Papier-Compliance schützt nicht vor Cyberangriffen Cybersecurity entsteht durch Verhalten, nicht durch Vorschriften

Anbieter zum Thema

lawpilots GmbH

FTAPI Software GmbH

NIS2 hat den rechtlichen Rahmen für Cybersicherheit verschärft, aber viele Unternehmen verharren in Papier-Compliance. Prozesse sind do­ku­men­tiert, Tools beschafft, aber Phishing-Angriffe und Fehl­kon­fi­gu­ra­ti­o­nen gehören weiterhin zum Alltag. Echte Sicherheit entsteht erst, wenn Mitarbeitende unter realen Bedingungen sicherheitsgerecht handeln können.

Mit der Umsetzung von NIS2 hat sich der Stellenwert der Informationssicherheit deutlich verändert. Verantwortlichkeiten wurden klarer zugeordnet und Risiken systematischer erfasst. Informationssicherheit ist keine rein technische Aufgabe mehr, sondern eine zentrale Governance-Aufgabe auf Managementebene.

Die Geschäftsleitung muss die Umsetzung der internen Maßnahmen zum Cyber-Ri­si­ko­ma­na­ge­ment nun persönlich genehmigen, überwachen und dafür Verantwortung übernehmen. Zudem sind die Mitglieder des Führungsteams verpflichtet, regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse im Bereich der Cybersicherheit zu erwerben.

NIS2 schafft damit den rechtlichen Rahmen. Ob dieser im Alltag wirksam wird, entscheidet sich jedoch dort, wo Menschen unter Zeitdruck konkrete Entscheidungen treffen müssen.

Security-Insider Podcast – Folge 116

So ergänzt das KRITIS-Dachgesetz die NIS-2-Richtlinie

Technische Maßnahmen und die Gefahr der „Papier-Compliance“

Neben den rein organisatorischen Anforderungen verpflichtet NIS2 auch zu konkreten technischen Sicherheitsmaßnahmen. Dazu gehören unter anderem:

• Strenge Zugangskontrollmechanismen

• Flächendeckende Multi-Faktor-Authentifizierung

• Sichere Kommunikationsprotokolle

• Konsequente Netzwerksegmentierung

In vielen Organisationen entsteht durch das bloße Abarbeiten solcher Maßnahmenlisten ein trügerisches Gefühl von Sicherheit. Formale Compliance beschreibt lediglich, welche Maß­nah­men vorhanden sein müssen, nicht jedoch, wie sie wirksam im Arbeitsalltag umgesetzt werden.

Ein Compliance-System, das nur auf dem Papier existiert, ist jedoch kein wirksames System. Dokumentierte Prozesse sind notwendig, ersetzen aber keine gelebte Sicherheitskompetenz innerhalb einer Organisation.

Strukturierte Selbsteinschätzung als Einstieg in NIS2-Compliance

Checkliste bringt Struktur in die NIS2-Umsetzung

Der Faktor Mensch als strukturelles Risiko

Sicherheitsrelevante Vorfälle entstehen oft an den Schnittstellen zwischen Mensch und System. NIS2 versucht hier, die Widerstandsfähigkeit von Organisationen zu erhöhen, indem technische und organisatorische Risikomanagementpflichten kombiniert werden.

Fehler sind häufig kein individuelles Versagen. Häufig spiegeln sie strukturelle Probleme wider, etwa wenn Mitarbeitende zwischen Sicherheitsanforderungen, Effizienzdruck und knappen Zeitressourcen abwägen müssen.

Ob die Vorgaben der NIS2-Richtlinie tatsächlich wirken, entscheidet sich daher weniger in Richtlinien und Dokumentationen als im organisatorischen Alltag – dort, wo Verantwortlichkeiten wahrgenommen und Entscheidungen unter realen Bedingungen getroffen werden.

