Viele Unternehmen begegnen dem Thema Informationssicherheit noch immer mit einer gewissen Skepsis. ISO 27001 und NIS2 sind zwar vielen ein Begriff, jedoch verlässt man sich darauf, dass das Thema „irgendwo im Unternehmen“ bereits bearbeitet wird. IT, Beratung oder eine Stabsstelle kümmern sich schon darum. Das Ergebnis: ein Ordner mit Dokumenten, ein Zertifikat an der Wand, und das trügerische Gefühl, das Thema abgehakt zu haben. Und genau hier liegt das Problem.
Beginnen wir mit dem, was der Gesetzgeber ausdrücklich nicht im Sinn hat: ein zwar bestandenes Audit, dafür aber seitenlange Schriftstücke, die niemand liest, und eine Stabsstelle, die Dokumente lediglich verwaltet. Kurzum: Compliance-Theater.
Die NIS-2-Richtlinie der Europäischen Union ist seit Dezember 2025 als „2NIS2UmsuCG“ im deutschen Gesetz verankert und spricht da eine deutlichere Sprache. Auch die Bundesregierung formuliert das Ziel unmissverständlich, nämlich „wichtige Einrichtungen und den europäischen Binnenmarkt zu schützen und deren Abwehrfähigkeit zu stärken.“
Die Europäische Kommission ergänzt: „Die Europäische Union arbeitet an verschiedenen Fronten, um die Cyberresilienz zu fördern, unsere Kommunikation und Daten zu schützen und die Online-Gesellschaft und -Wirtschaft zu schützen.“ Das erklärte Ziel ist also ein wirksamer Schutz gegen Angriffe auf digitale Infrastrukturen. Mit bloßer Dokumentation kommen Unternehmen hier nicht weiter.
Die Antwort liegt in den Zahlen: Laut der Bitkom-Wirtschaftsschutzstudie 2025 beläuft sich der jährliche Gesamtschaden durch Cyberangriffe, Datendiebstahl und Industriespionage in Deutschland auf über 289 Milliarden Euro – ein neuer Rekordwert. 87 Prozent aller deutschen Unternehmen wurden in den letzten zwölf Monaten Opfer eines Angriffs. Das BSI stellt in seinem Lagebericht 2025 eine „weiterhin angespannte Bedrohungslage“ fest.
BSI-Präsidentin Claudia Plattner bringt es auf den Punkt: „Jede aus dem Internet erreichbare Institution oder Person ist prinzipiell bedroht. Angreifer suchen gezielt nach den verwundbarsten Angriffsflächen. Die Letzten beißen die Hunde.”
Handelt es sich dabei um Alarmismus? Nein, vielmehr um eine nüchterne Beschreibung der Lage.
In Deutschland gibt es inzwischen eine wachsende Liste von Unternehmen, die einen Cyberangriff nicht überlebt haben. Und zwar nicht aufgrund strategischer Fehler oder eines Markteinbruchs, sondern weil ihre Informationssicherheit nicht ausreichte.
Diese Fälle bilden keine Ausnahmen. Sie sind Beispiele einer Realität, die sich in ganz Deutschland offenbart. Immer häufiger trifft es den Mittelstand, da dort die Abwehrmechanismen oft schwächer sind als in großen Konzernen.
An dieser Stelle lohnt sich ein Blick zurück auf ein Managementsystem, das viele Unternehmen bereits kennen: die ISO 9001 für das Qualitätsmanagement. Im Kern ist sie ein Leitfaden zur Unternehmenslenkung und fragt: Wie steuert ein Unternehmen seine Prozesse, damit es dauerhaft gute Leistungen erbringt?
In der Praxis ist aus dieser strategischen Frage leider häufig etwas anderes geworden: ein Zertifizierungsprojekt. Die ISO 9001 wandert in eine Stabsstelle, wird von einer QM-Beauftragten oder einem Berater betreut, produziert Handbücher und Verfahrensanweisungen und verstaubt anschließend im Regal. Sobald das Audit ansteht, wird das Handbuch hervorgeholt und danach wieder weggelegt.
