EU-Cybersicherheitsrichtlinie NIS2: Diese 5 Irrtümer gilt es zu vermeiden

Anbieter zum Thema

Q.beyond AG

NTT DATA Deutschland SE

BE-terna GmbH

IGZ Ingenieurgesellschaft für logistische Informationssysteme mbH

Deutschland ist spät dran: Während andere Länder längst nachgeschärft haben, kommt die Umsetzung der NIS2-Richtlinie hier erst langsam voran. Viele der rund 30.000 betroffenen Unternehmen schieben das Thema zudem reflexartig in die IT. Dabei betrifft Sicherheit weit mehr als einzelne Abteilungen. Und das ist nur einer von fünf Irrtümern auf dem Weg zur NIS2-Compliance.

Noch ist die Umsetzung der NIS2 in nationales Recht in Deutschland nicht erfolgt. Doch Unternehmen sollten sich frühzeitig Gedanken rund um die Erreichung der NIS2-Compliance machen. Schließlich gilt: Unmittelbar nach Verkündung des Gesetzes wird dieses auch in Kraft treten. Verantwortliche sollten dies als Chance sehen. Eine Umfrage von über 500 IT-Experten und -Verantwortlichen aus Deutschland, Belgien, Frankreich, den Niederlanden und dem Vereinigten Königreich hat im vergangenen Jahr gezeigt, dass gut 90 Prozent der Sicherheitsvorfälle durch umgesetzte NIS2-Richtlinien hätten verhindert werden können.

5 weitverbreitete Irrtümer 

Dennoch fehlt der Tatendrang. Auch, weil das Bewusstsein für die EU-Richtlinie noch nicht flächendeckend vorhanden ist. So hat eine repräsentative Umfrage des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des TÜV-Verbands ergeben, dass gut die Hälfte der Befragten die NIS2-Richtlinie überhaupt nicht kennen.  Auch in den Industrieunternehmen hakt es. Ist das Wissen hingegen vorhanden, folgt die nächste Herausforderung. Denn fünf weitverbreitete Irrtümer wollen zuerst aus dem Weg geschafft werden. 

Irrtum 1: NIS2 betrifft nur Unternehmen im KRITIS-Bereich

Lange Zeit konnte diese Aussage nicht in die Kategorie „Irrtum“ eingeordnet werden. In der ersten NIS-Richtlinie lag der Fokus tatsächlich auf Betrieben kritischer Infrastruktur (KRITIS). Diese mussten striktere Sicherheitsmaßnahmen umsetzen und sich regelmäßig auditieren lassen. Doch die EU hat erkannt, dass digitale Abhängigkeiten und Cyber-Gefahren weit über diese KRITIS-Infrastrukturen hinausgehen. Mit der neuen Richtlinie (EU 2022/2555) stehen daher auch Industrie, Produktion, Logistik, Softwareanbieter und viele mehr in der Pflicht, ihre IT noch sicherer aufzustellen. Statt der ursprünglich etwa 2.000 Unternehmen fallen mit der Umsetzung in deutsches Recht nun rund 30.000 Organisationen in den Geltungsbereich von NIS2.Verpasst es die Industrie, die Regelungen im Tagesgeschäft umzusetzen, kann das Reputationsschäden nach sich ziehen. Immerhin wollen Kunden und Partner Aufträge gesichert wissen und könnten künftig eher auf Unternehmen vertrauen, die Sicherheitsgefahren durch NIS2-Compliance frühzeitig erkennen und umgehen.  

Irrtum 2: NIS2 ist ein reines Thema für die IT

NIS2 ist keine lästige Regulierung für Technikfreaks, sondern ein Weckruf an die gesamte Organisation. Security betrifft Einkauf, HR, Produktion und das Top-Management gleichermaßen. Lieferketten müssen abgesichert, Mitarbeitende kontinuierlich geschult und Produktionssysteme widerstandsfähig aufgestellt werden. Selbst Vorstände können sich künftig nicht mehr wegducken: Sie tragen persönliche Verantwortung. Mit anderen Worten: NIS2 ist ein Querschnittsthema. Compliance ist nur die Pflicht, Resilienz die Kür.Dies erreichen Unternehmen nur, wenn sie sich weg von einem rein technischen Ansatz bewegen. NIS2 verlangt ein vollständiges Informationssicherheitsmanagement (ISMS), das organisatorische, rechtliche und operative Prozesse verbindet. Das Business selbst mit all seinen Prozessen und Zielen steht hier im Mittelpunkt. Dafür bieten sich Workshops gemeinsam mit externen Security-Spezialisten wie q.beyond an, die ebenso die Branche kennen. Sobald hierüber Klarheit besteht, lässt sich ein maßgeschneidertes ISMS aufbauen. Die Verantwortung liegt bei der Geschäftsführung, die Sicherheitsstrategien aktiv zu steuern. Denn nur, wenn technische, organisatorische und menschliche Faktoren zusammenspielen, entsteht echte Abwehrkraft.

