EU-weite Standards für NIS-2 fehlen noch Vom Versprechen zur Realität: Was NIS-2 kann und woran es noch fehlt

Anbieter zum Thema

DSwiss AG

Fsas Technologies GmbH

Impossible Cloud GmbH

NIS-2 zieht die Si­cher­heitsfrage in den Vorstandssaal, legt klare Fristen für Incident‑Meldungen fest und rückt das Lieferketten-Risikomanagement in den Fokus. Doch ohne gemeinsame EU‑Standards und einheitliche Schnittstellen drohen Verwirrung und Doppelarbeit. Was NIS-2 leistet – und wo dringend nachgelegt werden muss.

Als die EU‑Mitgliedstaaten NIS-2 verabschiedeten, versprach man sich davon eine neue Stufe von Cyber‑Resilienz: Mehr Verantwortlichkeit auf höchster Ebene, verbindliche Fristen für Meldungen schwerer Vorfälle und eine echte Integration der Lieferkette in die Si­cher­heits­stra­te­gie. In vielen Unternehmen ist NIS-2 tatsächlich auch zum Anlass geworden, Cybersi­cher­heit stärker stra­te­gisch zu denken. Doch der Weg zur echten Wirkung ist steinig.

Das große Versprechen und erste Erfolge

Eines der zentralen Elemente von NIS-2 besteht darin, dass Vorstände und Geschäftsführung bei der Überwachung der Cybersi­cher­heit nicht länger außen vor bleiben können. Die Verantwortlichkeit wird explizit: mit Schulungen, klaren Zuweisungen und Haftungsrisiken. Damit rückt Si­cher­heitsführung aus dem operativen Schatten in die stra­te­gische Agenda.

Ein weiteres Plus: Das Incident‑Reporting hat deutlich schärfere Züge bekommen. Die Richtlinie verlangt eine Frühwarnung innerhalb von 24 Stunden und eine Meldung des Vor­falls innerhalb von 72 Stunden. Anschließend ist innerhalb eines Monats ein Abschlussbericht (oder ein Fortschrittsbericht, falls der Vor­fall noch andauert) vorzulegen. In vielen Staaten war so etwas bislang unüblich oder kam nicht direkt zum Einsatz. Mit der Regelung werden alte Blindstellen sichtbarer.

Ebenfalls bedeutsam: Die Lieferkette wird nicht mehr als zweitrangige Aufgabe behandelt. Die Si­cher­heit der Lieferkette muss nachweislich über die gesamte Beschaffungs- und Drittanbieterabhängigkeit hinweg gesteuert werden – durch Auswahlkriterien, vertragliche Kontrollen und kontinuierliche Gewährleistung. Unternehmen erkennen zunehmend, dass sie ohne Kontrolle über Vor‑ und Nachlieferanten größere Risiken tragen.

Die operative Realität: Wo NIS-2 noch nachhinkt

So wichtig diese Fortschritte sind, so deutlich zeigen sich auch die Lücken. Die Umsetzung ist in den einzelnen Mitgliedstaaten nach wie vor unterschiedlich, insbesondere in Bezug auf die Ausweitung des Geltungsbereichs oder die Anwendung von Kritikalitätskriterien. Die Sektoren in Anhang I/II und die Kerngrößenbegrenzungsregel sind EU-weit harmonisiert, doch nationale Ergänzungen und Leitlinien führen zu praktischen Unterschieden. Laut dem Whitepaper der European Cyber Security Organisation (ECSO) geben viele Organisationen an, dass Anforderungen teils unklar sind, teils widersprüchlich zwischen Ländern.

Ein anderes Problem: fehlende gemeinsame Vorlagen und fehlende zentrale Meldeportale. Wo die Meldepflicht beginnt – und wie Meldungen aussehen sollen –, entscheidet jedes Land für sich. Unterschiedliche Formate, verschiedene Fristen, unterschiedliche Anforderungen an Reportings: Das erzeugt Reibung und Mehrarbeit für Firmen, die international tätig sind.

Außerdem ist die regulatorische Landschaft komplex. NIS-2 existiert nicht in Isolation, sondern in Kom­bi­na­ti­on mit GDPR, DORA und anderen Regularien. Ohne klare crosswalks oder abgestimmte Prozesse laufen Teams Gefahr, mehrere parallele Workflows statt eines kohärenten Ansatzes zu haben. Vieles wird formal erfüllt, aber nicht auf eine Art, mit der die Si­cher­heit messbar steigt.

