D ie Zeiten, in denen IT-Sicherheit als rein technisches Thema in einem abgegrenzten Bereich „passierte“, sind vorbei. Mit NIS2 ist Cybersicherheit keine Frage von Tools und Firewalls mehr, sondern eine Frage der Führung: Prioritäten setzen, Risiken akzeptieren oder vermeiden, Budgets lenken, Lieferketten führen, Meldeketten beherrschen, Beweise liefern. NIS2 rückt damit eine unbequeme Wahrheit in den Mittelpunkt: Sicherheit ist Governance. Und Governance ist Chefsache. Wer Cybersicherheit weiterhin als Spezialdisziplin delegiert und im Jahresbericht mit ein paar Schlagworten abräumt, wird in der neuen Aufsichtswelt scheitern – nicht an einer fehlenden Lösung, sondern an der fehlenden Fähigkeit, wirksam zu steuern und nachweisbar zu handeln.

Dieser Beitrag zeigt, was „live“ unter NIS2 praktisch bedeutet: welche Pflichten wirken, wo Organisationen typischerweise stolpern, wie Verantwortlichkeiten aussehen, welche Metriken zählen, wie Lieferketten wirklich geführt werden, wie Incident-Management unter Zeitdruck funktioniert – und wie man das Thema aus der Ecke holt, ohne die gesamte Organisation zu lähmen. Kurz: Wie man Chefsache gestaltet.

Es beginnt oft mit einem Formular: zweihundert Fragen, die jeder Lieferant ausfüllen soll; Häkchen bei „ja/nein“, Freitextfelder für „bitte beschreiben“, angeheftet ein PDF mit Zertifikaten. Man schickt es an zehn, fünfzig, hundert Drittparteien – und spürt Erleichterung, wenn die Antwort im Posteingang landet. Doch die Erleichterung ist trügerisch. Spätestens beim ersten Lieferkettenvorfall zeigt sich: Fragebögen sind keine Feuerlöschanlage. Third-Party Risk Management (TPRM), das vor allem aus Kontrolle, Formalitäten und verspäteter Dokumentation besteht, liefert die Illusion von Sicherheit – aber nicht die Fähigkeit, Risiken zu verhindern, zu erkennen und gemeinsam zu bewältigen.

2026 markiert in vielen Häusern einen Wendepunkt. Die Schlagzahl von NIS2-Pflichten, DORA-Anforderungen, Branchennormen, Audit-Nachweisen, SBOM-Erwartungen und KI-Integrationen hat TPRM aus der Compliance-Ecke geholt und in die operative Führung geschoben. Aus „kontrollieren“ wird „kooperieren“. Aus „prüfen“ wird „prüfen und beweisen“. Aus „Dienstleister“ wird „Mitgestalter“. Diese Verlagerung ist kein weicher Kulturwunsch, sondern harte Ökonomie: Nur wer Lieferanten zur Partnerschaft befähigt, erhält die Geschwindigkeit, Transparenz und Resilienz, die moderne Geschäftsmodelle benötigen.

Sicherheit riecht nach Serverraum, nach kalter Luft und blau blinkenden LEDs. Sicherheit klingt nach Alarmen, Logfiles, SIEM-Dashboards und Patches. Und Sicherheit sieht aus wie ein Login-Bildschirm, der nach Multi-Factor fragt. Das alles ist richtig – und doch gefährlich unvollständig. Denn die meisten Vorfälle beginnen nicht am Bildschirm. Sie beginnen an Türen, Drehkreuzen, in Aufzügen, an Lieferzonen, in Abstellräumen, bei Paketannahmen, in Parkhäusern, auf Flughäfen, an Hotelrezeptionen – und in Koffern. Wer heute über Resilienz spricht, muss Sicherheit von außen nach innen denken: vom Gehweg bis zum Kernel, von Kabeln bis Koffern. Physische Sicherheit ist nicht das Nebenfach der Cyber-Disziplin, sondern ihre erste Grenze und ihr letzter Beweis. Sie entscheidet darüber, ob Ihre kryptographisch perfekte Welt der Zugangscodes und Zertifikate in der Wirklichkeit standhält – wenn jemand die Tür offenhält, den Patchschrank aufhebelt, den Koffer stiehlt oder die falsche Person mit Warnweste durchwinkt.