Irrtum 3: Eine Technologie eingesetzt und die EU-Richtlinie ist erfüllt

Technologie gilt in vielen Bereichen als der goldene Gral. Doch NIS2-Compliance lässt sich nicht einfach „installieren“. Firewalls, Endpoint-Protection oder Zero-Trust-Modelle sind zwar wertvolle Bausteine, aber ohne Prozesse, Verantwortlichkeiten und Nachweise bleibt das Sicherheitsniveau lückenhaft. Notwendig ist somit ein integriertes Security-Konzept.  Die Richtlinie fordert kein einzelnes Produkt, sondern Verknüpfung und Nachweisbarkeit: Systeme müssen miteinander sprechen, Sicherheitschecks automatisiert ablaufen und Risiken dokumentiert werden.Transparente Nachweise durch eine Software Bill of Materials, kurz SBOM, Secrets-Management und Policy-Versionierung müssen gelebte Praxis werden. Unternehmen, die über reine Tools hinausgehen und Sicherheitsmechanismen in ihre Workflows einbetten, erfüllen nicht nur NIS2-Anforderungen, sondern gewinnen echte Resilienz und Effizienz.

Irrtum 4: NIS2-Verstöße deckt die Cyber-Security-Versicherung ab

Das Missverständnis, dass NIS2-Verstöße durch eine Cyber-Security-Versicherung getragen werden, kann sich mitunter zur Gefahr entwickeln – vor allem finanziell gesehen. Versicherungen leisten nur, wenn angemessene Schutzmaßnahmen nachweislich vorhanden sind. Wer NIS2-Anforderungen ignoriert oder Sicherheitslücken nicht dokumentiert, riskiert im Schadensfall unter anderem Leistungsausschlüsse durch die Versicherung.Hinzu kommen hohe Bußgelder: Die Richtlinie sieht empfindliche Strafen vor – bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes. Cyber-Versicherungen sind damit ein Teil der Risikostrategie, aber kein Ersatz für Compliance und Prävention.

Irrtum 5: NIS2-Compliance lässt sich einfach auslagern

Natürlich können externe Partner bei der Erfüllung von NIS2 unterstützen – etwa beim Betrieb eines Cyber Defense Centers (CDC), falls interne Ressourcen für die Schutzmaßnahmen fehlen, bei Audits, um Nachweise richtlinienkonform zu führen, oder bei Awareness-Trainings, um das Thema in der Unternehmenskultur zu verankern. Doch die Verantwortung bleibt beim Unternehmen selbst.NIS2 fordert explizit, dass die Geschäftsführung angemessene Maßnahmen veranlasst und überwacht. Auch ausgelagerte Prozesse müssen sie kontrollieren, dokumentieren und vertraglich regeln – einschließlich klarer KPIs und Berichtspflichten. Verantwortung ist somit nicht delegierbar.

Fazit: Von der Pflicht zur Chance

NIS2 ist keine bürokratische Hürde, sondern die Mission, Cyber-Resilienz als strategisches Ziel im Betrieb zu verankern. Industrieunternehmen, die heute Strukturen schaffen, profitieren doppelt: Sie reduzieren Risiken und gewinnen Vertrauen bei Kunden, Partnern und Investoren. Sind die Hürden auf dem Weg hin zur NIS2-Compliance bekannt, können Verantwortliche schneller und ohne zeit- und kostenintensive Umwege ans Ziel gelangen.

Ralph Huenten ist Head of Security bei der q.beyond AG. In ähnlichen Positionen sammelt er seit 20 Jahren Expertise und Erfahrung mit zielgerichteten Cyber-Security-Strategien und innovative Sicherheitslösungen.