NIS2 ist keine Aufgabe, die vollständig in der IT verschwinden kann. Sie ist ein Führungsthema, weil sie Priorisierung, Ressourcen, Risikoakzeptanz und die Fähigkeit der Organisation betrifft, ihre Entscheidungen im Ernstfall zu verteidigen.
Genau das ist für viele Organisationen der unangenehme Teil. Lange wurde Cybersicherheit als technische Spezialdisziplin behandelt, die intern delegiert oder an Dienstleister ausgelagert werden konnte. NIS2 macht deutlicher, dass die Leitungsebene für den Gesamtansatz verantwortlich bleibt. Das heißt nicht, dass die Geschäftsführung technische Detailforensik beherrschen muss. Es heißt aber, dass sie die richtigen Fragen stellen, Nachweise einfordern und schwache Annahmen erkennen muss.
Dieser Inhalt stellt keine Rechtsberatung dar. Er dient als praktischer Leitfaden für Geschäftsleitungen, die ihre eigene Rolle bei der Vorbereitung auf NIS2 verstehen müssen.
Für wen diese Seite gedacht ist
Diese Seite ist besonders relevant für:
- Geschäftsführungen und Inhaber,
- Vorstände und obere Führungsebenen,
- COO-, CFO- und Operations-Verantwortliche,
- Führungskräfte, die über Budget, Prioritäten und Risiko entscheiden.
Was Sie mitnehmen sollten
Nach dem Lesen sollten Sie klarer sehen:
- warum NIS2 nicht vollständig an IT delegiert werden kann,
- was die Leitungsebene praktisch sicherstellen muss,
- welche Fragen Transparenz über Evidenz und Logging-Reife schaffen,
- wie ein realistischer 90-Tage-Start ohne Überengineering aussehen kann.
Warum NIS2 kein reines IT-Thema ist
NIS2 betrifft die Cyber-Resilienz der Organisation, nicht nur die Konfiguration technischer Systeme. Praktisch entscheidet die Leitungsebene darüber:
- ob Cyberrisiken als Unternehmenspriorität behandelt werden,
- welches Maß an Evidenz und Nachvollziehbarkeit erwartet wird,
- wie schnell offensichtliche Lücken finanziert und geschlossen werden,
- welches Restrisiko bewusst akzeptiert wird.
IT-Teams können Maßnahmen vorschlagen und umsetzen. Sie können aber nicht allein entscheiden, wie wichtig Logging, Retention, Identitätskontrollen, Lieferantenrisiken oder Vorfallsbereitschaft für das Unternehmen sind. Das sind Management-Entscheidungen auf Basis technischer Realität.
Was die Geschäftsleitung praktisch sicherstellen muss
Die Geschäftsleitung muss Kontrollen nicht selbst betreiben. Sie muss aber sicherstellen, dass die Organisation:
- ihre Cyber-Risiken versteht,
- klare Rollen und Verantwortlichkeiten hat,
- ein angemessenes Mindestniveau finanziert,
- zeigen kann, dass Kontrollen praktisch wirken,
- eine Evidenzbasis für Audits, Untersuchungen und Vorfälle hat.
Das lässt sich in fünf Kernaufgaben übersetzen.
1. Verantwortung
Ohne klar benannte Zuständigkeit wird NIS2 zum diffusen Nebenprojekt zwischen IT, Compliance und Rechtsabteilung. Die Leitung braucht eine benannte Verantwortung und einen festen Reporting-Rhythmus.
2. Budget und Ressourcen
Belastbares Logging, Evidenz und Resilienz entstehen nicht aus gutem Willen allein. Wenn selbst für ein Mindestniveau weder Zeit noch Budget vorhanden sind, akzeptiert das Management faktisch eine schwer verteidigbare Risikoposition.
3. Priorisierung
Die meisten mittelständischen Organisationen können nicht alles gleichzeitig umsetzen. Die Leitung muss entscheiden, wie die erste belastbare Verteidigungslinie aussieht. In vielen Umgebungen bedeutet das: Identität, privilegierter Zugriff, kritische Server, Firewalls, VPN und zentrale Retention außerhalb der Quellsysteme.
