EU-Richtlinie NIS2 – Cybersicherheit ist jetzt Chefsache
Die europäische NIS2-Richtlinie soll die Cybersicherheit in der EU deutlich stärken – und sie betrifft künftig weit mehr Unternehmen als bisher. IT-Sicherheit wird damit nicht länger ein optionales IT-Thema, sondern ein fester Bestandteil verantwortungsvoller Unternehmensführung. NIS2 ist durch die nationale Umsetzung verbindlich geworden. Diese ist in Deutschland seit dem 6. Dezember 2025 in Kraft; betroffene Unternehmen mussten sich bis März 2026 beim Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, anmelden.
Unabhängig von NIS2 gilt: Unternehmen müssen ihre Risiken kennen und angemessen steuern. Dazu gehört auch der Schutz der eigenen IT-Systeme. Wer hier untätig bleibt, handelt nicht nur wirtschaftlich riskant, sondern setzt sich auch erheblichen rechtlichen Risiken aus.
Hinzu kommt der zunehmende Druck aus der Praxis. Auftraggeber, Geschäftspartner und Versicherer orientieren sich bereits an den kommenden Anforderungen und geben diese entlang der Lieferkette weiter. Wer heute in Projekten tätig ist, die über nationale Grenzen hinausgehen, wird mit entsprechenden Erwartungen bereits konfrontiert. Die entscheidende Frage ist daher nicht, ob NIS2 formal schon gilt – sondern ob die eigene IT einem gezielten Angriff standhalten würde.
IT-Sicherheit beginnt mit der Frage: Welche Systeme sind für unseren Betrieb wirklich kritisch? In Bauunternehmen sind das häufig Projektplattformen, Kalkulationssoftware, E-Mail-Systeme, Dokumentenablagen oder ERP-Lösungen. Fällt eines dieser Systeme aus, hat das direkte Auswirkungen auf Abläufe, Termine und Zahlungsprozesse.
Auf dieser Basis müssen Zuständigkeiten eindeutig geklärt werden. Wer trägt die Verantwortung für IT-Sicherheit? Wer entscheidet im Ernstfall? Und wer übernimmt die Koordination, wenn schnelle Maßnahmen erforderlich sind? Ebenso entscheidend ist eine belastbare Bewertung der tatsächlichen Risiken. Welche Systeme sind besonders anfällig? Welche Daten sind unverzichtbar? Und welche konkreten Folgen hätte ein Ausfall?
Auf technischer Ebene geht es nicht darum, möglichst viele Lösungen einzusetzen, sondern die richtigen – konsequent und zuverlässig. Ein zentraler Punkt ist die Aktualität der Systeme. Veraltete Software gehört nach wie vor zu den häufigsten Angriffspunkten. Regelmäßige Updates sind daher Pflicht.
Entscheidend ist dabei nicht das einmalige Erreichen eines Schutzniveaus oder die Anschaffung einzelner Produkte, sondern deren kontinuierliche Überprüfung und Anpassung. Nur so lässt sich sicherstellen, dass der Schutz auch unter veränderten Bedingungen wirksam bleibt. Ebenso entscheidend sind klar geregelte Zugriffsrechte. Nicht jeder Mitarbeiter benötigt Zugriff auf alle Systeme oder Daten. Wer hier sauber trennt, reduziert das Risiko erheblich.
Ein weiterer Schlüsselbereich ist die Datensicherung. Backups müssen vorhanden sein – und vor allem regelmäßig getestet und im Ernstfall verfügbar. Im Ernstfall entscheidet genau das darüber, ob ein Unternehmen innerhalb von Stunden wieder arbeitsfähig ist oder für Tage stillsteht.
Auch Endgeräte spielen eine größere Rolle, als oft angenommen wird. Laptops, Smartphones und mobile Geräte sind häufig das Einfallstor für Angriffe – insbesondere dann, wenn sie außerhalb des Unternehmensnetzwerks genutzt werden.
Kommt es zu einem Sicherheitsvorfall, entscheidet die Vorbereitung über den Schaden. Unternehmen sollten nicht erst im Ernstfall überlegen, wie sie reagieren. Zu den wichtigsten ersten Maßnahmen gehört es, betroffene Systeme schnell zu isolieren, um eine weitere Ausbreitung zu verhindern. Parallel muss geklärt werden, welche Systeme betroffen sind und wie der Betrieb stabilisiert werden kann.
Spezialisierte IT-Sicherheitsdienstleister sind dabei häufig unverzichtbar. Viele Unternehmen verfügen nicht über die notwendigen Ressourcen, um komplexe Vorfälle eigenständig zu bewältigen. Hinzu kommen Meldepflichten, die innerhalb kurzer Fristen erfüllt werden müssen. Ohne vorbereitete Abläufe kann das schnell zur zusätzlichen Belastung werden. Ebenso entscheidend ist die Kommunikation – intern wie extern. Unklare oder verspätete Informationen können den Schaden erheblich vergrößern.
IT-Sicherheit lässt sich nicht einmalig „einführen“. Die Bedrohungslage entwickelt sich kontinuierlich weiter – und damit auch die Anforderungen. Unternehmen sollten ihre Sicherheitsmaßnahmen regelmäßig überprüfen und an veränderte Bedrohungslagen anpassen. Dazu gehören klare Prozesse, definierte Zuständigkeiten und wiederkehrende Tests.
IT-Sicherheit ist längst auch eine Frage der Unternehmensverantwortung. Geschäftsleiter sind verpflichtet, ihr Unternehmen so zu organisieren, dass vorhersehbare Risiken beherrscht werden – dazu gehört heute ausdrücklich auch die IT.
Kommt es zu einem Vorfall und zeigt sich, dass grundlegende Maßnahmen unterlassen wurden – etwa fehlende Backups, unzureichende Zugriffskontrollen oder veraltete Systeme – kann dies als Organisationsverschulden gewertet werden. Entsprechende Schutzmechanismen und Softwarelösungen, wie beispielsweise vom weltweit tätigen Cybersecurity-Unternehmen ESET, sind heute breit verfügbar, wirtschaftlich vertretbar und gelten als Stand der Technik. Sie werden jedoch in vielen Unternehmen jedoch noch nicht konsequent genutzt.
Entscheidend ist dabei nicht, ob NIS2 bereits formal umgesetzt ist, sondern ob ein Unternehmen angemessen auf erkennbare Risiken reagiert hat. Wer hier untätig bleibt, geht ein doppeltes Risiko ein: wirtschaftlich – und persönlich.
