Cyberhygiene nach NIS2

Cyberhygiene nach NIS2: Was Auditoren wirklich sehen wollen

Management-Zusammenfassung

NIS2 verändert die Perspektive auf Cybersicherheit grundlegend. Für Geschäftsleitungen reicht es nicht mehr aus, darauf zu vertrauen, dass „die IT das im Griff hat“. Entscheidend ist, ob ein Unternehmen nachvollziehbar zeigen kann, dass Cyberrisiken systematisch gesteuert, Sicherheitsmaßnahmen umgesetzt, deren Wirksamkeit überprüft und kritische Vorfälle beherrscht werden.

Dabei gilt ein einfacher Grundsatz:

Nicht die Behauptung zählt, sondern der Nachweis.

Ein Auditor oder eine Aufsichtsbehörde wird sich deshalb nicht allein mit Richtlinien, Konzepten oder Präsentationen zufriedengeben. Entscheidend sind belastbare Evidenzen:

• Risikobewertungen

• Protokolle

• technische Reports

• Schulungsnachweise

• Wiederherstellungstests

• Lieferantenbewertungen

• Incident-Response-Übungen

• dokumentierte Managemententscheidungen

Für Geschäftsleitungen sind fünf Themen besonders relevant:

• Persönliche Verantwortung: Die Unternehmensleitung muss die Umsetzung der NIS2-Risikomanagementmaßnahmen billigen und überwachen.

• Nachweisfähigkeit: Sicherheitsmaßnahmen müssen nicht nur existieren, sondern belegbar umgesetzt und wirksam sein.

• Lieferkettensicherheit: Kritische Dienstleister und Lieferanten müssen risikoorientiert gesteuert werden.

• Reaktionsfähigkeit: Ein Sicherheitsvorfall muss innerhalb enger Fristen erkannt, bewertet, gemeldet und gesteuert werden können.

• ISO 27001 als Fundament: Ein funktionierendes ISMS schafft eine sehr gute Grundlage – ersetzt aber nicht automatisch alle NIS2-spezifischen Anforderungen.

Die entscheidende Managementfrage lautet daher nicht:

„Haben wir Cybersecurity-Maßnahmen?“

Sondern:

„Könnten wir morgen belastbar nachweisen, dass diese Maßnahmen funktionieren?“

---

Warum Cyberhygiene unter NIS2 zur Managementaufgabe wird

Der Begriff Cyberhygiene klingt zunächst nach technischen Grundmaßnahmen:

• Systeme aktualisieren

• sichere Passwörter verwenden

• Multi-Faktor-Authentifizierung einsetzen

• Backups durchführen

• Mitarbeitende sensibilisieren

Unter NIS2 geht es jedoch um wesentlich mehr.

Cyberhygiene wird zu einem steuerbaren organisatorischen System. Sicherheitsmaßnahmen müssen geplant, Verantwortlichkeiten definiert, Risiken bewertet, Ergebnisse dokumentiert und die Wirksamkeit regelmäßig überprüft werden.

Genau hier liegt für viele mittelständische Unternehmen die Herausforderung.

In der Praxis existieren häufig zahlreiche Einzelmaßnahmen:

• Die IT installiert Sicherheitsupdates.

• Microsoft 365 nutzt Multi-Faktor-Authentifizierung.

• Ein externer Dienstleister betreibt die Firewall.

• Backups werden täglich erstellt.

• Mitarbeitende absolvieren einmal jährlich eine Awareness-Schulung.

Das klingt zunächst gut.

Ein Auditor stellt jedoch andere Fragen:

• Wer entscheidet, welche Systeme innerhalb welcher Frist gepatcht werden müssen?

• Wie wird überprüft, ob kritische Sicherheitsupdates tatsächlich installiert wurden?

• Wann wurde die letzte Wiederherstellung aus einem Backup getestet?

• Welche privilegierten Konten sind von MFA ausgenommen und warum?

• Welche Lieferanten besitzen Zugriff auf geschäftskritische Systeme?

• Wann wurde der Incident-Response-Prozess zuletzt getestet?

Genau an dieser Stelle trennt sich technische Sicherheitsaktivität von auditfähiger Sicherheitssteuerung.

