Blog des deutschen Enterprise-Software-Ingenieurbüro und Unternehmensberatung 4WT Co., Ltd. in Bangkok

„Wir nutzen doch HTTPS“ –
warum dieses Argument unter NIS-2 nicht mehr trägt

• Passwörter werden per E-Mail versendet
• Zugangsdaten stehen im GET-Parameter einer URL
• Der Einwand lautet: „Der Transport ist doch verschlüsselt (HTTPS).“

• GET-Parameter landen im Klartext:
  • in Server-Logs (access.log)
  • im Browser-Verlauf
  • in Proxy- und Firewall-Logs
    → Verstoß gegen Security by Design
• E-Mails:
  • liegen jahrelang unverschlüsselt im Postfach
  • im „Gesendet“-Ordner des Kunden
  • im Support-Postfach Ihres Unternehmens

Die „Passwort-Richtlinie“ und die TXT-Datei in der Schublade

• Der Geschäftsführer unterschreibt eine Passwort-Richtlinie
  (12 Zeichen, Sonderzeichen, Wechsel alle 90 Tage)
• Der Administrator denkt sich:
  „Das kann sich kein Mensch merken.“
• Ergebnis:
• passwords.txt
oder der berühmte Zettel in der Schublade

Das eigentliche Dilemma: Unpraktische Regeln erzeugen Regelverstöße

• Ihre Mitarbeiter umgehen Regeln nicht aus Böswilligkeit,
• sondern weil sie unpraktisch sind.
• Gleichzeitig haften Sie persönlich, wenn genau diese Umgehungen zum Vorfall führen.

Die Lösung liegt nicht in mehr Papier, sondern in Technik

KI, Automatisierung und Cyber-Haftung gehören zusammen

Fazit für Geschäftsführer

• NIS-2 ist kein IT-Thema, sondern Unternehmensführung
• Vertrauen ersetzt keine technischen Kontrollen
• Unpraktische Regeln erzeugen Haftung
• Gute Technik schützt Menschen, nicht nur Daten
• Cyber-Sicherheit ist heute Teil der Liquiditäts- und Existenzsicherung

Rechtlicher Hintergrund: Warum NIS-2 die Rolle des Geschäftsführers verändert

• Unternehmen, die keine
  • Vertrauensdiensteanbieter (Trust Service Provider),
  • öffentlichen Telekommunikationsanbieter
  • oder Anbieter strategisch kritischer Leistungen
    sind, fallen nicht automatisch unter NIS-2.
• Für diese Unternehmen greift NIS-2 grundsätzlich erst ab der Schwelle „mittleres Unternehmen“:
  • ab 50 Mitarbeitenden oder
  • ab 10 Mio. Euro Jahresumsatz

Ab wann gilt NIS-2?

• Die EU-Richtlinie ist seit 2023 beschlossen
• Die nationale Umsetzung in den Mitgliedsstaaten läuft
• Für Unternehmen bedeutet das:
  ab 2025/2026 gelten die Pflichten faktisch verbindlich, Prüfungen und Sanktionen folgen zeitversetzt

Was NIS-2 konkret vom Geschäftsführer verlangt – in Klartext

• Sie dürfen sich auf IT-Spezialisten stützen
• Sie dürfen Verantwortung delegieren
• Sie dürfen Haftung nicht delegieren

• angemessenen technischen UND organisatorischen Maßnahmen
• Überwachungspflichten der Geschäftsleitung
• persönlicher Verantwortlichkeit bei vorhersehbaren Schwachstellen

Warum Vertrauen in diesem Kontext leichtsinnig wäre

• Ihre Mitarbeiter handeln nicht falsch,
• sie handeln pragmatisch.

• Mitarbeiter kennen Datenschutzregeln
• sie wissen, was „richtig“ wäre
• sie bekommen aber oft weder Prozesse noch Werkzeuge, um es richtig zu tun

• Prozesse senken kurzfristig Produktivität
• Sicherheits-Tools kosten Lizenzen
• Budgets werden nicht freigegeben
• Leistung wird trotzdem erwartet

Warum interne Kontrollen nicht ausreichen

• Interne IT prüft sich faktisch selbst
• Interne Audits sind Teil der Hierarchie
• Kritische Punkte werden oft „mitgedacht“ oder relativiert

• zur Entlastung der Geschäftsführung
• zur objektiven Bewertung realer Prozesse
• zur Dokumentation, dass Organisationspflichten erfüllt wurden

Der Denkfehler vieler CEOs

Einordnung zum Schluss

• Komplexe, digitalisierte Organisationen
• können nicht mehr allein auf Vertrauen basieren
• Verantwortung muss systemisch abgesichert werden