Von Markus Groß auf Mittwoch, 05. Juni 2024
Kategorie: IT

NIS2 verstehen: Die größten Stolpersteine

D

ie neue NIS2-Richtlinie gilt als Meilenstein in der europäischen Cybersicherheitsgesetzgebung. Sie weitet den Anwendungsbereich deutlich aus, erhöht die Anforderungen und sieht spürbare Sanktionen vor. Für viele Unternehmen ist NIS2 jedoch nicht nur eine regulatorische Vorgabe, sondern auch eine ernsthafte organisatorische und technische Herausforderung. Denn zwischen dem Verständnis der Richtlinie und ihrer praktischen Umsetzung liegen oft Welten. Viele starten motiviert, geraten aber auf halber Strecke ins Stocken – nicht aus bösem Willen, sondern weil die Stolpersteine dort liegen, wo man sie zunächst gar nicht vermutet.

Dieser Beitrag zeigt die häufigsten Fallstricke, erklärt, warum sie gefährlich sind, und beschreibt konkrete Gegenmaßnahmen. Ziel ist, NIS2 nicht nur als Pflicht zu betrachten, sondern als Chance, die eigene Cyber-Resilienz nachhaltig zu stärken – mit klaren Verantwortlichkeiten, gelebten Prozessen und belastbaren Nachweisen.

Stolperstein 1 – Falsche oder verspätete Betroffenheitsanalyse

Problem: Einer der ersten Fehler passiert oft schon am Anfang: Unternehmen prüfen zu spät oder zu oberflächlich, ob sie überhaupt unter NIS2 fallen. „Wir sind keine KRITIS – also betrifft uns NIS2 nicht“ war unter NIS1 häufig korrekt, unter NIS2 jedoch nicht mehr. Die Richtlinie erfasst deutlich mehr Branchen (u. a. Post-/Kurier, Abfallwirtschaft, Lebensmittelproduktion, digitale Infrastruktur, Managed Services) und definiert Größenkriterien (≥ 50 Mitarbeitende oder ≥ 10 Mio. € Umsatz). Zudem können kleinere Unternehmen betroffen sein, wenn sie Teil einer kritischen Lieferkette sind oder essenzielle Dienste erbringen.

Folge: Wer die Betroffenheit zu spät erkennt, verliert Monate – Zeit, die für Gap-Analyse, Prozessanpassungen, Vertragsänderungen und technische Maßnahmen benötigt wird.

So vermeidest du’s:

Stolperstein 2 – NIS2 auf reine IT-Sicherheit reduzieren

Problem: NIS2 wird als „IT-Projekt“ verstanden. Firewalls, EDR, MFA – ja. Aber Governance, Meldepflichten, Lieferkettensicherheit, Business Continuity, Schulungen, Management-Aufsicht? „Macht die IT schon mit.“

Folge: Organisatorische Pflichtfelder bleiben leer. Spätestens beim Audit zeigt sich: Es fehlen Rollen, RACI-Matrizen, Krisenhandbuch, behördliche Kontaktketten, Nachweise zur Wirksamkeit, geübte Meldeprozesse.

So vermeidest du’s:

Stolperstein 3 – Unterschätzung der Meldepflichten

Problem: Frühwarnung in 24 h, Zwischenbericht 72 h, Abschlussbericht in 1 Monat. Ohne klare Triage, Freigaben und Templates vergehen die ersten 24 Stunden mit Abstimmung.

Folge: Verspätete oder unvollständige Meldungen trotz begrenztem technischen Schaden → Bußgelder, Reputationsschäden, Mehrarbeit.

So vermeidest du’s:

Stolperstein 4 – Vernachlässigung der Lieferkettensicherheit

Problem: Fragebögen an Lieferanten – und gut. Keine vertraglichen Mindestanforderungen, keine Assurance-Rechte, keine Portabilität/Exit-Klauseln, keine Re-Checks bei Trigger-Ereignissen.

Folge: Drittparteien werden zum Einfallstor. Bei Vorfällen fehlen Auskunftsrechte, Meldeschwellen, Audit-Zugänge. Exit ist teuer oder technisch unmöglich.

So vermeidest du’s:

Stolperstein 5 – Unklare Verantwortlichkeiten im Krisenfall

Problem: Wer führt? Wer entscheidet? Wer meldet? Wer spricht nach außen? Wer stoppt Systeme? Wer priorisiert Wiederanlauf?