Das BSI verlangt von betroffenen Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen sowie deren Dokumentation. Damit wird Nachweisfähigkeit zu einem zentralen Bestandteil der Compliance.

---

1. Persönliche Verantwortung der Geschäftsführung

Eine der wichtigsten Veränderungen durch NIS2 betrifft die Rolle der Unternehmensleitung.

Informationssicherheit kann nicht mehr ausschließlich an IT-Leitung, Informationssicherheitsbeauftragte oder externe Dienstleister delegiert werden.

Nach § 38 BSIG tragen Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen die Verantwortung dafür, Risikomanagementmaßnahmen freizugeben und ihre Umsetzung zu überwachen. Hinzu kommt eine Schulungspflicht für die Führungsebene selbst.

Das bedeutet nicht, dass Geschäftsführer selbst Firewalls konfigurieren oder Schwachstellenscans durchführen müssen.

Sie müssen jedoch nachweisen können, dass sie ihre Steuerungsverantwortung wahrnehmen.

Ein Auditor könnte beispielsweise fragen:

• Welche wesentlichen Cyberrisiken bestehen aktuell für das Unternehmen?

• Wann wurde die Geschäftsleitung zuletzt darüber informiert?

• Welche Maßnahmen wurden beschlossen?

• Welche Risiken wurden bewusst akzeptiert?

• Wie wird kontrolliert, ob beschlossene Maßnahmen tatsächlich umgesetzt wurden?

Problematisch wird es, wenn Informationssicherheit zwar operativ betrieben wird, aber keine nachvollziehbare Managementsteuerung existiert.

Ein typisches Beispiel:

Die IT weiß seit Monaten, dass ein zentrales ERP-System technisch veraltet ist. Eine Modernisierung wurde mehrfach verschoben, weil Budget fehlt.

Auditfähig wäre nicht die Behauptung:

„Wir wissen davon.“

Auditfähig wäre eine dokumentierte Entscheidung:

• Risiko beschrieben

• Auswirkung bewertet

• Behandlungsoptionen geprüft

• Geschäftsleitung informiert

• Entscheidung dokumentiert

• Restrisiko akzeptiert oder Maßnahme beschlossen

Genau diese Nachvollziehbarkeit schützt nicht nur das Unternehmen. Sie ist auch für die Geschäftsleitung selbst von erheblicher Bedeutung.

---

2. Was ein Auditor konkret sehen will: Nachweise statt Behauptungen

Auditoren prüfen nicht primär, ob ein Unternehmen gute Absichten hat.

Sie suchen Evidenz.

Eine einfache Struktur hilft dabei:

Vorgabe → Umsetzung → Nachweis → Wirksamkeit

Beispiel Patchmanagement

Vorgabe

• Eine Richtlinie definiert Fristen für kritische Sicherheitsupdates.

Umsetzung

• Verantwortlichkeiten und Patchprozesse sind festgelegt.

Nachweis

• Patchreports, Tickets und dokumentierte Ausnahmen sind vorhanden.

Wirksamkeit

• Kennzahlen zeigen beispielsweise, wie viele kritische Schwachstellen innerhalb der definierten Frist geschlossen wurden.

Diese Logik lässt sich nahezu auf jeden Bereich der Informationssicherheit übertragen.

Typische Auditnachweise

Für ein mittelständisches Unternehmen könnten unter anderem folgende Evidenzen relevant sein:

• Patch- und Schwachstellenreports

• Risikoregister und Risikobehandlungspläne

• Backup-Protokolle und Restore-Tests

• MFA- und Berechtigungsübersichten

• Protokolle zur regelmäßigen Überprüfung privilegierter Zugriffsrechte

• Awareness-Schulungsnachweise

• Incident-Response-Pläne und Übungsprotokolle

• Lieferantenbewertungen

• Security-Monitoring-Berichte

• Management-Reviews und dokumentierte Entscheidungen

Ein internes Audit ist dabei ein sehr wirksames Instrument, um frühzeitig festzustellen, ob Anforderungen lediglich dokumentiert oder tatsächlich umgesetzt und nachweisbar sind. Auch aktuelle Fachbeiträge zur NIS2-Auditvorbereitung betonen die Bedeutung einer prüffähigen Dokumentation und der Überprüfung der Wirksamkeit.