4. Steuerung und Aufsicht
Die Geschäftsleitung braucht regelmäßige Sicht auf:
- wahrscheinliche regulatorische Betroffenheit,
- aktuelle Evidenz- und Logging-Reife,
- wesentliche blinde Flecken,
- offene oder unfinanzierte Risiken,
- Bereitschaft für Vorfälle und Audits.
5. Nachweise statt Beruhigung
Eine der wichtigsten Denkänderungen lautet: nicht nur nach Beruhigung fragen, sondern nach belastbaren Nachweisen. Darauf lassen sich deutlich bessere Führungsentscheidungen aufbauen.
Warum Evidenz und Nachvollziehbarkeit für die Leitung wichtig sind
Management-Reporting wird schnell zu allgemein:
- "Logging ist vorhanden",
- "Monitoring ist abgedeckt",
- "Zugriffe sind kontrolliert",
- "Incident Response existiert".
Solche Aussagen sind schwach, wenn niemand schnell zeigen kann:
- welche Systeme tatsächlich Logs liefern,
- ob diese Logs außerhalb der Quellsysteme aufbewahrt werden,
- wie lange sie nutzbar bleiben,
- ob Zugriffs- und Änderungshistorien abrufbar sind,
- was mit der Evidenz passiert, wenn ein kritischer Server oder ein Admin-Endpunkt kompromittiert wird.
Lokale Logs und verteilte Einzelrecords schwächen die Fähigkeit der Geschäftsleitung, die Vorbereitung der Organisation zu verteidigen. Das ist nicht nur gegenüber Aufsicht relevant, sondern auch gegenüber Kunden, Versicherern, Ermittlern und dem eigenen Gremium.
Welche Fragen die Geschäftsleitung an die IT stellen sollte
Gute Governance beginnt oft mit besseren Fragen.
Scope und Exponierung
- Fallen wir voraussichtlich direkt unter NIS2 oder reagieren wir primär auf Kunden- und Lieferkettenanforderungen?
- Welche Leistungen und Systeme sind operativ kritisch?
- Wo liegen aktuell die größten blinden Flecken?
Logging und Nachweise
- Welche Logs sammeln wir heute tatsächlich und welche vermuten wir nur?
- Werden kritische Logs außerhalb der Quellsysteme aufbewahrt?
- Wie schnell können wir Nachweise zu Zugriffen, Änderungen und Sicherheitsereignissen finden?
- Was passiert mit unserer Evidenz, wenn ein Schlüsselserver, ein Admin-Account oder die Identitätsplattform kompromittiert wird?
Vorfallsbereitschaft
- Wie schnell können wir eine erste Incident-Timeline aufbauen?
- Auf welcher Datenbasis würden die ersten Management-Entscheidungen getroffen?
- Wer bereitet Lagebilder für die Geschäftsleitung vor und mit welchen Daten?
Betriebsmodell
- Ist der aktuelle Ansatz langfristig tragfähig?
- Haben wir intern Kapazität für einen eigenen Stack oder ist für die erste Phase ein zentrales oder SaaS-Modell realistischer?
Budget, Ressourcen und geschäftlicher Effekt
Sicherheitsbudget wird oft nur als Kostenblock gesehen. Unter NIS2 ist eine andere Frage hilfreicher: Was kostet schwache Nachvollziehbarkeit?
Typische Folgen zu geringer Investition in Evidenz und Logging sind:
- langsamere Reaktion auf Vorfälle,
- schwächere Entscheidungen der Leitungsebene,
- höhere Kosten für externe Untersuchungen,
- schlechtere regulatorische Verteidigbarkeit,
- mehr Reputationsschaden, weil die Organisation Vorfälle nicht klar erklären kann.
Die Geschäftsleitung muss nicht die komplexeste Plattform kaufen. Sie muss aber ein Mindestniveau finanzieren, das operativ belastbar ist. Für viele kleine und mittlere Organisationen ist ein nutzbares Minimum deutlich wertvoller als ein großes Transformationsprogramm, das nie stabil wird.
Wie ein realistischer 90-Tage-Start aussieht
Die erste Phase muss nicht perfekt sein. Sie muss aber eine Grundlage schaffen, auf der bessere Entscheidungen möglich sind.