Folge: Zeitverlust, Doppelarbeit, widersprüchliche Kommunikation. Behördliche Meldungen unsauber, Kundeninformation spät oder fehlerhaft.

So vermeidest du’s:

Stolperstein 6 – Fehlende Sicherheitskultur

Problem: „Awareness“ als einmaliges E-Learning. Kein Feedback, keine Phishing-Simulationen, keine Führungskräfte-Trainings, keine Konsequenzen oder Anerkennung.

Folge: Phishing, Social Engineering, schwache Passwörter, Shadow IT. Technische Schutzmaßnahmen werden umgangen.

So vermeidest du’s:

Stolperstein 7 – Zu späte oder unstrukturierte Umsetzung

Problem: „Das machen wir im Quartal vor der Frist.“ Ergebnis: Hektik, Tool-Shopping ohne Prozess, unvollständige Nachweise, Frust in den Teams.

Folge: Paper-Compliance, die in der Praxis bröckelt. Prüfungen produzieren Findings, die teuer nachgebessert werden müssen.

So vermeidest du’s:

Stolperstein 8 – Papier statt Wirksamkeit (Paper-Compliance)

Problem: Policies, die keiner kennt; Prozesse, die nicht gelebt werden; Kontrollen ohne Evidenz.

Folge: Bei Prüfungen zählen Wirksamkeitsnachweise (Logs, Tickets, Reports, Protokolle). Ohne die ist „Policy-Fassade“ wertlos.

So vermeidest du’s:

Stolperstein 9 – Proportionalität falsch verstanden

Problem: „Wir sind klein, wir dürfen weglassen.“ Proportionalität heißt angemessen, nicht beliebig.

Folge: Kernkontrollen (MFA, Backups, Patch, Monitoring) fehlen – haftungsträchtig.

So vermeidest du’s:

Stolperstein 10 – Backups & Wiederanlauf (BCM/DR) als Stiefkinder

Problem: Backups existieren, aber Air-Gap fehlt, Wiederherstellungen sind nie geübt, RTO/RPO unbekannt.

Folge: Ransomware trifft – Wiederanlauf scheitert.

So vermeidest du’s:

Stolperstein 11 – Keine Übungen

Problem: Prozesse nur auf Papier.

Folge: Im Ernstfall Chaos.

So vermeidest du’s:

Stolperstein 12 – Schwachstellen- & Patch-Management mit Lücken

Problem: Scans unvollständig, Shadow-IT, OT-Bereiche außen vor, SLA-Verstoß „wegen Change-Freeze“.

Folge: Kritische CVEs bleiben offen.

So vermeidest du’s:

Stolperstein 13 – Multi-Cloud/SaaS-Blindheit

Problem: Logs, Identity, Konfigurationen in der Cloud nicht im Blick.

Folge: Angriffe bleiben unbemerkt, Verantwortlichkeiten unklar.

So vermeidest du’s:

Stolperstein 14 – Identitäten & Zugriffe (IAM) unterschätzt

Problem: Privilegierte Konten ohne MFA, ausufernde Rechte, inaktive User, fehlende Rezertifizierung.

Folge: Kompromittierte Konten werden zum „Schlüsselbund“ des Angreifers.

So vermeidest du’s:

Stolperstein 15 – Datenklassifizierung, Protokollierung, Aufbewahrung

Problem: Unklar, wo sensible Daten liegen; Logging unzureichend; Aufbewahrungsfristen nicht definiert.

Folge: Forensik scheitert, Meldepflichten unsicher.

So vermeidest du’s:

Stolperstein 16 – Physische Sicherheit & OT (Industrie/Versorger)

Problem: Zutritt, Segmentierung, Fernwartung, Patching in OT-Netzen vernachlässigt.

Folge: Produktionsausfälle, Safety-Risiken.

So vermeidest du’s:

Stolperstein 17 – Keine klare Priorisierung und Budgetierung

Problem: Alles ist wichtig – nichts wird fertig.

Folge: Kritische Lücken bleiben.

So vermeidest du’s:

Stolperstein 18 – Fehlende Management-KPIs

Problem: Berichte ohne Aussage.

Folge: Keine Entscheidungen, keine Steuerung.

So vermeidest du’s:

Stolperstein 19 – Juristische Vertragsbausteine fehlen

Problem: Altverträge ohne Sicherheitsklauseln; keine Audit-Rechte; kein Incident-Meldekorridor; keine Exit-Regelungen.

Folge: Durchsetzungslücken im Ernstfall.