Ein häufiger Fehler ist die sogenannte Papier-Compliance.

Ein Unternehmen besitzt beispielsweise eine sauber formulierte Backup-Richtlinie.

Auf die Frage:

„Wann wurde zuletzt eine vollständige Wiederherstellung eines kritischen Systems getestet?“

gibt es jedoch keine belastbare Antwort.

Dann existiert zwar eine Vorgabe, aber kein ausreichender Wirksamkeitsnachweis.

Für die Geschäftsleitung bedeutet das:

Eine Richtlinie ist noch keine Kontrolle.

Erst wenn eine Sicherheitsmaßnahme umgesetzt, überprüft und nachvollziehbar dokumentiert wurde, entsteht belastbare Auditfähigkeit.

---

3. Die Lieferketten- und Vendor-Falle

Einer der am häufigsten unterschätzten Bereiche ist die Sicherheit der Lieferkette.

Kaum ein mittelständisches Unternehmen betreibt seine IT heute vollständig selbst.

Cloud-Anbieter, Managed-Service-Provider, Softwarehersteller, Rechenzentren, Wartungsfirmen und externe Administratoren sind tief in Geschäftsprozesse integriert.

Damit entsteht eine entscheidende Frage:

Welche externen Unternehmen könnten unsere Geschäftsfähigkeit oder Informationssicherheit wesentlich beeinträchtigen?

Viele Unternehmen können diese Frage nicht sofort beantworten.

Die Daten liegen häufig verteilt:

• Verträge beim Einkauf

• Auftragsverarbeiter beim Datenschutz

• Systeminformationen in der IT

• Cloud-Dienste in Microsoft 365

• Administrationszugänge beim Helpdesk

• Risikoanalysen im ISMS

NIS2 verlangt jedoch ausdrücklich, Risiken aus der Lieferkette angemessen zu berücksichtigen.

Eine reine Lieferantenliste reicht dafür nicht.

Ein auditfähiges Vendor Management sollte zumindest erkennen lassen:

• Welche Dienstleister sind kritisch?

• Auf welche Systeme oder Informationen greifen sie zu?

• Welche Abhängigkeiten bestehen?

• Welche Sicherheitsanforderungen wurden vertraglich vereinbart?

• Welche Nachweise liegen vor?

• Wann wurde das Risiko zuletzt bewertet?

• Wer ist intern verantwortlich?

Besonders wichtig:

Ein ISO-27001-Zertifikat eines Lieferanten kann ein wertvoller Nachweis sein, ersetzt aber nicht automatisch die eigene Risikobewertung.

Das BSI weist ausdrücklich darauf hin, dass die Forderung nach Zertifikaten wie ISO 27001 oder TISAX allein nicht zwingend ausreicht, um die Lieferkettensicherheit vollständig abzudecken.

Beispiel aus der Praxis

Ein mittelständischer Maschinenbauer nutzt einen externen IT-Dienstleister.

Dieser besitzt:

• Domain-Admin-Rechte

• Zugriff auf Microsoft 365

• VPN-Zugang

• Zugriff auf das Backup-System

Der Dienstleister ist damit faktisch einer der kritischsten Sicherheitsfaktoren des Unternehmens.

Trotzdem wurde möglicherweise nie systematisch geprüft:

• Welche Mitarbeiter des Dienstleisters besitzen Zugriff?

• Wird MFA eingesetzt?

• Wie schnell muss ein Sicherheitsvorfall gemeldet werden?

• Wie werden Berechtigungen beim Personalwechsel entzogen?

• Existiert ein Notfallkontakt außerhalb der Geschäftszeiten?

Genau solche Abhängigkeiten werden in einer Prüfung schnell sichtbar.

Die Lieferkette ist deshalb nicht nur ein Compliance-Thema.

Sie ist ein operatives Geschäftsrisiko.

---

4. Meldepflichten und Reaktionsfähigkeit im Ernstfall

NIS2 verlangt nicht nur Prävention.

Unternehmen müssen auch zeigen können, dass sie im Ernstfall handlungsfähig sind.

Bei erheblichen Sicherheitsvorfällen gelten gestufte Meldepflichten.

