Die formale Umsetzung der Cybersecurity-Richtlinie NIS2 (Network and Information Security Directive) haben viele Unternehmen inzwischen weitgehend abgeschlossen. Verantwortliche sind benannt, Kontaktdaten an das Bundesamt für Sicherheit in der Informationstechnik (BSI) übermittelt, interne Projekte offiziell abgeschlossen. Nach Monaten voller Checklisten, Rechtsgutachten und Betroffenheitsprüfungen ist die Versuchung groß, das Thema nun aus dem Fokus zu nehmen.
Genau jetzt beginnt allerdings der schwierige Teil. Cyberresilienz durch sichere Kommunikation bedeutet, dass Unternehmen Sicherheitsvorfälle erkennen, bewerten und auch unter Druck kontrolliert bewältigen können. Für erhebliche Vorfälle verlangt die Richtlinie eine erste Warnung innerhalb von 24 Stunden und eine ausführliche Meldung innerhalb von 72 Stunden. Das funktioniert nur dann, wenn Zuständigkeiten, Meldewege und Kommunikationskanäle vorher geklärt und ausreichend etabliert wurden.
Die Lücke zwischen Plan und Praxis
Auf dem Papier sind viele Organisationen gut vorbereitet. Im Idealfall wissen Verantwortliche, wer im Krisenfall wann über welche Kanäle aktiv wird. Ein realer Angriff folgt jedoch selten dem Ablauf eines Audits. Ist das E-Mail-System betroffen, wechseln Teams auf Messenger. Kann ein externer Berater nicht auf die interne Plattform zugreifen, erhält er Dateien über einen kurzfristig eingerichteten Link. Muss die Geschäftsführung schnell entscheiden, entsteht eine neue Chatgruppe auf privaten Geräten.
Genau hier zeigt sich die eigentliche Lücke. In dem von Kommunikationsanbieter Wire in Auftrag gegebenen Secure Collaboration Report 2026 hielten sich 62 Prozent der befragten IT-, Security- und Compliance-Verantwortlichen für gut oder sehr gut auf regulatorische Anforderungen vorbereitet. Gleichzeitig gaben 48 Prozent an, sensible Informationen zumindest gelegentlich über ungeeignete Kanäle zu teilen. Bei 61 Prozent blieben Zugriffe auf gemeinsam genutzte Dateien länger aktiv als vorgesehen.
Im Krisenfall ist abgesicherte Kommunikation wichtig
Viele Unternehmen investieren in Angriffserkennung, Zugangsschutz und Backups. Doch selbst gute technische Schutzmaßnahmen verhindern nicht jeden Angriff. Im Ernstfall kommt es darauf an, ob Menschen weiterhin sicher zusammenarbeiten können.
Ein Krisenstab braucht einen vertrauenswürdigen Raum, in dem Entscheidungen vorbereitet, Informationen bewertet und Aufgaben verteilt werden. Die Geschäftsleitung muss erreichbar bleiben. IT, Recht, Kommunikation und externe Spezialisten müssen zusammenarbeiten können, ohne auf eine möglicherweise kompromittierte Infrastruktur zuzugreifen. Fehlt diese Möglichkeit, verzögern sich Entscheidungen. Informationen lassen sich schlecht überprüfen, und sensible Inhalte wandern auf Kanäle, die sich nicht mehr zentral kontrollieren lassen.
Schatten-IT ist selten nur ein Disziplinproblem
Viele Unternehmen reagieren auf unsichere Kommunikationswege mit neuen Richtlinien und zusätzlichen Schulungen. Das ist verständlich, aber es löst nicht das grundlegende Problem. Sobald die offiziellen Lösungen ihre Arbeit erschweren oder gar nicht verfügbar sind, greifen Mitarbeiter häufig auf private Messenger, persönliche E-Mail-Konten oder frei verfügbare File-Sharing-Dienste zurück. Das betrifft vor allem die Zusammenarbeit mit externen Beteiligten, mobile Teams und Situationen mit hohem Zeitdruck.
Ein System, das im normalen Arbeitsalltag als zu kompliziert empfunden wird, setzt sich in einer Krise erst recht nicht durch. Das gilt auch für Notfallkanäle, die zwar dokumentiert, aber nie praktisch erprobt wurden. Schatten-IT ist deshalb nicht immer ein Zeichen fehlender Sensibilität. Sie kann darauf hinweisen, dass Sicherheitsvorgaben und Arbeitsabläufe nicht zusammenpassen.
Der ideale NIS2-Test startet ohne E-Mail
Der ideale Praxistest beginnt dort, wo die gewohnten Systeme nicht mehr verfügbar oder vertrauenswürdig sind. Unternehmen sollten deshalb prüfen, wie sie handlungsfähig bleiben, wenn E-Mail, zentrale Identitätsdienste und die übliche Kollaborationsplattform gleichzeitig ausfallen. Das Management muss klären, wie im Krisenfall die Entscheider zusammenkommen, wie externe Fachleute eingebunden werden, wie sich Identitäten überprüfen, Informationen schützen und Entscheidungen dokumentieren lassen. All das muss gelingen, ohne dass Mitarbeiter auf private Kanäle ausweichen.
Ein Beispiel für eine dafür taugliche Kommunikationsplattform ist Wire. Dieser Service beinhaltet eine vollständige Suite an Messaging-, Audio-, Video- und Filesharing-Funktionen. Die Kommunikation ist nach dem Verschlüsselungsstandard MLS (Messaging Layer Security) geschützt. Das sperrt Hacker aus und stellt sicher, dass der Service stets vertrauenswürdig arbeitet.
Wer als Führungskraft die oben genannten Fragen überzeugend beantworten kann, hat mehr erreicht als die formale NIS2-Compliance. Wer lediglich auf Registrierung, Richtlinien und freigegebene Tools verweist, hat erst den einfachen Teil erledigt. Entscheidend für Cyberresilienz durch sichere Kommunikation ist, ob die Organisation auch dann kontrolliert handeln kann, wenn die vertrauten Systeme nicht mehr zur Verfügung stehen. jf