Was nötig ist, damit NIS-2 echte Wirkung entfaltet

Damit NIS-2 nicht bloß Pflichtprogramm bleibt, sondern echte Cyber‑Resilienz schafft, sind ein paar Weiterentwicklungen nötig:

• Einheitliche Incident‑Taxonomie und EU‑weiter Meldungseintrittspunkt: ein verbindliches Schema, das klar definiert, was ein „signifikanter Vor­fall“ ist, und idealerweise ein EU‑­zentrales Reporting‑Portal oder zumindest interoperable Plattformen über Ländergrenzen hinweg. Damit werden Meldeprozesse vergleichbar und Meldedaten konsolidierbar.

• Supplier Assurance Baseline: ein minimaler, wiederverwendbarer Standard für Zulieferer, auf den sich Käufer verlassen können. Mit Kriterien für Auditierbarkeit, Transparenz und Verantwortung schon in der Lieferkette.

• Klare Schnittstellen zu GDPR, DORA und weitere: Wenn Si­cher­heits‑, Datenschutz‑ und Finanzaufsichtsanforderungen besser aufeinander abgestimmt sind, lassen sich Ar­beits­auf­wand und Redundanzen reduzieren. Ein einheitliches Playbook statt vieler kleiner Regelwerke ist nötig.

• Unterstützung für kleinere Unternehmen: Viele KMUs haben weder Budget noch Personal, um zusätzliche Si­cher­heitslasten effektiv zu stemmen. Förderprogramme, gemeinsame Vorlagen und ein abgestufter Ansatz könnten helfen.

Woran gemessen werden kann, ob NIS-2 Erfolg hat

Wie erkennen wir, ob NIS-2 echte Wirkung zeigt?

• Kürzere Mean Time To Detect (MTTD) und Mean Time To Recover (MTTR). Wenn Vorfälle schneller erkannt und schneller behoben werden, zeigt sich echte operative Verbesserung.

• Post‑Mortem‑Analysen mit Tiefe: Ursachen, nicht nur Symptome, sollten klar benannt werden. Lernprozesse und dokumentierte Anpassungen müssen Teil der Nachbereitung sein.

• Weniger Lücken bei Drittanbietern oder Lieferanten: Wenn der Supplier-Assurance-Standard greift, sollten Si­cher­heitslücken durch Vorlieferanten messbar sinken.

• Weniger nationale Divergenz bei Fristen und Formaten: Wenn Mitgliedstaaten ähnliche Fristen, Definitionsstandards und Meldeformate nutzen, wird erkennbar, dass Harmonisierung gelingt.

Praxis‑Tipps für Unternehmen, die nicht auf halbem Weg stehen bleiben wollen

Für Unternehmen, die nicht nur Pflichten erfüllen, sondern echten Mehrwert schaffen wollen, gibt es einige bewährte Strategien:

• Risiko‑ und Lieferketten‑Mapping: Erfassen Sie nicht nur direkte Zulieferer, sondern auch Subunternehmer, Drittparteien, kritische Codes oder Komponenten. Transparenz ist die Basis für Kontrolle.

• Incident‑Response‑Prozesse standardisieren: Verantwortlichkeiten klar benennen, Templates vorbereiten, interne Eskalationswege definieren und Übungen durchführen.

• Nutzung bestehender Standards und Leitlinien: beispielsweise ISO/IEC 27001, ENISA good practices, Branchenprofile, um NIS-2, DSGVO und DORA in einem integrierten Kontroll- und Berichtssatz zusammenzuführen.

• Vorstandseinbindung und Reporting auf C‑Level: Risiken und Vorfälle regelmäßig im Top‑Management platzieren und Si­cher­heit nicht als Technikthema, sondern als stra­te­gischen Aspekt darstellen.

• Kooperation suchen: Branchennetzwerke nutzen: beispielsweise CSIRTs, ENISA. Denn viele Probleme – etwa Templates, Vorlagen, Best Practices – lassen sich gemeinsam lösen und standardisieren.

NIS-2 ist ein wichtiger erster Schritt: Es bringt Verantwortlichkeit, Meldeverpflichtungen und Lieferketten‑Risiken nach vorne. Aber: Ohne verbindliche EU‑Standards, einheitliche Vorlagen und interoperable Prozesse bleibt Vieles Stückwerk mit zusätzlichem Aufwand statt echter Si­cher­heit. Unternehmen sollten den Blick nicht auf Mindestanforderungen richten, sondern auf harmonisierte Standards und messbare Wirkung.

Über den Autor: Antonio Paolo Mecci verantwortet als CISO, Head of IT und DPO bei der DSwiss AG die umfassende Si­cher­heits- und Datenschutzstrategie. Mit über acht Jahren Erfahrung in IT und Cybersecurity verknüpft er technisches Fachwissen mit Governance-, Risiko- & Compliance-Know-how zur Stärkung der Organisationssi­cher­heit.

Neue Datenzugangsrechte

Wie man sich auf den EU Data Act vorbereitet

Datenverkehr in die USA wird kritisch

Trump rebelliert gegen EU-Regulierungen

(ID:50673432)