Die meisten Unternehmen sind durchaus bereit, ihren Teil dazu beizutragen. Leider sind die Anforderungen naturgemäß sehr komplex. Sich durch den Dschungel der Vorschriften zu wühlen, sie zu verstehen und umzusetzen, erfordert Geduld. Hinzu kommt, dass sich viele Institutionen vor NIS-2 nur wenig mit den Themen auseinandergesetzt haben. Das verschärfte Meldewesen erfordert beispielsweise, dass nun ein Dienstleisterregister geführt und konkrete Prozesse für die Meldepflicht definiert werden müssen – beides wurde vor NIS-2 vielerorts viel zu wenig beachtet. Hinzu kommt das Aufkommen von KI-gestützten Cyberangriffsmethoden, die zusätzliche Komplexität verursachen.
Dienstleister können unterstützen
Sollten Unternehmen von der Komplexität und dem Aufwand überfordert sein, bietet sich die Zusammenarbeit mit einem externen Dienstleister an. Mit einem breiten Dienstleistungsportfolio – von Kryptografie über Backup-Services bis zur Absicherung wichtiger Kommunikationskanäle – helfen sie Unternehmen, sich punktuell NIS-2-konform aufzustellen und geschäftskritische Prozesse wie Kommunikation und Wertschriftenhandel abzusichern.
Die Verantwortung kann durch eine solche Zusammenarbeit jedoch nicht abgeschoben werden. Die Unternehmen bleiben für das Management ihrer Sicherheitsinfrastruktur, die Sicherstellung der eigenen Cyber-Resilienz und die funktionierende Zusammenarbeit mit ihren Partnern verantwortlich.
Einheitliche Sicherheitsstandards und Cyber-Resilienz
Viele wollen von NIS-2 nichts mehr hören, scheint das Thema doch in den letzten Jahren ausreichend in die Öffentlichkeit getragen worden zu sein. Umso wichtiger ist es jetzt zu betonen, dass es sich bei der Richtlinie nicht um eine ineffiziente EU-Bürokratie handelt, wie manche Schwarzmaler behaupten. Sie enthält sinnvolle Mindeststandards, die zu einer EU-weiten Angleichung der Cyber-Resilienz führen.
Um kritische Infrastrukturen und ihre Bürger zu schützen, müssen die Mitgliedstaaten an einem Strang ziehen und vergleichbare Standards einführen. Nur so lässt sich absichern, dass geschäftskritische Prozesse auch in Krisenzeiten funktionieren, was in vielen Branchen nicht nur eine unternehmerische, sondern auch eine moralische Verpflichtung darstellt. Ein Kommunikationsausfall während einer wichtigen Operation beispielsweise hätte im wahrsten Sinne des Wortes fatale Folgen.
Politisch aufgeschoben, wirtschaftlich sinnvoll
Der Bundestag wird die Umsetzung von NIS-2 vor der Bundestagswahl nicht mehr beschließen. Unternehmen sollten nicht weiter abwarten und die Umsetzung von NIS-2 nicht als Pflichtübung, sondern als strategische Notwendigkeit betrachten. Um in Zukunft nicht unvorbereitet zu sein, sollten sich alle Verantwortlichen in Unternehmen und Institutionen noch einmal vor Augen führen, dass eine effektive Cyber-Resilienz nur durch gemeinsame Anstrengungen erreicht werden kann.
