NIS-2-Compliance beweist sich erst in der Krise

Im Kontext der NIS-2-Konformität muss die Frage aufgeworfen werden, ob Notfallprozesse auch dann funktionieren, wenn E-Mail, Identitätsdienste und Kollaborationsplattformen gleichzeitig ausfallen

[datensicherheit.de, 06.08.2026] Benjamin Schilz, CEO von Wire, führt in seiner aktuellen Stellungnahme aus, warum sich NIS-2-Konformität erst in der Krise beweisen wird und welche Rolle sichere Kommunikationswege für die Handlungsfähigkeit von Organisationen in diesem Kontext spielen. Mit Ablauf der NIS-2-Umsetzungsfrist werde sich jetzt auch zeigen, wie belastbar die Vorbereitungen tatsächlich sind. Denn nun sollte die Frage aufgeworfen werden, ob Notfallprozesse auch dann funktionieren, wenn E-Mail, Identitätsdienste und Kollaborationsplattformen gleichzeitig ausfallen. Er unterstreicht die Bedeutung einer gesicherten Kommunikation als Teil der betrieblichen Cyberresilienz.

Foto: wire

Benjamin Schilz merkt kritisch an, dass viele Unternehmen zwar Regeln geschaffen haben – aber nicht immer sicherstellen können, dass diese im Arbeitsalltag auch eingehalten werden

Auf dem Prüfstand: Alltagstauglichkeit der Notfallplanung im NIS-2-Kontext

„Viele Unternehmen haben die formale NIS-2-Umsetzung inzwischen weitgehend abgeschlossen. Verantwortliche sind benannt, Kontaktdaten an das BSI übermittelt, interne Projekte offiziell abgeschlossen“, so Schilz. Nach Monaten voller Checklisten, Rechtsgutachten und Betroffenheitsprüfungen sei indes die Versuchung groß, dieses Thema nun aus dem unmittelbaren Fokus zu nehmen.

• „Doch genau jetzt beginnt der schwierigere Teil!“ Denn NIS-2 messe Unternehmen nicht daran, wie vollständig ihre Unterlagen sind. Entscheidend sei, ob sie einen Sicherheitsvorfall erkennen, innerhalb enger Fristen bewerten und auch unter Druck kontrolliert handeln können.

Für erhebliche Vorfälle verlange die Richtlinie eine erste Warnung innerhalb von 24 Stunden und eine ausführlichere Meldung innerhalb von 72 Stunden. „Das funktioniert nur, wenn Zuständigkeiten, Meldewege und Kommunikationskanäle vorher geklärt und ausreichend etabliert wurden!“, betont Schilz.

Lücke zwischen Plan und Praxis: Angriff folgen selten dem Ablauf eines Audits

Auf dem Papier seien viele Organisationen gut vorbereitet. Im Idealfall wüssten Verantwortliche wer wann über welche Kanäle aktiv wird. Ein realer Angriff folge jedoch selten dem Ablauf eines Audits. „Ist das E-Mail-System betroffen, wechseln Teams auf Messenger. Kann ein externer Berater nicht auf die interne Plattform zugreifen, erhält er Dateien über einen kurzfristig eingerichteten Link. Muss die Geschäftsführung schnell entscheiden, entsteht eine neue Chat-Gruppe auf privaten Geräten.“

• Genau hierbei aber zeige sich die eigentliche Lücke: „In einer von Wire in Auftrag gegebenen Erhebung hielten sich 62 Prozent der befragten IT-, Security- und Compliance-Verantwortlichen für ,gut’ oder ,sehr gut’ auf regulatorische Anforderungen vorbereitet.“

Gleichzeitig hätten jedoch 48 Prozent angegeben, sensible Informationen zumindest gelegentlich über ungeeignete Kanäle zu teilen. Bei 61 Prozent blieben Zugriffe auf gemeinsam genutzte Dateien länger aktiv als vorgesehen. „Viele Unternehmen haben also Regeln und Systeme geschaffen. Sie können aber nicht immer sicherstellen, dass diese im Arbeitsalltag auch eingehalten werden.“

Kommunikation als notwendiges Kriterium für Cyberresilienz

Unternehmen investierten zu Recht in Angriffserkennung, Zugangsschutz und Backups. Doch selbst gute technische Schutzmaßnahmen verhinderten nicht jeden Angriff. Danach komme es darauf an, ob Menschen weiterhin sicher zusammenarbeiten können.

• Schilz gibt zu bedenken: „Ein Krisenstab braucht einen vertrauenswürdigen Raum, in dem Entscheidungen vorbereitet, Informationen bewertet und Aufgaben verteilt werden! Die Geschäftsleitung muss erreichbar bleiben. ,IT’, ,Recht’, ,Kommunikation’ und externe Spezialisten müssen kollaborieren können, ohne auf eine möglicherweise kompromittierte Infrastruktur angewiesen zu sein.“

Er warnt: „Fehlt diese Möglichkeit, verzögern sich Entscheidungen. Informationen lassen sich schlechter überprüfen, und sensible Inhalte wandern auf Kanäle, die sich nicht mehr zentral kontrollieren lassen.“

Einsatz sogenannter Schatten-IT Indiz für Diskrepanzen zwischen Sicherheitsvorgaben und Arbeitsabläufen

Viele Unternehmen reagierten auf unsichere Kommunikationswege mit neuen Richtlinien und zusätzlichen Schulungen. „Das ist verständlich, löst aber nicht das grundlegende Problem“, untersteicht Schilz.