So vermeidest du’s:

Stolperstein 20 – Change- und M&A-Blindheit

Problem: Neue Produkte, M&A, Re-Org – Sicherheitsanforderungen vergessen.

Folge: Neue Angriffsflächen ohne Schutz.

So vermeidest du’s:

Quick-Check: 15 Fragen, die du heute beantworten solltest

  1. Gibt es eine dokumentierte Betroffenheitsanalyse inkl. Töchter/Standorte?
  2. Liegt eine Gap-Analyse mit priorisiertem Maßnahmenplan vor?
  3. Sind Meldeprozesse mit Triage, Templates, Kontakten geübt?
  4. Existiert ein Incident-/Krisenhandbuch mit klaren Rollen/Stellvertretungen?
  5. Sind Backups 3-2-1, Restore-Tests protokolliert, RTO/RPO je Service definiert?
  6. Welche KPIs sieht das Management quartalsweise?
  7. Ist MFA für privilegierte Konten vollständig implementiert?
  8. Werden kritische Patches fristgerecht ausgerollt (SLA, Ausnahmen, Notfall-Change)?
  9. Gibt es ein Auslagerungsregister mit Kritikalität, Nachweisen, Re-Assurance-Plan?
  10. Wurden Cloud/SaaS in Monitoring und Policies integriert?
  11. Sind IAM-Prozesse (Joiner/Mover/Leaver, Rezertifizierung, PAM) etabliert?
  12. Liegen Data- und Logging-Vorgaben inkl. Retention vor?
  13. Fand im letzten Jahr mindestens eine Übung mit Management statt?
  14. Gibt es Vertragsmuster mit Security-, Audit-, Exit-Klauseln?
  15. Ist die Budget- und Priorisierung dokumentiert (Decision Log)?

Reifegradmodell (kurz & pragmatisch)

Ziel: In 6–12 Monaten von Bronze → Silber, danach selektiv Gold für kritische Services.

90/180/365-Tage-Fahrplan

0–90 Tage

90–180 Tage

180–365 Tage

KPI-/KRI-Katalog für Vorstände

Jede rote Kennzahl braucht eine Entscheidung (Maßnahme, Owner, Frist).

Artefakte, die tragen: Mini-Vorlagen

RACI (Auszug) – Incident Response

Meldetemplate 24 h (Kurzlage)

Lieferantenklausel (Essenz)

Praxisbeispiele

Logistik (mittelständisch): Betroffenheit erst Sommer 2024 erkannt; keine Lieferantenklauseln, kein Meldewesen. IT-Ausfall Jan 2025 → verspätete Meldung, fünfstelliges Bußgeld, Krisenberaterkosten. Heute: Steering Committee, Lieferantenregister, Meldeübungen – Vorfälle werden innerhalb von 12 h triagiert und fristgerecht gemeldet.

Versorger (regional): Hohes Technik-Niveau, aber schwaches BCM. Ransomware-Vorfall; Backups vorhanden, Restore ungeübt → drei Tage Ausfall. Nach Lessons Learned: Immutable-Backups, quartalsweise Restore-Tests, verbesserte RTO/RPO erreicht.

SaaS-Anbieter (B2B): Cloud-Konfigurationen unharmonisiert. Nach Cloud-Baseline, zentralem Logging und Condition-Based Access sanken Sicherheitsvorfälle messbar; Audit ohne wesentliche Findings.

Auditfragen, die häufig kommen

Wer hier Evidenzen liefert, besteht nicht nur die Prüfung – er zeigt gelebte Resilienz.

Fazit – Stolpersteine kennen heißt sie vermeiden

NIS2 ist komplex, aber beherrschbar. Die größten Risiken entstehen selten durch eine einzelne technische Anforderung, sondern durch organisatorische Versäumnisse, fehlende Priorisierung und unklare Verantwortlichkeiten. Wer Betroffenheit früh klärt, Governance ernst nimmt, Melde- und Lieferkettenprozesse etabliert, Backups/BCM real testet, KPIs ins Management hebt und Übungen durchführt, verwandelt NIS2 von einer „Compliance-Last“ in einen Wettbewerbsvorteil.

Der Schlüssel liegt in Routine und Nachweisbarkeit: klare Rollen, geübte Playbooks, belastbare Evidenzen und dokumentierte Entscheidungen. So werden aus Stolpersteinen sichere Trittsteine – hin zu dauerhafter Compliance und echter Cyber-Resilienz.

Verwandte Beiträge