In den ersten 30 Tagen
- Verantwortung auf Leitungsebene festlegen,
- wahrscheinliche Betroffenheit bestätigen oder eingrenzen,
- kritische Leistungen, Identitäten, Server und Netzwerkkontrollen erfassen,
- vorhandene Logging- und Evidenzreife bewerten.
Bis Tag 60
- über den minimalen Umfang zentralen Loggings entscheiden,
- wichtigste Log-Quellen priorisieren,
- knappes, aber aussagekräftiges Management-Reporting etablieren,
- wesentliche Lücken und Risiken benennen.
Bis Tag 90
- zentrale Sammlung kritischer Logs außerhalb der Quellsysteme einführen,
- praktisch prüfen, dass der Abruf funktioniert,
- Zugriff und Retention definieren,
- Incident-Prozesse und Management-Entscheidungen an die tatsächlich verfügbare Evidenz anpassen.
Warum lokale Logs die Geschäftsleitung schwächen
Bei einer Kompromittierung versuchen Angreifer häufig, lokale Spuren zu verändern, zu löschen oder unzugänglich zu machen. Das ist technisch bekannt, hat aber eine sehr direkte Management-Folge: Wenn die Beweisspur nur auf angegriffenen Systemen liegt, verliert die Leitung die Grundlage für belastbare Entscheidungen.
Das wirkt sich aus auf:
- die Qualität früher interner Lagebilder,
- Eskalationsentscheidungen,
- Kommunikation mit Kunden und Partnern,
- regulatorische Verteidigbarkeit,
- Reputation nach dem Vorfall.
Zentrale Evidenz außerhalb der Quellsysteme ist daher kein Luxus, sondern eine der praktischsten Maßnahmen, um Management-Entscheidungen nicht im Blindflug treffen zu müssen.
Wie gutes Reporting an die Geschäftsleitung aussehen sollte
Die Leitung braucht kein technisches Rauschen. Sie braucht knappes Reporting, das fünf Fragen beantwortet:
- Wie hoch ist die aktuelle Exponierung?
- Wo sind die größten Lücken?
- Was wurde bereits verbessert?
- Was ist als Nächstes geplant?
- Welche Entscheidungen werden jetzt von der Leitung benötigt?
Logging- und Evidenzreife gehören ausdrücklich in dieses Reporting. Wenn dieser Teil unklar bleibt, ist das Sicherheitsbild unvollständig.
Praktische Empfehlungen für die Leitungsebene
Wenn Sie schnell prüfen wollen, ob das Thema solide geführt wird, achten Sie auf diese Signale:
- NIS2 hat eine klar benannte verantwortliche Stelle,
- die IT kann priorisierte Systeme und Log-Quellen benennen,
- Nachweise liegen nicht nur lokal,
- die Leitung erhält regelmäßige Statusberichte und trifft explizite Prioritätsentscheidungen,
- die Organisation baut ein praktikables Minimum statt auf ein perfektes Zielbild in ferner Zukunft zu warten.
FAQ
Muss die Geschäftsleitung Logging technisch im Detail verstehen?
Nein. Sie muss aber verstehen, was Logging und Evidenz für Auditierbarkeit, Incident Response und verteidigbare Entscheidungen bedeuten.
Reicht es, wenn CIO oder MSP das Thema übernehmen?
Nicht vollständig. Sie können zentral für die Umsetzung sein, aber Verantwortung für Prioritäten, Ressourcen und Aufsicht bleibt bei der Leitung.
Warum sollte sich das Management mit Logs befassen, wenn das technische Artefakte sind?
Weil die Organisation ohne Logs Schwierigkeiten hat, Realität zu belegen, Vorfälle zu rekonstruieren und Entscheidungen zu rechtfertigen. Das ist ein Führungsproblem, nicht nur ein Technikdetail.
Interne Links
- Zurück zur NIS2-Übersicht
- Fällt Ihre Organisation unter NIS2?
- Unterschiedliche NIS2-Pflichteniveaus
- Audit, Nachvollziehbarkeit und Nachweise
Nächster Schritt
- Executive-Checkliste erhalten für die ersten 90 Tage der NIS2-Vorbereitung.
- Management-Briefing buchen zu Verantwortung, Evidenz und Prioritäten.
- Erste Orientierungskonsultation anfragen zum minimalen Logging-Standard für Audits und Vorfälle.