NIS2 wird in vielen Unternehmen zunächst als IT-Thema behandelt. Die Sicherheitsabteilung bekommt den Auftrag, die Richtlinie umzusetzen, und der Rest des Unternehmens wartet ab. Dieses Vorgehen scheitert regelmäßig, weil die NIS2-Richtlinie ausdrücklich eine unternehmensweite Verantwortung verlangt. Wer die betroffenen Abteilungen frühzeitig einbindet, spart sich spätere Nacharbeiten und schafft eine Compliance-Struktur, die auch unter Audit-Bedingungen trägt.
Die Frage, welche Bereiche bei der NIS2-Umsetzung einbezogen werden müssen, ist keine rein organisatorische. Sie bestimmt, ob Maßnahmen wirklich greifen oder nur auf dem Papier existieren. Dieser Artikel zeigt, welche Abteilungen welche Rolle übernehmen und wie sich die Zusammenarbeit strukturieren lässt.
NIS2 als unternehmensweite Aufgabe – nicht nur IT
Die NIS2-Richtlinie verpflichtet betroffene Unternehmen zu einem umfassenden Ansatz beim Umgang mit Cybersicherheitsrisiken. Das betrifft nicht nur technische Systeme, sondern auch Prozesse, Verträge, Personal und Unternehmensführung. Wer NIS2-Compliance allein als technisches Projekt begreift, wird die regulatorischen Anforderungen nicht vollständig erfüllen.
Konkret schreibt die Richtlinie Maßnahmen in Bereichen vor, die weit über den klassischen IT-Betrieb hinausgehen: Lieferkettensicherheit, Schulung von Mitarbeitenden, Incident-Management mit definierten Meldeprozessen und die persönliche Haftung der Geschäftsleitung. Jede dieser Anforderungen berührt andere Abteilungen mit eigenen Zuständigkeiten. NIS2-Anforderungen im Überblick zeigt, welche Pflichten konkret gelten.
Geschäftsführung und Compliance: Pflichten und Verantwortung
Die Geschäftsführung steht bei NIS2 nicht am Rand des Projekts, sondern in der Mitte. Die Richtlinie sieht vor, dass die Leitungsebene Sicherheitsmaßnahmen aktiv billigen und deren Umsetzung überwachen muss. Im Fall eines Vorfalls kann die persönliche Haftung greifen, wenn nachgewiesen wird, dass die Führungsebene ihre Pflichten vernachlässigt hat.
Das bedeutet in der Praxis: Die Geschäftsführung muss das Risikomanagement nicht selbst betreiben, aber sie muss es verstehen, genehmigen und regelmäßig überprüfen. Dazu gehört auch, ausreichende Ressourcen für die NIS2-Umsetzung bereitzustellen. Compliance-Verantwortliche, sofern vorhanden, übernehmen die Koordination zwischen regulatorischen Anforderungen und internen Prozessen und sind damit eine wichtige Schnittstelle zur Geschäftsleitung.
IT und Informationssicherheit: Technische Umsetzung und Risikomanagement
Die IT-Abteilung und, wo vorhanden, der Informationssicherheitsbeauftragte tragen den operativen Kern der NIS2-Umsetzung. Sie verantworten das technische Risikomanagement, die Implementierung von Schutzmaßnahmen und die Dokumentation des Sicherheitsniveaus.
Technische Maßnahmen mit direktem NIS2-Bezug
Zu den Maßnahmen, die NIS2 konkret einfordert, zählen unter anderem Netzwerksegmentierung, Zugangskontrollen, Verschlüsselung, Schwachstellenmanagement und die Fähigkeit zur Erkennung und Reaktion auf Sicherheitsvorfälle. Ein funktionierendes SIEM-System oder ein Managed Detection and Response-Dienst sind dabei keine optionalen Ergänzungen, sondern Teil eines belastbaren Sicherheitskonzepts.
Risikomanagement als kontinuierlicher Prozess
NIS2 verlangt kein einmaliges Assessment, sondern ein dauerhaftes Risikomanagement. Die IT-Abteilung muss Bedrohungen regelmäßig bewerten, Maßnahmen anpassen und Ergebnisse dokumentieren. Wer hier auf strukturierte Prozesse und klare Verantwortlichkeiten setzt, schafft eine Grundlage, die auch bei Behördenanfragen oder Audits standhält.
Einkauf, HR und weitere Bereiche im NIS2-Kontext
Zwei Abteilungen werden bei der NIS2-Umsetzung häufig unterschätzt: Einkauf und Human Resources. Beide haben konkrete Berührungspunkte mit den Anforderungen der Richtlinie.
