Herr Haßler, wenn Unternehmen von NIS2 hören, wirken viele zunächst unsicher. Woran liegt das?
Das erleben wir tatsächlich sehr häufig. Viele Geschäftsführer hören Begriffe wie Informationssicherheitsmanagement, Risikomanagement oder Cybersecurity und denken sofort an große Konzerne mit eigenen IT- und Compliance-Abteilungen. Dabei besteht die eigentliche Herausforderung oft gar nicht in der Umsetzung, sondern in der Unsicherheit zu Beginn. Viele Unternehmen wissen nicht, ob sie überhaupt betroffen sind, welche Anforderungen konkret gelten und wo sie anfangen sollen. Genau an diesem Punkt setzen wir mit RC_NIS2 an.
Was genau ist RC_NIS2?
RC_NIS2 ist eine vollständig remote durchgeführte Workshop-Reihe, die speziell für mittelständische Unternehmen entwickelt wurde. Unser Ziel ist nicht, den Teilnehmern möglichst viel Theorie zu vermitteln. Stattdessen arbeiten wir Schritt für Schritt gemeinsam an den konkreten Anforderungen. Die Teilnehmer erhalten Vorlagen, Richtlinien, Musterdokumente und klare Handlungsanweisungen, die sie unmittelbar im eigenen Unternehmen einsetzen können. Am Ende entsteht kein Ordner voller Notizen, sondern ein belastbares Fundament für die praktische NIS2-Umsetzung – sauber dokumentiert in der im Workshop inbegriffenen ISMS-Software.
An wen richtet sich die Workshop-Reihe?
Grundsätzlich an Geschäftsführer, Inhaber und Mitarbeiter, die im Unternehmen die Umsetzung koordinieren sollen. Viele Teilnehmer kommen aus der IT, andere aus dem Qualitätsmanagement oder der Verwaltung. Einige Unternehmen entsenden sogar direkt die Geschäftsführung. Entscheidend ist nicht die Berufsbezeichnung, sondern die Bereitschaft, das Thema intern voranzutreiben. Eine eigene IT-Abteilung ist keine Voraussetzung.
Das überrascht viele Unternehmen. Warum benötigt man keine eigene IT-Abteilung?
Weil NIS2 deutlich mehr ist als ein IT-Thema. Natürlich gibt es technische Anforderungen. Ein großer Teil der Umsetzung betrifft jedoch organisatorische Maßnahmen, Verantwortlichkeiten, Richtlinien, Prozesse und Dokumentationen. Genau deshalb arbeiten bei Ratisbona Compliance technische und juristische Experten zusammen. Wir unterstützen die Teilnehmer dabei, die Anforderungen verständlich einzuordnen und praxisnah umzusetzen – auch dann, wenn im Unternehmen keine eigene Security-Abteilung vorhanden ist.
„Unser Ziel ist nicht, den Teilnehmern möglichst viel Theorie zu vermitteln. Stattdessen arbeiten wir Schritt für Schritt gemeinsam an den konkreten Anforderungen.“
Wie läuft die Workshop-Reihe konkret ab?
Die Workshops finden einmal pro Woche online zu einem festen Zeitpunkt statt und dauern in der Regel zwischen 60 und 90 Minuten. Wir beginnen bewusst mit den Grundlagen. Zu Beginn unterstützen wir die Teilnehmer beispielsweise bei der Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) und erläutern die organisatorischen Rahmenbedingungen der NIS2-Umsetzung.
Anschließend arbeiten wir uns Schritt für Schritt durch die verschiedenen Themenbereiche. Dazu gehören unter anderem die Informationssicherheitspolitik, Risikomanagement, Richtlinien, Schulungen, technische Maßnahmen, Vorfallmanagement oder Fragen der Geschäftsführungs-Haftung. Jeder Workshop baut auf den vorherigen Terminen auf.
Wie hoch ist der tatsächliche Zeitaufwand für die Teilnehmer?
