Auf den Punkt: Laut einer Wire-Studie halten sich 62 Prozent der Security-Verantwortlichen für NIS2-konform vorbereitet, während 48 Prozent zugleich sensible Daten über ungeeignete Kanäle teilen – der eigentliche Testfall ist die Handlungsfähigkeit ohne E-Mail und zentrale Identitätsdienste.
Viele Unternehmen haben die formale NIS2-Umsetzung abgeschlossen, doch entscheidend ist laut einer Wire-Studie die operative Handlungsfähigkeit im Ernstfall: 62 Prozent der befragten IT-, Security- und Compliance-Verantwortlichen halten sich für gut vorbereitet, gleichzeitig teilen 48 Prozent sensible Informationen gelegentlich über ungeeignete Kanäle.
NIS2 verlangt für erhebliche Sicherheitsvorfälle eine erste Warnmeldung innerhalb von 24 Stunden sowie eine ausführlichere Meldung innerhalb von 72 Stunden. Diese Fristen lassen sich nur einhalten, wenn Zuständigkeiten, Meldewege und Kommunikationskanäle vorab geklärt und im Alltag erprobt sind – nicht nur auf dem Papier dokumentiert. Eine von Wire in Auftrag gegebene Erhebung zeigt eine Diskrepanz zwischen wahrgenommener und tatsächlicher Vorbereitung: 62 Prozent der befragten IT-, Security- und Compliance-Verantwortlichen schätzen ihre Organisation als gut oder sehr gut auf regulatorische Anforderungen vorbereitet ein. Zugleich geben 48 Prozent an, sensible Informationen zumindest gelegentlich über ungeeignete Kanäle zu teilen, und bei 61 Prozent bleiben Zugriffsrechte auf gemeinsam genutzte Dateien länger aktiv als vorgesehen.
Für CISOs bedeutet das: Ein Angriff folgt selten dem Ablauf eines Audits. Ist das E-Mail-System betroffen, weichen Teams auf private Messenger aus; kann ein externer Berater nicht auf die interne Plattform zugreifen, werden Dateien über kurzfristig eingerichtete Links geteilt; muss die Geschäftsführung schnell entscheiden, entstehen spontane Chatgruppen auf privaten Geräten. Diese Ausweichbewegungen sind aus NIS2-Sicht relevant, weil sie die kontrollierte, nachvollziehbare Kommunikation untergraben, die für fristgerechte Meldungen und eine belastbare Vorfallsdokumentation notwendig ist. Ein Krisenstab benötigt einen vertrauenswürdigen Raum für Entscheidungen, Bewertungen und Aufgabenverteilung, der unabhängig von potenziell kompromittierter Infrastruktur funktioniert – inklusive Erreichbarkeit der Geschäftsleitung und Zusammenarbeit von IT, Recht, Kommunikation und externen Spezialisten.
Der Artikel ordnet Schatten-IT in diesem Kontext nicht primär als Disziplinproblem ein, sondern als Symptom mangelnder Praxistauglichkeit offizieller Systeme. Mitarbeitende greifen häufig auf private Messenger, persönliche E-Mail-Konten oder frei verfügbare Dateidienste zurück, wenn offizielle Lösungen die Zusammenarbeit mit Externen, mobilen Teams oder unter Zeitdruck erschweren. Ein System, das im Regelbetrieb als zu kompliziert gilt, setzt sich auch in der Krise nicht durch – das betrifft ebenso dokumentierte, aber nie erprobte Notfallkanäle. Für CISOs folgt daraus die praktische Konsequenz, den eigenen NIS2-Reifegrad nicht an der Vollständigkeit der Dokumentation zu messen, sondern gezielt zu testen, wie die Organisation reagiert, wenn E-Mail, zentrale Identitätsdienste und gewohnte Kollaborationstools nicht verfügbar oder nicht vertrauenswürdig sind.
Quelle: www.it-daily.net · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.