Nach den Informationen des BSI ist grundsätzlich eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung vorgesehen, gefolgt von einer Meldung innerhalb von 72 Stunden mit weitergehenden Informationen. Weitere Berichte können abhängig vom Vorfall folgen.

Diese Fristen wirken auf dem Papier großzügiger, als sie in der Realität sind.

Stellen wir uns einen typischen Vorfall vor:

• Montagmorgen, 7:30 Uhr

• Mehrere Server sind nicht erreichbar

• Dateien wurden verschlüsselt

• Ein externer IT-Dienstleister vermutet Ransomware

Jetzt müssen innerhalb kürzester Zeit Fragen beantwortet werden:

• Was ist passiert?

• Welche Systeme sind betroffen?

• Wann begann der Angriff?

• Sind personenbezogene Daten betroffen?

• Sind Kunden oder Lieferanten betroffen?

• Sind kritische Dienstleistungen beeinträchtigt?

• Ist der Vorfall meldepflichtig?

• Wer darf die Meldung freigeben?

• Wer kommuniziert mit BSI, Kunden, Presse und möglicherweise Datenschutzaufsicht?

Unternehmen, die diese Fragen erst im Vorfall klären, verlieren wertvolle Zeit.

Deshalb wird ein Auditor nicht nur einen Incident-Response-Plan sehen wollen.

Entscheidend ist:

Wurde dieser Plan getestet?

Ein belastbarer Nachweis kann beispielsweise eine dokumentierte Tabletop-Übung sein.

Dabei simulieren Geschäftsleitung, IT, Informationssicherheit, Datenschutz, Kommunikation und gegebenenfalls externe Dienstleister einen Cybervorfall.

Die entscheidende Erkenntnis solcher Übungen lautet häufig:

• Das Problem ist nicht die Technik.

• Das Problem sind unklare Entscheidungen, fehlende Kontaktdaten und nicht definierte Verantwortlichkeiten.

Ein guter Incident-Response-Prozess muss deshalb nicht nur technisch funktionieren.

Er muss organisatorisch funktionieren.

---

5. ISO 27001 als Fundament – aber keine Rundum-Lösung

Für Unternehmen, die NIS2 strukturiert umsetzen möchten, ist ISO/IEC 27001 aus meiner Sicht einer der sinnvollsten Ausgangspunkte.

Warum?

Weil die Norm genau das schafft, was NIS2 benötigt:

ein systematisches Informationssicherheitsmanagement.

Dazu gehören unter anderem:

• Risikomanagement

• definierte Verantwortlichkeiten

• Informationssicherheitsziele

• interne Audits

• Managementbewertungen

• kontinuierliche Verbesserung

• dokumentierte Sicherheitsmaßnahmen

Ein funktionierendes ISMS verhindert damit, dass NIS2 als Sammlung isolierter Einzelprojekte umgesetzt wird.

Stattdessen entsteht ein Steuerungssystem.

Allerdings gilt ein wichtiger Grundsatz:

ISO 27001 ist kein automatischer NIS2-Nachweis.

Eine Zertifizierung bedeutet nicht automatisch, dass sämtliche gesetzlichen Anforderungen erfüllt sind.

Besonders geprüft werden sollten unter anderem:

• NIS2-spezifische Meldeprozesse

• gesetzlich definierte Fristen

• Geschäftsleiterpflichten und Schulungen

• Lieferkettensicherheit

• Registrierungs- und Kommunikationsprozesse

• gegebenenfalls zusätzliche branchenspezifische Anforderungen

Nicht jedes NIS2-Unternehmen muss automatisch ein periodisches „NIS2-Zertifizierungsaudit“ absolvieren. Die Nachweis- und Aufsichtsmechanismen richten sich nach der jeweiligen Einstufung. Eine eigenständige gesetzliche NIS2-Zertifizierung gibt es dabei ohnehin nicht.

Deshalb ist der pragmatische Weg:

ISO 27001 als Managementfundament nutzen und anschließend eine gezielte NIS2-Gap-Analyse durchführen.

So werden bestehende Strukturen genutzt, anstatt eine parallele Compliance-Welt aufzubauen.

---

Welche Sofortmaßnahmen jetzt sinnvoll sind

Unternehmen müssen nicht mit einem monatelangen Großprojekt beginnen.