• Mitarbeiter griffen häufig auf private Messenger, persönliche E-Mail-Konten oder frei verfügbare Dateidienste zurück, wenn die offiziellen Lösungen ihre Arbeit erschweren. Dies betreffe vor allem die Zusammenarbeit mit externen Beteiligten, mobile Teams und Situationen mit hohem Zeitdruck. „Ein System, das im normalen Arbeitsalltag als zu kompliziert empfunden wird, setzt sich in einer Krise nicht plötzlich durch. Das gilt auch für Notfallkanäle, die zwar dokumentiert, aber nie praktisch erprobt wurden.“

Sogenannte Schatten-IT sei deshalb nicht immer ein Zeichen fehlender Sensibilität – sie könne darauf hinweisen, dass Sicherheitsvorgaben und Arbeitsabläufe nicht zusammenpassen.

NIS-2 erfordert auch dann kontrolliertes Handeln, wenn vertraute Systeme ausfallen

„Der entscheidende Praxistest beginnt dort, wo die gewohnten Systeme nicht mehr verfügbar oder vertrauenswürdig sind.“ Unternehmen sollten deshalb prüfen, wie sie handlungsfähig bleiben, wenn E-Mail, zentrale Identitätsdienste und die übliche Kollaborationsplattform gleichzeitig ausfallen.

• Schilz führt aus: „Wie kommt der Krisenstab zusammen? Wie werden externe Fachleute eingebunden? Wie lassen sich Identitäten überprüfen, Informationen schützen und Entscheidungen dokumentieren? Und gelingt all das, ohne dass Mitarbeitende auf private Kanäle ausweichen?“

Abschließend fasst er zusammen: „Wer diese Fragen überzeugend beantworten kann, hat mehr erreicht als formale NIS-2-Compliance. Wer lediglich auf Registrierung, Richtlinien und freigegebene Tools verweist, hat erst den einfachen Teil erledigt. Entscheidend ist, ob die Organisation auch dann kontrolliert handeln kann, wenn ihre vertrauten Systeme nicht mehr zur Verfügung stehen.“

Wichtig zu wissen:

• NIS-2 verlangt gelebte Resilienz statt reiner Dokumentation: Entscheidend ist, wie schnell Unternehmen Sicherheitsvorfälle erkennen, bewerten und kontrolliert bearbeiten können.
• Die operative Umsetzung entscheidet über den Erfolg: Vorbereitung ist der Schlüssel. Klare Zuständigkeiten, etablierte Meldewege und eingeübte Abläufe schaffen Sicherheit, wenn Zeitdruck und Unsicherheit steigen.
• Sichere Kommunikation bildet das Fundament der Krisenfähigkeit: Krisenstäbe, Management, IT, Recht und externe Partner benötigen verlässliche und redundante Wege für Zusammenarbeit und Entscheidungsfindung.
• Schatten-IT liefert wertvolle Hinweise auf Verbesserungsmöglichkeiten: Wenn Teams auf alternative Kommunikations- und Kollaborationswege zurückgreifen, zeigt sich, wo Sicherheitsanforderungen und Arbeitsabläufe besser zusammenspielen können.
• Der Praxistest für NIS2 beginnt mit realistischen Ausfallszenarien: Unternehmen stärken ihre Widerstandsfähigkeit, indem sie gleichermaßen Krisenkommunikation, Identitätsprüfung und Entscheidungsprozesse auch unter erschwerten Bedingungen regelmäßig erproben.

Weitere Informationen zum Thema:

wire
Sichere Kommunikation aus dem Herzen Berlins / Wir beseitigen die Hürden zwischen produktiver Zusammenarbeit, die Nutzer wünschen, und dem Datenschutz, der Privatsphäre und Compliance, die Unternehmen benötigen und liefern den branchenführenden, sicheren kollaborativen Arbeitsraum auf Enterprise-Niveau.

wire, Hauke Gierow, 09.02.204
Wire ernennt Benjamin Schilz als CEO / Neuer CEO wird die internationale Expansion von Wire vorantreiben

wire, 2026
The State of Secure Collaboration 2026 – Vertrauen ist keine Kontrolle

datensicherheit.de, 31.07.2026
NIS-2-Registrierungslücke als Symptom für ein größeres Problem / Die vielen noch ausstehenden NIS-2-Registrierungen sind laut ein Symptom für ein tieferliegendes Problem: „Cybersicherheit wird vielerorts noch immer nicht genug Priorität eingeräumt!“

datensicherheit.de, 02.07.2026
Die eigentliche Herausforderung beginnt erst jetzt: NIS-2-Registrierung genügt nicht / Nach Beobachtung von Axians sind viele Unternehmen trotz Registrierung nicht in der Lage, die regulatorischen Anforderungen im Ernstfall zu erfüllen

datensicherheit.de, 11.01.2026
KMU-Fitness für NIS-2: Universität Paderborn bietet Online-Tool und Lernplattform zur Stärkung der Cybersicherheit / NIS-2 als die überarbeitete EU-Richtlinie von 2022 betrifft nun ca. 30.000 Unternehmen aus 18 Sektoren – von Gesundheit über Transport bis Telekommunikation