Awareness und Sicherheitskultur im Fokus

Der Mensch als größte Sicherheitslücke und stärkste Verteidigung

Cyberbedrohungen im Zeitalter künstlicher Intelligenz

Cyberbedrohungen verändern sich - insbesondere getrieben durch Künstliche Intelligenz (KI) - zunehmend schneller. Neue Angriffsmuster können automatisiert entwickelt, angepasst und skaliert werden.

Klassische Schulungskonzepte stoßen hier an ihre Grenzen. Inhalte können bereits nach wenigen Monaten an Aktualität verlieren. Sicherheitsstrategien sollten daher kontinuierlich angepasst werden, um den Anforderungen der NIS2-Richtlinie gerecht zu werden.

Relevant sind insbesondere die Meldepflicht für Sicherheitsvorfälle sowie die Pflicht zur Aufrechterhaltung eines angemessenen Sicherheitsniveaus. Die Geschäftsleitung muss diese Maßnahmen persönlich überwachen - ein bloßes „Abhaken“ von Schulungsmaßnahmen kann erhebliche Haftungsrisiken begründen.

Wirksame Sicherheitskultur entsteht daher nur dann, wenn Lernprozesse reale Szenarien und aktuelle Bedrohungslagen widerspiegeln.

BSI appelliert an Chefetage

In 8 Schritten zum Security-Awareness-Programm

Grenzen klassischer Security-Awareness-Programme

Viele Security-Awareness-Programme konzentrieren sich primär auf Wissensvermittlung. Sie erklären Bedrohungsszenarien, definieren Regeln und testen Verständnis. Diese Maßnahmen sind notwendig, reichen jedoch allein nicht aus, um sicheres Verhalten im Arbeitsalltag zu gewährleisten.

Sicherheitskritische Situationen entstehen selten unter idealen Lernbedingungen. Sie treten vielmehr unter Zeitdruck, mit unvollständigen Informationen und in Situationen auf, die von bekannten Schulungsbeispielen abweichen.

In solchen Momenten geht es nicht darum, irgendeine Entscheidung zu treffen, sondern eine angemessene und sicherheitsgerechte Entscheidung zu treffen.

Security-Insider Podcast – Folge 112

NIS 2 braucht im Mittelstand pragmatische Ansätze

Verantwortung auf dem Papier vs. Handeln im Alltag

Eine der gefährlichsten Fehlannahmen nach der NIS2-Umsetzung ist das Vertrauen darauf, dass Technik menschliche Fehler vollständig kompensieren kann. Da die Führungsebene die Umsetzung persönlich überwachen muss, reicht das Delegieren an die IT-Abteilung nicht mehr aus. Informationssicherheit wird damit zu einer zentralen Führungsaufgabe und ist eng mit der persönlichen Verantwortlichkeit der Unternehmensleitung verbunden.

Wirksam wird NIS2 letztlich dort, wo Mitarbeitende befähigt werden, unter realistischen Bedingungen sicherheitsgerecht zu handeln. Organisationen müssen daher lernen, Informationssicherheit nicht nur zu dokumentieren, sondern als kontinuierlichen organisationalen Prozess zu verstehen.

Erst im täglichen Umgang mit Risiken, Entscheidungen und Unsicherheiten zeigt sich, ob regulatorische Anforderungen tatsächlich zu mehr Resilienz führen.

Über den Autor: Dr. Jan Scharfenberg ist Rechtsanwalt und Experte für Informations­sicher­heits­recht bei lawpilots, einem Anbieter für Lernkonzepte im Bereich Compliance und Cy­ber­security. Seine Schwerpunkte liegen in der Unterstützung des Aufbaus von Informations­sicher­heits­manage­ment­sys­temen, insbesondere im Rahmen der Compliance mit relevanten Re­gu­lie­rung­en wie DORA, NIS2, BSI-G, KRITIS-VO und Cyber Resilience Act.

NIS-2-Umsetzung in Deutschland mit Haftung und Meldepflicht im Fokus

NIS 2 in der Praxis zeigt die 6 typischen Fehler bei der Umsetzung

(ID:50829337)