Der alte Perimeter – Zäune, Pförtner, Zutrittskarten – war für eine Welt gemacht, in der Menschen fünf Tage die Woche in ein Büro kamen, Akten in einem Archiv lagen, Server in einem Raum brummten. Diese Welt gibt es nicht mehr. Heute entstehen dynamische Perimeter: Co-Working-Flächen neben dem Stammhaus, Außenlager in Drittländern, Field-Service im Kundenwerk, Homeoffice in Mietwohnungen, Meetings im Flughafenhotel, Notebooks im Bordgepäck. Gebäude sind vernetzte Maschinen – mit Aufzugsteuerungen, Video-Management, Zutrittskontrolle, Heizung, Klima, Beleuchtung. Jedes System hat eine IP, ein Update-Fenster, Protokolle, Passwörter. Wer physische Sicherheit weiter als „Schloss und Riegel“ betrachtet, übersieht die Konvergenz: Gebäudetechnik, Menschen, Prozesse und IT sind heute ein einziges, zusammenhängendes System. Und genau so muss man es steuern.

K ontrolle ist gut, Vertrauen ist besser – oder doch umgekehrt? Lange hat sich das Risikomanagement in Unternehmen an dieser scheinbaren Gegensätzlichkeit abgearbeitet. Auf der einen Seite Reglementierung, Policies, Vier-Augen-Prinzip, Audits. Auf der anderen Seite Eigenverantwortung, Ermessen, Unternehmergeist. Zwischen beiden Polen wurde die Organisation gespannt wie eine Saite, mal straff zugedreht, mal locker gelassen. Das Ergebnis: zeitweise Ordnung, regelmäßig Reibung, selten Geschwindigkeit. Heute, in einer Wirtschaft, die von Software, Plattformen, globalen Lieferketten und datengetriebenen Entscheidungen geprägt ist, reicht dieses Schwarz-Weiß nicht mehr. Modernes Risikomanagement lebt von kontrollierbarem Vertrauen: Regeln, die Freiräume ermöglichen; Kennzahlen, die Entscheidungen beschleunigen; Evidenzen, die unsicherheitstauglich sind; Kultur, die meldet statt verschweigt. Dieser Beitrag erkundet, wie der Weg dorthin aussieht – jenseits von Schlagwörtern, mitten in der operativen Realität.

1) Von der Absicherung zur Befähigung: Wozu Risikomanagement heute da ist

Klassisch wird Risikomanagement als Schutzfunktion verstanden: Risiken identifizieren, bewerten, behandeln, überwachen. Richtig – aber unvollständig. Die strategische Pointe lautet: Risiko ist eine Ressource. Nur wer risiko­bewusst handelt, kann schnellere Märkte, neue Technologien und knappe Budgets in Wachstum übersetzen. Absicherung ohne Befähigung lähmt. Befähigung ohne Absicherung ist Glücksspiel. Das moderne Zielbild lautet daher: Risiko als Entscheidungshilfe. In der Praxis bedeutet das:

Es gibt Jahre, in denen Governance wie ein gepflegter Maschinenraum wirkt: saubere Schaltbilder, klare Zuständigkeiten, geölte Prozesse, Prüfzeichen am richtigen Ort. Und es gibt Jahre, in denen das gleiche Bild plötzlich alt aussieht. 2026 ist so ein Jahr. Die Architektur der Kontrolle – Regeln, Freigaben, Checklisten – bewährt sich weiterhin, aber sie reicht nicht mehr aus, um Organisationen durch eine Welt zu steuern, in der digitale Abhängigkeiten unübersichtlich, Lieferketten fragil, regulatorische Erwartungen dynamisch und Technologien wie KI, Cloud und vernetzte Produkte zum Taktgeber geworden sind. Der Satz „Kontrolle allein reicht nicht“ klingt wie eine Plattitüde. In Wahrheit markiert er einen Wendepunkt: Governance verschiebt sich von der Frage „Ist es freigegeben?“ zu „Hält es unter Last – und können wir das beweisen, während wir uns anpassen?“

Der Bruch mit der Kontrolllogik

Die Klassik der Governance wurde von zwei Grundgedanken getragen: Erstens lässt sich Risiko durch Regeln und Rollen beherrschen. Zweitens genügt es, die Einhaltung in Zyklen zu prüfen – Jahresabschluss, Auditplan, Projektgate. Das funktionierte, solange Veränderung langsam und Abhängigkeiten überschaubar waren. Heute kollidieren beide Annahmen mit der Praxis. Veränderungen passieren kontinuierlich (Feature-Rollouts, Infrastruktur-Drifts, Datenströme), und Abhängigkeiten ziehen systemische Effekte nach sich (ein Ausfall in der Lieferkette, ein Software-Bug, eine kompromittierte Identität). Kontrolle bleibt nötig – aber sie ist nicht mehr die Königsdisziplin. Die neue Frage lautet: Wie bleibt die Organisation handlungsfähig, obwohl Kontrolle versagen kann – und wie lernt sie schneller als die Welt sich ändert?