NIS2 ist seit Ende 2025 geltendes Recht. Und die häufigste Reaktion in mittelständischen Unternehmen war: Tool kaufen, Dienstleister beauftragen, Hake

NIS2 ist seit Ende 2025 geltendes Recht. Und die häufigste Reaktion in mittelständischen Unternehmen war: Tool kaufen, Dienstleister beauftragen, Haken dran. Das Problem dabei ist nicht die Investition. Das Problem ist die Annahme, dass Einkaufen dasselbe ist wie Vorbereitung. NIS2 verlangt keine Produktliste. Es verlangt nachweisbares, verhältnismäßiges und dokumentiertes Risikomanagement – technisch und organisatorisch. Eine Firewall ist kein Risikomanagement. Sie ist ein Werkzeug innerhalb eines Systems, das jemand aufgebaut, verantwortet und regelmäßig überprüft haben muss. Wer das Werkzeug kauft, aber das System nicht aufbaut, hat das Gesetz nicht erfüllt. Er hat eine Lücke dekoriert. Was in der Praxis fast immer fehlt, sind nicht die Tools. Es sind die Strukturen. Wer entscheidet im Unternehmen über Sicherheitsmaßnahmen, und wer haftet dafür? NIS2 macht die Geschäftsleitung persönlich verantwortlich – nicht die IT-Abteilung, nicht den externen Dienstleister. Verantwortung lässt sich delegieren. Haftung nicht. Dieser Unterschied landet erst dann richtig, wenn er vor einem Richter relevant wird. Dasselbe gilt für die Lieferkette. Die meisten Unternehmen betrachten ihre eigene Infrastruktur und übersehen, dass das Angriffsziel oft zwei Schritte davor sitzt – bei einem Zulieferer, einem Cloud-Anbieter, einem externen IT-Dienstleister. Wer diese Abhängigkeiten nicht systematisch bewertet, hat eine strukturelle Lücke, unabhängig davon, wie sauber das eigene Netzwerk aufgestellt ist. Und dann ist da noch das Thema Dokumentation. Was nicht dokumentiert ist, existiert für eine Prüfung schlicht nicht. Risikoanalysen, getroffene Maßnahmen, deren Wirksamkeit, Incident-Response-Protokolle – alles, was im Ernstfall oder bei einer Behördenanfrage nachgewiesen werden muss, muss vorher aufgeschrieben worden sein. Ein System, das funktioniert, aber nicht beweisbar ist, schützt im Zweifel nicht vor Konsequenzen. Das eigentliche Missverständnis hinter all dem ist, dass NIS2 ein Projekt wäre, das man abschließt. Es ist keines. Informationssicherheit ist ein Betriebszustand, kein Projektziel. Wer einmalig eine Risikoanalyse erstellt, Maßnahmen umsetzt und das Thema danach für erledigt hält, wird beim nächsten Audit oder beim nächsten Vorfall feststellen, dass sich die Welt weitergedreht hat – und die eigene Sicherheitsstruktur nicht. ISO/IEC 27001 bildet die meisten dieser Anforderungen strukturell ab und kann als solides Fundament dienen. Aber auch das ist kein Selbstzweck. Es hilft nur, wenn die Strukturen dahinter tatsächlich gelebt werden.