Achtzig Prozent der mittelständischen Entscheider halten ihre IT-Sicherheit für organisatorisch verankert und dokumentiert. Das Bundesamt für Sicherhe

Achtzig Prozent der mittelständischen Entscheider halten ihre IT-Sicherheit für organisatorisch verankert und dokumentiert. Das Bundesamt für Sicherheit in der Informationstechnik kommt bei denselben Unternehmen auf durchschnittlich 56 Prozent erfüllter Basisanforderungen. Diese Lücke zwischen Selbstbild und Realität ist nicht das kleinste Problem im deutschen Mittelstand. Es ist das größte. Nicht weil Unternehmen böswillig falsch liegen. Sondern weil eine falsche Einschätzung der eigenen Sicherheitslage zu falschen Entscheidungen führt – über Investitionen, über Prioritäten, über die Frage, ob das Thema überhaupt auf die Führungsagenda gehört. Wer glaubt, gut aufgestellt zu sein, stellt keine unbequemen Fragen. Wer keine unbequemen Fragen stellt, findet keine unbequemen Antworten. Und wer keine unbequemen Antworten findet, wird von ihnen überrascht – meistens zum ungünstigsten Zeitpunkt. Das Muster dahinter ist vertraut: Technische Maßnahmen werden mit organisatorischer Sicherheit gleichgesetzt. Firewall vorhanden, Backup läuft, Virenschutz aktuell – also ist die Sicherheitslage in Ordnung. Was dabei fehlt, ist die Frage, was passiert, wenn trotzdem etwas eintritt. Wer entscheidet? Wer informiert wen, in welcher Reihenfolge, mit welchen Vollmachten? Wie lange dauert der Wiederanlauf kritischer Prozesse – nicht theoretisch, sondern im letzten Test? Und wann genau wird aus einem IT-Vorfall ein Liquiditätsproblem? Genau diese Fragen macht NIS2 zur persönlichen Verantwortung der Geschäftsleitung. Nicht der IT-Abteilung. Nicht des externen Dienstleisters. Der Geschäftsführung. Wer glaubt, diese Verantwortung durch eine ausgelagerte IT oder ein Sicherheitszertifikat delegiert zu haben, hat die Richtung des Gesetzes nicht verstanden. Das Gefährliche an der Lücke zwischen Selbstbild und Realität ist nicht, dass sie existiert – Lücken gibt es immer. Das Gefährliche ist, dass man sie nicht sieht, solange nichts passiert. Und wenn etwas passiert, ist es für eine ruhige Aufarbeitung zu spät. Die Frage, die jede Führungskraft heute stellen sollte, ist nicht: Haben wir eine Firewall? Sie lautet: Würde ich mit meiner aktuellen Sicherheitsstruktur einer externen Prüfung standhalten – und bin ich sicher genug, das zu wollen?