Die Regelung legt ein Mindestniveau an Sicherheit fest, doch Cyberbedrohungen entwickeln sich schneller als die Gesetzgebung. Aus diesem Grund ist eine Organisation, die die Anforderungen formal erfüllt, nicht automatisch resilient.

Der Unterschied zeigt sich, wenn die Maßnahmen auf die Probe gestellt werden. Richtlinien, Verfahren und technische Lösungen sollten durch regelmäßige Tests und Simulationen von Cybervorfällen ergänzt werden, um zu überprüfen, wie die Organisation reagiert, betroffene Systeme wiederherstellt und ihren Betrieb aufrechterhält.

Die Frage ist nicht nur, ob ein Plan zur Geschäftskontinuität oder ein Verfahren zur Reaktion auf Vorfälle existiert, sondern ob die Organisation diesen Plan tatsächlich umsetzen kann, wenn ein Vorfall kritische Systeme und Dienste beeinträchtigt.

Letztlich bedeutet Cyberresilienz mehr als den Schutz der IT-Infrastruktur: Sie bedeutet die Fähigkeit des Unternehmens, während und nach einem Vorfall weiterzuarbeiten und wesentliche Dienste zu erbringen.

Regelkonformität muss nachweisbar sein

Mit der DNSC-Verordnung Nr. 1/2026 lautet die Frage für die betroffenen Organisationen nicht mehr einfach “Gilt NIS2 für uns?”, sondern auch “Verstehen wir die Risiken, denen wir ausgesetzt sind, haben wir die erforderlichen Maßnahmen umgesetzt, und können wir nachweisen, dass sie wirken?”

Das Ziel besteht nicht darin, Konformitätskästchen abzuhaken oder Unterlagen für ein Audit vorzubereiten. Risikobewertung, Reifegradbewertung, Behebung, Umsetzung und Test von Sicherheitsmaßnahmen müssen einen kontinuierlichen Prozess bilden, durch den Regelkonformität wirksam zur Stärkung der Resilienz der Organisation beiträgt.