Das eigentliche Ziel – ein Unternehmen, das sich selbst systematisch steuert und verbessert – bleibt unerreicht. Übrig bleibt eben jenes Compliance-Theater, das eigentlich vermieden werden sollte. Ein ähnliches Schicksal droht nun auch der ISO 27001 und dem ISMS. Unternehmen reagieren zwar auf den regulatorischen Druck, indem sie ein Projekt starten, Dokumente erstellen und ein Zertifikat anstreben. Doch danach geht alles seinen gewohnten Gang, echte Veränderung bleibt auf der Strecke.
Ein Informationssicherheits-Managementsystem ist im Kern ein Steuerungssystem für unternehmerische Risiken im digitalen Raum. Organisationen sollten nicht bloß kopflos Dokumente anhäufen, die für den Erhalt des Zertifikates benötigt werden. Stattdessen muss die Frage beantwortet werden: Welche Informationen sind für unser Geschäft kritisch und wie schützen wir sie?
Die Antwort liegt tief verwurzelt in Geschäftsprozessen. Ob Vertrieb, Entwicklung, oder Einkauf: Alle müssen sich fragen: Welche Daten verarbeiten wir? Was muss vertraulich bleiben? Und was fällt uns im Falle eines Cyberangriffs auf die Füße?
Erst wenn diese Fragen beantwortet sind, empfiehlt es sich, über Systeme, Berechtigungen, Backups und Firewalls zu sprechen. Denn darin besteht auch der Kern der ISO 27001: nicht die Technik regulieren, sondern das Geschäft schützen. Wer das verstanden hat, erkennt das ISMS als wichtiges Werkzeug von unternehmerischer Relevanz.
Gesetzestexte sind kompliziert, sodass oft nicht direkt klar wird, was genau sie fordern. Wir schauen uns an, was NIS2UmsuCG tatsächlich vorsieht, und was das in verständlichen Worten bedeutet.
Hinter dem regulatorischen Aufwand steckt eine simple Wahrheit: Wir leben im digitalen Zeitalter. Ob Kundendaten, Kalkulationen, Konstruktionspläne, Verträge oder Wissen: Die Wertschöpfung von Unternehmen erfolgt längst digital.
Sie liegt in Systemen, wird über Netzwerke übertragen und in der Cloud gespeichert. Das ist gut so, schließlich macht es Unternehmen schneller, effizienter und wettbewerbsfähiger. Aber diese digitale Wertschöpfung ist verwundbar. Wer sie nicht schützt, riskiert nicht nur einen Datenverlust. Er riskiert Aufträge, Lieferfähigkeit, Reputation bei Kunden und im schlimmsten Fall die eigene Existenzgrundlage.
Der Gesetzgeber hat das erkannt und reagiert darauf mit NIS2, mit NIS2UmsuCG und mit der ISO 27001 als anerkanntem Rahmenwerk. Das tut er nicht, um Unternehmen noch mehr Bürokratie aufzuhalsen. Die Bedrohungslage erfordert es schlicht und einfach. Daher ist die Sicherheit, die ein funktionierendes ISMS bietet, kein regulatorisches Nebenprojekt. Sie bedeutet einen elementaren Schutz von Arbeitsplätzen, von Kundinnen und Kunden, von Marktstellungen.
Sobald du Informationssicherheit als das geschäftliche Steuerungselement erkennst, das sie ist, stellt sich die Frage nach dem Einstieg ganz anders. Den Ausgangspunkt bilden eure Geschäftsprozesse und die kritischen Informationen, die an ihnen entlang verarbeitet werden. Auch die unangenehme Frage „Wie lange können wir uns einen Ausfall leisten?“ müsst ihr euch stellen.
Das Gute ist: Diese Fragen können durchaus beantwortet werden. Indem ihr sie mit eurer Prozesslandschaft verknüpft; mit dem, was im Qualitätsmanagement ohnehin schon dokumentiert ist. So erschafft ihr ein ISMS, das in eurem Unternehmen verstanden, gelebt und weiterentwickelt wird. Und darin besteht letztlich der entscheidende Unterschied zwischen einem Zertifikat an der Wand und echter Sicherheit.
Melde dich, um direkt Kontakt mit Carsten aufzunehmen.
Wir freuen uns, dich mit inspirierenden Inhalten, aktuellen Veranstaltungen und Neuigkeiten zu versorgen.
.avif)