Das ist wahrscheinlich eine der häufigsten Fragen. Viele Unternehmen befürchten, dass sie für NIS2 mehrere Tage pro Woche aufbringen müssen. Die Realität sieht deutlich entspannter aus. Durch die Aufteilung in kleine, aufeinander aufbauende Schritte bleibt der Aufwand überschaubar. Die Teilnehmer müssen kein Großprojekt neben dem Tagesgeschäft stemmen. Stattdessen arbeiten sie kontinuierlich und strukturiert an der Umsetzung. Genau deshalb haben wir uns bewusst für das Workshop-Format entschieden.
Was erhalten die Teilnehmer zusätzlich zu den Workshops?
Einen sehr umfangreichen Werkzeugkasten. Wir stellen zahlreiche Vorlagen, Richtlinien, Dokumente und Hilfestellungen zur Verfügung. Dazu gehören beispielsweise Informationssicherheitspolitiken, Klassifizierungsrichtlinien, Mobile-Device-Richtlinien und weitere Dokumente, die für die Umsetzung benötigt werden. Dadurch müssen Unternehmen nicht bei null beginnen, sondern können auf bewährte Grundlagen zurückgreifen und diese an ihre individuellen Bedürfnisse anpassen. Nach jedem Workshop erhalten die Teilnehmer zudem ein Protokoll.
Darüber hinaus laden wir immer wieder externe Experten ein – beispielsweise Fachanwälte für IT-Recht, ISO-27001-Auditoren oder Pentesting-Experten.
Welche Rolle spielt die Geschäftsführung im Rahmen von NIS2?
Eine zentrale Rolle. Die NIS2-Regulierung macht deutlich, dass Informationssicherheit keine Aufgabe ist, die vollständig an die IT delegiert werden kann. Die Verantwortung liegt letztlich bei der Unternehmensleitung.
Deshalb ist die Geschäftsführung – wie auch die gesetzlich vorgeschrieben vierstündige Schulung der Geschäftsführung – ein wichtiger Bestandteil unserer Workshop-Reihe. Wir erklären nicht nur die Anforderungen, sondern zeigen auch auf, welche Pflichten und Haftungsrisiken für Geschäftsführer bestehen und wie diese organisatorisch abgesichert werden können.
Was unterscheidet RC_NIS2 von einer klassischen Beratungsleistung?
Viele Beratungsprojekte funktionieren nach dem Prinzip: Berater analysiert, erstellt einen Bericht und übergibt eine To-do-Liste. Wir verfolgen einen anderen Ansatz. Wir begleiten die Teilnehmer Schritt für Schritt durch den gesamten Prozess. Die Umsetzung erfolgt nicht irgendwann später, sondern bereits während der Workshop-Reihe.
Dadurch entsteht ein kontinuierlicher Fortschritt und die Unternehmen bleiben nicht mit abstrakten Empfehlungen allein zurück. Unser Ziel ist es die Teilnehmer im Informationssicherheits-Kontext zu „enablen“, also zu befähigen und nachhaltig zu sensibilisieren.
Was sagen Teilnehmer typischerweise nach den ersten Workshops?
Die meisten stellen fest, dass NIS2 deutlich greifbarer ist als zunächst gedacht. Anfangs herrscht oft die Sorge vor einem komplexen und kaum überschaubaren Projekt. Nach einigen Workshops erkennen die Teilnehmer, dass sich die Anforderungen systematisch und in überschaubaren Schritten bearbeiten lassen.
Genau dieses Gefühl von Orientierung und Struktur ist für viele Unternehmen ein entscheidender Mehrwert.
Ihr Rat an Unternehmen, die sich noch nicht mit NIS2 beschäftigt haben?
Nicht warten. Selbst wenn noch Unsicherheit darüber besteht, ob das eigene Unternehmen betroffen ist, lohnt sich eine frühzeitige Beschäftigung mit dem Thema. Informationssicherheit wird unabhängig von regulatorischen Anforderungen zunehmend zu einem Wettbewerbs- und Vertrauensfaktor.
Unternehmen müssen den Weg nicht allein gehen. Wichtig ist vor allem, den ersten Schritt zu machen und sich einen strukturierten Überblick zu verschaffen. Alles Weitere lässt sich dann systematisch aufbauen.
Das Interview führte Thorsten Retta, punktX grafik.content.konzepte
Porträtbild: Dominik Schreiner