NIS2-Richtlinie: Cybersicherheit wird zur direkten Aufgabe der Geschäftsleitung

Mit dem Fortschreiten der europäischen NIS2-Richtlinie verlagert sich die Verantwortung für Informationssicherheit endgültig aus den reinen IT-Abteilungen auf die Führungsetagen. Branchenbeobachter weisen darauf hin, dass die Regulierung Cybersicherheit zu einer zentralen Leitungsaufgabe macht.

Auf nationaler Ebene schreitet die gesetzliche Verankerung der Vorgaben voran: In Bulgarien beschloss das Parlament die entsprechenden Änderungen des nationalen Cybersicherheitsgesetzes am 5. Februar 2026, gefolgt von der Veröffentlichung im Staatsanzeiger Nr. 17 am 13. Februar 2026. Die neuen Bestimmungen verdeutlichen, dass Betriebe ihre Sicherheitsarchitektur und Meldewege grundlegend anpassen müssen.

Gesetzliche Pflichten und Verantwortung der Geschäftsleitung

Die NIS2-Richtlinie verpflichtet betroffene Unternehmen in der Europäischen Union zu umfassenden Maßnahmen des Risikomanagements, zur formalisierten Meldung von Sicherheitsvorfällen sowie zur direkten Übernahme von Vorstandsverantwortung.

Der regulatorische Rahmen erstreckt sich dabei nicht allein auf Software und aktive Systeme, sondern schließt auch passive Netzinfrastruktur wie Verkabelungssysteme ausdrücklich ein. Gemäß Artikel 21 der Richtlinie sind zehn zentrale Risikomanagementmaßnahmen umzusetzen, die von der Absicherung der Lieferkette bis zur Bewältigung von Vorfällen reichen.

Verstöße oder Schwachstellen können erhebliche rechtliche Konsequenzen nach sich ziehen. Bei Vorfällen, die zusätzlich Gesundheitsdaten berühren, greift neben den branchenspezifischen Vorgaben weiterhin die strenge 72-Stunden-Frist der Datenschutz-Grundverordnung zur Meldung an die zuständige Datenschutzkommission.

Wer die komplexen gesetzlichen Anforderungen an die IT-Sicherheit erfüllen möchte, benötigt eine fundierte Informationsgrundlage. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Cyber Security Bedrohungen abwenden und das Unternehmen schützen

Um den gestiegenen Nachweispflichten gerecht zu werden, setzen Unternehmen zunehmend auf automatisierte Managementsysteme für ihre Infrastruktur, um die gesetzlichen Risikomanagementmaßnahmen lückenlos zu dokumentieren.

Kundendruck und Prüfungen entlang der Lieferkette

Neben staatlichen Kontrollen erweist sich vor allem der Markt als wesentlicher Treiber für die Umsetzung der NIS2-Vorgaben. Ein typischer Fragebogen, den Großkunden im Rahmen ihrer Lieferantenüberprüfung versenden, umfasst mittlerweile rund 200 Einzelfragen zu Sicherheitsstandards und betrieblichen Abläufen.

Der Druck auf Zulieferer entsteht damit oft direkt über vertragliche Audits, da Auftraggeber nachweisen müssen, dass ihre gesamte Lieferkette den europäischen Sicherheitsvorgaben genügt.

Die Absicherung der eigenen Infrastruktur ist nur der erste Schritt, um den steigenden Anforderungen von Geschäftspartnern und Behörden dauerhaft gerecht zu werden. Ein kostenloses E-Book zeigt auf, wie Sie Sicherheitslücken proaktiv schließen und gleichzeitig neue gesetzliche Anforderungen ohne hohe Investitionen erfüllen. IT-Sicherheits-Guide für Unternehmer jetzt kostenlos herunterladen

Für die Vorbereitung auf die Einhaltung der Vorschriften wird in der Praxis ein Zeitraum von rund einem Jahr veranschlagt. Den wichtigsten ersten Schritt bildet dabei eine fundierte Einstiegsanalyse der bestehenden IT- und Non-IT-Assets.

Organisationen, die bereits über etablierte Managementsysteme nach Standards wie ISO/IEC 27001 oder TISAX verfügen, verschaffen sich einen deutlichen Vorsprung bei der Erfüllung der NIS2-Kriterien, da viele Prozesse bereits dokumentiert sind.

Operative Umsetzung und Asset-Dokumentation

In der betrieblichen Praxis erfordert die Umsetzung strukturierte Erfassungsprozesse. Eine vollständige Inventarisierung aller Unternehmenswerte bildet die Datenbasis für Gefahrenanalysen, Lizenz-Compliance und das Incident-Management. Endpoint-Sicherheit und Incident-Response-Systeme unterstützen die Erstellung von Dokumentationen für das Informationssicherheits-Managementsystem.

Angesichts komplexer Netzwerke und zunehmender Anforderungen an die Vorfallsbewältigung müssen Organisationen ihre technischen Schutzmaßnahmen kontinuierlich überprüfen, um den Nachweispflichten gegenüber Behörden und Geschäftspartnern fristgerecht nachzukommen.