NIS2: Der Belastungstest für Telefonie, Netzwerk und Rechenzentrum

NIS2 bleibt nicht auf abstrakter Regulierungsebene, sondern verlangt greifbare Ergebnisse: Unternehmen sollen ihre wesentlichen Risiken im Zusammenhang mit Netz‑ und Informationssystemen kennen, steuern und angemessen reduzieren. Im Mittelpunkt steht dabei nicht die vollständige Vermeidung jeder Störung, sondern die Fähigkeit, kritische Geschäftsprozesse auch unter widrigen Bedingungen weiterzuführen. Maßnahmen müssen dabei nachvollziehbar geplant, umgesetzt und regelmäßig überprüft werden.

Die Richtlinie übersetzt sich praktisch in drei zentrale Handlungsfelder: Verfügbarkeit, Redundanz und Incident Response. Unter Verfügbarkeit versteht NIS2 den zuverlässigen Betrieb geschäftskritischer Systeme und Kommunikationswege – insbesondere in Situationen, in denen Störungen oder Angriffe auftreten.

Redundanz bedeutet, dass kritische Funktionen nicht an einzelnen Komponenten, Leitungen oder Standorten hängen dürfen, sondern alternative Wege und Ressourcen von vornherein vorgesehen und technisch nutzbar sein müssen. Incident Response schließlich verlangt, Sicherheitsvorfälle und schwerwiegende Störungen frühzeitig zu erkennen, strukturiert zu bewerten, fristgerecht zu melden und mit klar definierten Abläufen zu bearbeiten.

Für die Geschäftsführung entsteht daraus eine explizite Verantwortung. Sie muss sicherstellen, dass ein angemessenes Risikomanagement etabliert ist, dass ausreichende Ressourcen bereitstehen und dass die getroffenen technischen und organisatorischen Maßnahmen zur eigenen Risikosituation passen. IT‑ und Security‑Teams können vorbereiten, implementieren und betreiben – die Entscheidung, welches Restrisiko akzeptabel ist und welche Investitionen notwendig sind, bleibt eine Managementaufgabe. NIS2 verankert Cyber‑Resilienz damit als Bestandteil der Unternehmenssteuerung, nicht als rein technische Detailfrage.