NCSC Verpflichtet Vorstandsmitglieder zu Cybersicherheitstraining

Verschärfte Vorgaben der EU-NIS2-Richtlinie für kritische Sektoren

Die von der Europäischen Union verabschiedete Richtlinie (EU) 2022/2555, auch bekannt als NIS2, zur Sicherheit von Netz- und Informationssystemen ersetzt den Vorgänger aus dem Jahr 2016 (Richtlinie 2016/1148 oder NIS1) und hebt das europäische Schutzniveau durch einen größeren Anwendungsbereich, klarere Regeln und stärkere Aufsichtswerkzeuge deutlich an. Während die bisherigen Regeln im Wesentlichen Energie, Transport, das Gesundheitswesen, den Finanzsektor, die Wasserwirtschaft und die digitale Infrastruktur erfassten, dehnt der Rechtsakt den Anwendungsbereich spürbar aus. Künftig fallen auch Anbieter öffentlicher elektronischer Kommunikationsdienste, mehr digitale Dienste wie soziale Plattformen, Abfall- und Abwasserbewirtschaftung, die Herstellung kritischer Produkte, Post- und Kurierdienste, die öffentliche Verwaltung auf zentraler und regionaler Ebene sowie der Sektor Raumfahrt unter die Vorgaben. Als Regel müssen mittelständische und große Unternehmen in diesen kritischen Sektoren geeignete Cybersicherheits-Risikomanagementmaßnahmen ergreifen und signifikante Vorfälle den zuständigen nationalen Behörden melden, wobei dies Vorfälle sind, die erhebliche Störungen oder Schäden verursachen könnten.

Um die Umsetzung in den Mitgliedstaaten zu erleichtern, legte die Europäische Kommission am 20. Januar 2026 im Rahmen eines neuen Cybersicherheitspakets gezielte Änderungen zur Erhöhung der Rechtssicherheit vor. Die darin enthaltenen Änderungen zielen darauf ab, die Compliance mit den EU-Vorschriften und Risikomanagement-Anforderungen für in der EU tätige Unternehmen zu vereinfachen. Von diesen Erleichterungen für insgesamt 28.700 Unternehmen profitieren dabei auch 6.200 Kleinst- und Kleinunternehmen.

Verpflichtende Cybersicherheitstrainings für Vorstandsmitglieder

Ein zentraler Wirkungsbereich der neuen Regelungen betrifft die Verantwortlichkeit der obersten Unternehmensleitung für die Nichtbeachtung von Cybersicherheits-Risikomanagementmaßnahmen, wodurch Cybersicherheit direkt in die Aufmerksamkeit des Boardrooms gerückt wird. Das National Cyber Security Centre (NCSC) betonte in seinen im Jahr 2026 veröffentlichten Leitlinien, die sich gezielt an Vorstandsmitglieder richten, dass das Management-Board eine aktive Rolle im Cybersicherheits-Risikomanagement einnehmen sollte. Cybersicherheit wird damit von einer reinen Technikfrage zu einer strategischen Priorität auf Vorstandsebene erhoben.

Dies schließt eine verpflichtende Durchführung von Cybersicherheitstraining für Führungskräfte ein. Entscheidungsträger sollen dadurch in die Lage versetzt werden, Cyberrisiken im Kontext der allgemeinen Geschäftsrisiken zu bewerten und entsprechende Ressourcen bereitzustellen. Die NIS2-Richtlinie macht die oberste Führungsebene direkt für die Überwachung der Risikomanagement-Maßnahmen verantwortlich, wobei das NCSC hervorhebt, dass eine wirksame Cyber-Governance voraussetzt, dass Vorstandsmitglieder nicht nur über Sicherheitsvorfälle informiert werden, sondern aktiv an der Gestaltung der Resilienzstrategie mitwirken.

Das CyFun-Framework und die nationale Infrastruktur

Für die praktische Umsetzung der NIS2-Anforderungen empfiehlt das National Cyber Security Centre die Anwendung des sogenannten CyFun-Frameworks als risikobasierten Ansatz, um die komplexen Anforderungen der EU-Richtlinie systematisch abzuarbeiten. Dieses Instrument wird in den Leitlinien als das bevorzugte Instrument für das Risikomanagement genannt, da es Unternehmen dabei unterstützt, ihre spezifischen Bedrohungsprofile zu identifizieren und Sicherheitsmaßnahmen priorisiert umzusetzen.

Der Einsatz eines solchen strukturierten Modells soll sicherstellen, dass die Sicherheitsvorkehrungen eines Unternehmens messbar und für die Aufsichtsbehörden nachvollziehbar sind, und die Nutzung etablierter Frameworks wie CyFun kann die Compliance-Prozesse erheblich beschleunigen. In diesem Zusammenhang wies Minister Jim O’Callaghan im Jahr 2026 auf die strategische Bedeutung der NCSC-Vorgaben für die gesamte digitale Infrastruktur Irlands hin, indem er darauf verwies, dass die Leitlinien ein wesentlicher Baustein seien, um die digitale Resilienz des Landes nachhaltig zu stärken. Die Empfehlungen bieten eine Orientierungshilfe, um gesetzliche Anforderungen in operative Unternehmensprozesse zu überführen, und laut den Einschätzungen des Ministers tragen diese Maßnahmen dazu bei, die Stabilität der nationalen Infrastruktur gegenüber Cyberbedrohungen abzusichern, während eine resiliente Wirtschaft nur durch eine enge Verzahnung von gesetzlichen Vorgaben und aktiver Führungskompetenz erreicht werden kann.

Institutionelle Zusammenarbeit und Krisenmanagement in der EU

Neben den Pflichten für einzelne Organisationen etabliert die Richtlinie ein Netzwerk von Computer Security Incident Response Teams (CSIRTs), um Informationen über Cyberbedrohungen auszutauschen und auf Vorfälle zu reagieren, was für die Aufrechterhaltung der Lagebewältigung und das Anbieten von Unterstützung von entscheidender Bedeutung ist. Für den Fall von groß angelegten Cybersicherheitsvorfällen oder Krisen schafft die Richtlinie das europäische Netzwerk der Krisenverbindungsorganisationen (EU-CyCLONe), das ein koordiniertes Management unterstützt und den regelmäßigen Informationsaustausch zwischen den Mitgliedstaaten und den EU-Instituten sicherstellt.

Ergänzend dient die NIS-Kooperationsgruppe als Plattform, die von der NIS-Richtlinie eingerichtet wurde, um die strategische Zusammenarbeit und den Informationsaustausch zwischen den EU-Mitgliedstaaten, der Europäischen Kommission und der EU-Agentur für Cybersicherheit (ENISA) zu erleichtern. Die Gruppe veröffentlicht nicht-bindende Richtlinien und Empfehlungen zur Unterstützung der Umsetzung. Organisationen in kritischen Sektoren müssen demnach geeignete Cybersicherheits-Risikomanagementmaßnahmen ergreifen und signifikante Vorfälle den zuständigen nationalen Behörden melden, während die Richtlinie auch Bestimmungen für die Aufsicht, Durchsetzung und freiwillige Peer-Reviews zur Stärkung des gegenseitigen Vertrauens umfasst.