74 DSD 3 | 2026 WIRTSCHAFTSSCHUTZ Management, Risikomanagement und Business Continuity Management greifen dabei ineinander. In vielen Unternehmen sind diese Aufgaben auf verschiedene Verantwortliche verteilt. Eine solche Arbeitsteilung funktioniert, wenn Risiken gemeinsam betrachtet werden und die Prozesse im Ereignisfall aufeinander abgestimmt sind. Die praktische Umsetzung des KRITISDachgesetzes befindet sich allerdings noch im Aufbau. Weitere Konkretisierungen, unter anderem zur Bestimmung kritischer Einrichtungen und zu methodischen Vorgaben für Risikoanalysen und Resilienzpläne, werden derzeit noch erarbeitet. Das Inkrafttreten des Gesetzes beantwortet daher noch längst nicht jede praktische Frage. NIS2 bringt die digitale Seite hinzu Zusätzlich zum KRITIS-Dachgesetz hat NIS2 die Anforderungen an die Cybersicherheit erheblich ausgeweitet. Seit Dezember 2025 gilt das deutsche Umsetzungsgesetz, das deutlich mehr Unternehmen als die bisherige KRITIS-Regulierung erfasst. Besonders wichtige Einrichtungen müssen seitdem geeignete Maßnahmen zum Management ihrer Cybersicherheitsrisiken treffen und erhebliche Sicherheitsvorfälle melden. NIS2 beziehungsweise das BSI-Gesetz und das KRITIS-Dachgesetz setzen an unterschiedlichen Stellen an. Während NIS2 vor allem die Sicherheit von Netz- und Informationssystemen regelt, richtet sich das KRITISDachgesetz auf die physische Resilienz kritischer Anlagen. In der Praxis greifen beide Bereiche jedoch ineinander. Ein physischer Einbruch kann dem Zugriff auf IT-Systeme dienen, manipulierte digitale Berechtigungen können den Zutritt zu geschützten Bereichen ermöglichen. Auch ein Stromausfall betrifft häufig mehrere Ebenen gleichzeitig, von Produktionsanlagen über Server und Kommunikationssysteme bis hin zur elektronischen Sicherheitstechnik. Für Unternehmen kommt es deshalb darauf an, diese Bereiche gemeinsam zu betrachten. Physische Sicherheit, Informationssicherheit, Risikomanagement und Business Continuity Management (BCM), also die Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen, dürfen nicht nebeneinanderstehen. Sie müssen organisatorisch aufeinander abgestimmt werden. Große Konzerne können dafür meist auf spezialisierte Fachabteilungen zurückgreifen. Mittelständische Unternehmen müssen diese Anforderungen aber häufig mit deutlich geringeren personellen Ressourcen bewältigen. Mehr Verantwortung für die Geschäftsleitung NIS2 und das KRITIS-Dachgesetz verankern die Verantwortung für Sicherheit ausdrücklich auf Leitungsebene. Geschäftsführungen müssen dafür sorgen, dass Risiken angemessen bewertet, erforderliche Maßnahmen beschlossen und deren Umsetzung kontrolliert werden. Technisches Detailwissen ist dafür nicht entscheidend, wohl aber die Fähigkeit, Sicherheitsfragen auf Managementebene zu verankern. Diese Verantwortung lässt sich nicht vollständig an Fachabteilungen oder externe Dienstleister übertragen. Dadurch gewinnen Sicherheitsinvestitionen auch regulatorisch und haftungsrechtlich an Gewicht. Unternehmen müssen nachvollziehbar darlegen können, auf welcher Grundlage sie Risiken bewertet und Schutzmaßnahmen ausgewählt haben. Versäumnisse können deshalb neben Betriebsunterbrechungen und Reputationsschäden auch rechtliche und finanzielle Folgen nach sich ziehen. Wie weit Unternehmen bei der Vorsorge gehen müssen, hängt von den konkreten Risiken ihrer Anlagen ab. Das KRITIS-Dachgesetz schreibt deshalb keine maximalen Schutzmaßnahmen vor, sondern verlangt verhältnismäßige Lösungen. Wer eine bekannte Gefahr als weniger relevant einstuft oder auf eine bestimmte Schutzmaßnahme verzichtet, sollte diese Entscheidung fachlich begründen können. Die Dokumentation hält fest, wie Risiken bewertet und Schutzmaßnahmen ausgewählt wurden. Ob aber ein Sicherheitskonzept auch funktioniert, zeigt sich erst bei einem konkreten Vorfall, wenn Meldewege, Zuständigkeiten Bild: # 1496036266 / istockphoto.com
RkJQdWJsaXNoZXIy Mjc4MQ==