rahmen von Zertifizierungen (z.B. nach ISO27001) genutzt werden.

Ob das neue BSIG tatsächlich eine Verbesserung der Informationssicherheit in deutschen und europäischen Unternehmen bewirken wird, bleibt abzuwarten. Entscheidend wird dabei auch sein, ob die Umsetzung staatlicherseits dann auch kontrolliert und durchgesetzt wird. Die besten Gesetze nützen nichts, wenn nicht die Einhaltung im Zweifel erzwungen wird.

 Sie brauchen Unterstützung bei der Umsetzung des BSIG oder wollen allgemein Ihre Informationssicherheit verbessern? Nehmen Sie gerne Kontakt (S'ouvre dans une nouvelle fenêtre) mit uns auf und wir finden gemeinsam heraus, wie wir Sie am besten unterstützen können.