Ein pragmatischer Audit-Readiness-Check kann bereits sehr viel Transparenz schaffen.

Die Geschäftsleitung sollte fünf Fragen stellen:

1. Können wir unsere wichtigsten Cyberrisiken innerhalb von 30 Minuten zeigen?

• Nicht nur erklären

• Dokumentiert zeigen

2. Können wir für unsere wichtigsten Sicherheitsmaßnahmen belastbare Evidenzen vorlegen?

• Beispielsweise Patchreports, Backup-Tests, MFA-Abdeckung oder Awareness-Nachweise

3. Kennen wir unsere kritischen Lieferanten?

• Einschließlich ihrer Zugriffe, Abhängigkeiten und Sicherheitsrisiken

4. Können wir einen erheblichen Cybervorfall innerhalb der gesetzlichen Fristen bewerten und melden?

• Mit klaren Verantwortlichkeiten und Vertretungen

5. Kann die Geschäftsleitung nachvollziehbar zeigen, wie sie Informationssicherheit steuert?

• Durch Entscheidungen, Management-Reviews, Risikofreigaben, Kennzahlen und Schulungsnachweise

Wer diese fünf Fragen überzeugend beantworten kann, besitzt bereits eine gute Grundlage.

Wer bei mehreren Punkten zögert, kennt seine Prioritäten.

---

Wie eine erfolgreiche Umsetzung erreicht werden kann

Der häufigste Fehler bei NIS2 ist, Compliance als Dokumentationsprojekt zu behandeln.

Dann entstehen Richtlinien, Checklisten und Ordner.

Die operative Realität verändert sich jedoch kaum.

Der bessere Ansatz ist ein kontinuierlicher Steuerungskreislauf:

• Risiken erkennen

• Maßnahmen festlegen

• Verantwortung zuweisen

• Umsetzung nachweisen

• Wirksamkeit messen

• Abweichungen verbessern

ISO 27001 beschreibt dafür bereits ein bewährtes Managementsystem.

NIS2 ergänzt dieses Fundament um konkrete regulatorische Anforderungen und eine deutlich stärkere Verantwortung der Geschäftsleitung.

Die entscheidende Vorbereitung auf eine Prüfung besteht deshalb nicht darin, kurz vor einem Audit möglichst viele Dokumente zusammenzustellen.

Sie besteht darin, ein Unternehmen so zu organisieren, dass Nachweise im normalen Betrieb automatisch entstehen.

• Ein Patchreport entsteht durch den Patchprozess

• Ein Restore-Protokoll durch regelmäßige Wiederherstellungstests

• Eine Lieferantenbewertung durch den Vendor-Management-Prozess

• Ein Schulungsnachweis durch das Awareness-Programm

• Ein Managementnachweis durch regelmäßige Security-Reviews

Dann wird Auditfähigkeit nicht zu einem Sonderprojekt.

Sie wird zum Ergebnis guter Unternehmensführung.

---

Fazit: Die beste Auditvorbereitung ist gelebte Sicherheitssteuerung

NIS2 macht Cybersicherheit endgültig zur Managementaufgabe.

Auditoren und Aufsichtsbehörden werden sich langfristig nicht damit zufriedengeben, dass Unternehmen Richtlinien besitzen oder Sicherheitsprodukte gekauft haben.

Entscheidend ist die Frage:

Funktioniert das System tatsächlich?

Ein auditfähiges Unternehmen kann nachvollziehbar zeigen:

• welche Risiken bestehen

• welche Entscheidungen getroffen wurden

• welche Maßnahmen umgesetzt sind

• wer dafür verantwortlich ist

• welche Lieferanten kritisch sind

• wie Vorfälle behandelt werden

• und ob die Sicherheitsmaßnahmen tatsächlich wirken

Genau darin liegt der Unterschied zwischen Compliance auf dem Papier und echter Cyberresilienz.

Die wichtigste Vorbereitung auf NIS2 lautet deshalb:

Nicht für den Auditor arbeiten.

Das Unternehmen so steuern, dass der Auditor nur noch sehen muss, was ohnehin funktioniert. 

Weitere Fachbeiträge, Whitepaper und Praxishilfen zu NIS2, ISO 27001, Informationssicherheit und Cyberresilienz findest Du im Wissensportal für Entscheider