NIS2 gehört nicht in die IT, sondern auf den Chefschreibtisch

Die Geschäftsführung hat NIS2 vor einem Jahr an den IT-Leiter übergeben, mit Budget und einem freundlichen Nicken. Seitdem gilt das Thema als erledigt, und genau darin liegt der Fehler.

Seit Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz, rund 30.000 Unternehmen fallen darunter. Das Gesetz richtet sich dabei auffallend klar nicht an die IT-Abteilung, sondern an die Geschäftsleitung. Sie muss die Maßnahmen zum Risikomanagement umsetzen und überwachen, sie muss sich regelmäßig schulen lassen, um Risiken selbst beurteilen zu können, und sie haftet nach den Regeln ihrer Rechtsform, wenn sie diese Pflichten schuldhaft verletzt und dem Unternehmen dadurch ein Schaden entsteht. Wer nicht unter das Gesetz fällt, kann sich entspannt zurücklehnen. Bis der erste Großkunde wissen möchte, wie es um die eigene Lieferkette steht.

Der Gesetzgeber hat damit nur aufgeschrieben, was in der Praxis ohnehin gilt. Cybersicherheit entscheidet sich nicht an der Firewall, sondern an Fragen, die nur die Geschäftsleitung beantworten kann: welche Abläufe so wichtig sind, dass ihr Ausfall das Unternehmen gefährdet, wie viel Risiko akzeptabel ist und wer im Vorfall entscheidet, ob der Betrieb heruntergefahren wird, wer die Kunden informiert und wer an die Behörden meldet. Keine dieser Entscheidungen lässt sich an einen Dienstleister abgeben.

Die IT kann vieles leisten. Sie kann Systeme härten, Zugänge absichern und Datensicherungen testen. Was sie nicht kann, ist festzulegen, welches Risiko das Unternehmen tragen will, und die Mittel freizugeben, um den Rest abzusichern. Ein IT-Leiter ohne diesen Rahmen setzt Maßnahmen nach bestem Wissen um und hofft, dass sie zum Geschäft passen. Beim ersten ernsthaften Vorfall zeigt sich dann, ob vorher jemand entschieden hat oder ob nur alle beschäftigt waren.

NIS2 ist deshalb kein Projekt, das man vergibt und irgendwann abnimmt. Es ist eine dauerhafte Führungsaufgabe mit klaren Zuständigkeiten, einem festen Berichtsweg zur Geschäftsleitung und Entscheidungen, die nachvollziehbar dokumentiert sind. Wer das ernst nimmt, gewinnt mehr als Rechtssicherheit. Er weiß, wo sein Unternehmen verwundbar ist, kann im Ernstfall ohne Zögern entscheiden und muss sich im nächsten Gespräch mit Bank, Versicherer oder Großkunde nicht hinter seinem IT-Dienstleister verstecken.

Bei null anfangen muss dafür kaum ein Unternehmen. Das meiste existiert bereits, es liegt nur verteilt in Köpfen, Ordnern und Verträgen. Krisenfest wird es in dem Moment, in dem die Geschäftsleitung es zusammenführt und sich die Ergebnisse regelmäßig vorlegen lässt, statt sie nur zu bezahlen.

Wenn Sie mehr zum Thema Unternehmer-Resilienz wissen möchten – kurze DM genügt.