NIS2: Warum Cybersecurity-Compliance zum Personalthema wird

Eine Zahl geht gerade durch die Branche: Die NIS2-Richtlinie verpflichtet allein in Deutschland und Österreich mehr als 33.000 Unternehmen dazu, ihre Cybersicherheit nachweislich zu erhöhen. Viele Geschäftsführer:innen lesen das als IT-Thema. In Wahrheit ist es vor allem eines: ein Personalthema.Denn Tools lassen sich kaufen. Eine Risikoanalyse lässt sich dokumentieren. Aber die Menschen, die Security-Architektur verstehen, Vorfälle bewerten und Meldepflichten im Ernstfall umsetzen, sind genau jetzt am schwersten zu bekommen. Wer die regulatorische Pflicht erfüllen will, braucht zuerst die richtigen Köpfe.

Erstellt von Oleksandra Razek

 

Was NIS2 konkret verlangt

NIS2 ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. Sie weitet den Kreis der betroffenen Organisationen drastisch aus – von Energie und Gesundheit über Verkehr und digitale Infrastruktur bis zu Herstellern, Lebensmittel und öffentlicher Verwaltung. Betroffen sind nicht nur Großkonzerne, sondern auch viele mittelständische Unternehmen, die bisher außerhalb solcher Regulierung standen.

Aus den Anforderungen ergeben sich vier wiederkehrende Pflichten, die alle Personal voraussetzen:

  • Risikomanagement: Bedrohungen identifizieren, bewerten und technische wie organisatorische Maßnahmen ableiten.
  • Meldepflichten: Sicherheitsvorfälle innerhalb enger Fristen an die Behörde melden – das setzt Bereitschaft und klare Prozesse voraus.
  • Lieferkettensicherheit: Auch Dienstleister und Zulieferer müssen einbezogen und bewertet werden.
  • Verantwortlichkeit der Leitung: Die Geschäftsführung haftet persönlich für die Einhaltung – sie muss verstehen, was umgesetzt wird.

Jeder dieser Punkte ist im Kern eine Frage: Wer macht das? Software allein meldet keinen Vorfall fristgerecht. Ein Dashboard bewertet keine Lieferanten. Menschen tun das.

Der eigentliche Engpass: Security-Talent

Der Arbeitsmarkt für IT-Sicherheit war schon vor NIS2 angespannt. Erfahrene Security-Architekt:innen, Incident-Responder und Spezialist:innen für Governance, Risk und Compliance sind selten – und sie wissen das. Mit jeder Welle neuer Regulierung steigt die Nachfrage schneller als das Angebot.

Das Problem verschärft sich durch Timing. Viele Unternehmen verschieben den Aufbau ihres Security-Teams auf das nächste Quartal oder den Herbst. Genau dann konkurrieren sie mit zehntausenden anderen Organisationen um dieselben Profile. Wer früh handelt, hat die Auswahl. Wer wartet, zahlt mehr und bekommt weniger.

Welche Rollen Sie jetzt brauchen

NIS2-Konformität ist kein Ein-Personen-Projekt. In der Praxis braucht es eine Kombination aus folgenden Profilen – je nach Unternehmensgröße intern, extern oder im Mischmodell:

  • Security-Architekt:innen, die technische Schutzmaßnahmen entwerfen und in bestehende Systeme integrieren.
  • Incident-Response-Spezialist:innen, die Vorfälle erkennen, eindämmen und fristgerecht melden.
  • GRC-Verantwortliche (Governance, Risk & Compliance), die Regulierung in nachweisbare Prozesse übersetzen.
  • Security-Analyst:innen für laufende Überwachung und Bewertung.

Für viele mittelständische Unternehmen ist es weder nötig noch realistisch, alle Rollen sofort fest anzustellen. Eine Mischung aus Festanstellung für Kernfunktionen und externen Spezialist:innen für Projektspitzen ist oft schneller, günstiger und flexibler.

So gehen Sie vor

Drei Schritte helfen, vom Pflichtgefühl ins Handeln zu kommen: Erstens, den eigenen Reifegrad ehrlich einschätzen – wo stehen Sie bei Risikomanagement, Meldeprozessen und Verantwortlichkeiten? Zweitens, die kritischen Lücken priorisieren statt alles gleichzeitig zu starten. Drittens, frühzeitig die passenden Menschen sichern, bevor der Markt leergefegt ist.

NIS2 zwingt niemanden, Technologie zu kaufen. Aber die richtigen Leute zu haben, die Sicherheit verstehen und umsetzen, ist ab sofort Pflicht. Das ist die unbequeme, aber befreiende Erkenntnis: Compliance beginnt nicht beim Tool, sondern beim Team.

 

Sie wollen die passenden IT-Expert:innen schneller finden? Wir bei Suppliance unterstützen Sie mit transparentem Prozess, echtem Fachverständnis und einem starken Partnernetzwerk in der DACH-Region.

Socialmedia

Zurück zur Übersicht