Der Einkauf ist direkt betroffen, weil NIS2 die Sicherheit der Lieferkette explizit adressiert. Verträge mit Dienstleistern und Lieferanten müssen Sicherheitsanforderungen enthalten. Das bedeutet, dass der Einkauf wissen muss, welche Mindeststandards für externe Partner gelten, und diese in Ausschreibungen und Vertragsverhandlungen einbringen muss. Ohne diese Einbindung entstehen Lücken in der Lieferkettensicherheit, die regulatorisch problematisch werden können.
HR wiederum ist zuständig für Schulungen und Sensibilisierungsmaßnahmen. NIS2 fordert, dass Mitarbeitende regelmäßig zu Cybersicherheitsthemen geschult werden. Die Umsetzung dieser Anforderung liegt nicht bei der IT, sondern bei der Personalentwicklung, die Schulungsformate plant, dokumentiert und nachverfolgt. Auch die Einarbeitung neuer Mitarbeitender und der Umgang mit Zugriffsrechten beim Austritt sind Prozesse, bei denen HR und IT eng zusammenarbeiten müssen.
Weitere Bereiche können je nach Branche und Unternehmensstruktur hinzukommen: der Rechtsdienst bei der Vertragsgestaltung und Haftungsfragen, die Kommunikationsabteilung bei der Gestaltung von Meldeprozessen nach außen oder das Qualitätsmanagement bei Unternehmen, die bereits nach ISO 9001 oder ähnlichen Standards zertifiziert sind.
Koordination abteilungsübergreifender NIS2-Projekte
Wenn mehrere Abteilungen gleichzeitig an der NIS2-Umsetzung arbeiten, entsteht schnell das Risiko von Doppelarbeit, unklaren Zuständigkeiten und fehlender Gesamtübersicht. Eine strukturierte Projektorganisation ist deshalb keine Formalität, sondern eine praktische Notwendigkeit.
Bewährt hat sich ein zentrales Steuerungsgremium oder ein Projektverantwortlicher, der den Überblick über alle laufenden Maßnahmen behält, Abhängigkeiten zwischen den Bereichen erkennt und den Fortschritt gegenüber der Geschäftsführung berichtet. In kleineren Unternehmen kann das ein externer Informationssicherheitsbeauftragter übernehmen, der sowohl die technische als auch die organisatorische Perspektive abdeckt.
Wichtig ist auch eine gemeinsame Sprache. IT-Teams denken in technischen Maßnahmen, Führungskräfte in Risiken und Haftung, der Einkauf in Vertragsklauseln. Ein gutes NIS2-Projekt übersetzt diese unterschiedlichen Perspektiven ineinander und sorgt dafür, dass alle Beteiligten verstehen, warum ihre Mitwirkung notwendig ist. Regelmäßige Statusmeetings, klare Dokumentation und ein gemeinsames Maßnahmenregister helfen dabei, den Überblick zu behalten und Fortschritte nachvollziehbar zu machen.
So unterstützt UBESAFE bei der NIS2-Umsetzung
UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsprüfung bis zur dauerhaften Erfüllung der Anforderungen. Das Angebot umfasst:
- Ein strukturiertes NIS2-Audit mit GAP-Analyse, das den aktuellen Stand bewertet und konkrete Handlungsfelder benennt
- Aufbau von Governance-Strukturen und Meldeprozessen, abgestimmt auf die jeweilige Unternehmensorganisation
- Technische Umsetzung von Sicherheitsmaßnahmen wie 24/7-Monitoring, SIEM, Schwachstellen-Scans und Patchmanagement
- Koordination abteilungsübergreifender Anforderungen, sodass IT, Einkauf, HR und Geschäftsführung an einem Strang ziehen
- Einen Managed Service, der NIS2-Compliance nicht als einmaliges Projekt behandelt, sondern kontinuierlich überwacht und weiterentwickelt
Ob als vollumfängliches Paket oder als gezielte Unterstützung in einzelnen Bereichen: UBESAFE liefert Engineering-Kompetenz und Auditoren-Erfahrung aus einer Hand, ohne Schnittstellenverluste zwischen Beratung und Umsetzung. Für einen ersten Überblick über den eigenen Stand empfiehlt sich ein kostenfreies Erstgespräch. Wer mehr über das Gesamtangebot erfahren möchte, findet unter IT-Service von UBESAFE weitere Informationen.