Volljurist und Compliance-Experte
November 6, 2025
4 Minuten
.svg)
Klare Kommunikation schützt das Vertrauen, nicht nur die Technik entscheidet über den Krisenverlauf.
Die 24-Stunden-Frist erfordert vorbereitete Prozesse. Ein definierten Krisenstab ist Pflicht.
Transparente Botschaften verhindern Gerüchte – „Holding Statements“ schaffen Orientierung.
NIS2 und DSGVO müssen abgestimmt werden. Nur verzahnte Prozesse verhindern Mehraufwand und Chaos.
Stellen Sie sich vor: Es ist 15 Uhr an einem Freitagnachmittag. Plötzlich fällt ein kritisches System aus. Die IT-Abteilung bestätigt den Verdacht: Ransomware. Ein Countdown beginnt, und er tickt unerbittlich. Laut der neuen NIS2-Richtlinie haben Sie weniger als 24 Stunden, um den Vorfall den Behörden zu melden. Was ist Ihr erster Kommunikationsschritt? Wen rufen Sie an? Und vor allem: Was sagen Sie – intern wie extern?
Die meisten Unternehmen konzentrieren sich in diesem Moment auf die technische Lösung des Problems. Doch die größte Gefahr für Ihren Ruf und Ihr Geschäftsergebnis liegt oft nicht im Code, sondern in der Kommunikation. Eine verpatzte, verspätete oder widersprüchliche Kommunikation kann mehr Schaden anrichten als der Cyberangriff selbst. Willkommen in der neuen Realität der Krisenkommunikation unter NIS2.
Ein Cyberangriff ist längst kein reines IT-Problem mehr. Er ist eine Unternehmenskrise, die eine strategische Antwort von der gesamten Führungsebene erfordert. Die NIS2-Richtlinie, die den Kreis der betroffenen Unternehmen in Deutschland auf rund 30.000 erweitert, formalisiert diese Tatsache. Sie zwingt Organisationen, nicht nur ihre IT-Sicherheit zu verbessern, sondern auch ihre Fähigkeit, im Krisenfall schnell und koordiniert zu handeln.
Das Kernproblem: Viele Manager glauben, sie müssten erst alle Fakten kennen, bevor sie kommunizieren. Doch NIS2 verlangt eine Erstmeldung innerhalb von 24 Stunden – ein Zeitpunkt, zu dem oft noch Unklarheit herrscht. Hier entscheidet sich, wer die Kontrolle über die Erzählung behält: Sie oder die Gerüchteküche. Wenn Sie sich noch unsicher sind, was genau die NIS2 Richtlinie für Sie bedeutet, ist jetzt der richtige Zeitpunkt, sich damit vertraut zu machen. Ein guter Krisenkommunikationsplan ist dabei Ihr wichtigstes Werkzeug.
Um effektiv kommunizieren zu können, müssen Sie die Spielregeln kennen. Die Meldepflichten nach NIS2 sind streng und folgen einem klaren, dreistufigen Prozess für „erhebliche Sicherheitsvorfälle“.
Die strikte Einhaltung dieser NIS2 Meldepflichten ist nicht verhandelbar und erfordert einen Prozess, der im Ernstfall sofort greift.
Ein guter Plan entsteht nicht im Chaos der Krise, sondern in der Ruhe der Vorbereitung. Er ist Ihr Fahrplan, der sicherstellt, dass alle Beteiligten wissen, was zu tun ist.
Der größte Fehler ist, den Vorfall allein in der IT-Abteilung zu belassen. Stellen Sie ein funktionsübergreifendes Kernteam zusammen, das sofort handlungsfähig ist.
Nicht jeder braucht zur gleichen Zeit die gleichen Informationen. Erstellen Sie eine Liste Ihrer Stakeholder und definieren Sie, wer wann und mit welcher Botschaft informiert wird.
Sie werden in den ersten 24 Stunden nicht alle Antworten haben. Das ist in Ordnung. Bereiten Sie „Holding Statements“ vor, die Ihnen Zeit verschaffen und gleichzeitig Kontrolle signalisieren.
Definieren Sie die Kanäle und Verantwortlichkeiten klar. Wer gibt Informationen frei? Über welche Kanäle wird kommuniziert (Intranet, E-Mail, Pressemitteilung, Social Media)? Ein vordefinierter Plan ist unerlässlich, um bei einer NIS2-Meldung in 24 Stunden richtig handeln zu können.
Wenn Sie die Grundlagen beherrschen, geht es darum, die Feinheiten zu verstehen und häufige Fallstricke zu vermeiden.
Viele Sicherheitsvorfälle, die unter NIS2 meldepflichtig sind, betreffen auch personenbezogene Daten und fallen damit zusätzlich unter die DSGVO. Die Herausforderung: Die Fristen und Anforderungen sind unterschiedlich.
Sie müssen also potenziell zwei separate Meldeprozesse parallel steuern. Eine enge Abstimmung zwischen Ihrem Informationssicherheits- und Ihrem Datenschutzbeauftragten ist hier entscheidend.
Aus den Erfahrungen mit früheren Krisen lassen sich klare Muster für Fehler ableiten. Vermeiden Sie diese unbedingt:
Was muss in der ersten 24-Stunden-Meldung stehen?Die Erstmeldung soll eine erste Einschätzung liefern. Dazu gehört, ob der Vorfall mutmaßlich auf rechtswidrige oder böswillige Handlungen zurückzuführen ist und ob er grenzüberschreitende Auswirkungen haben könnte. Perfektion wird nicht erwartet, nur eine schnelle Reaktion.
Soll ich öffentlich kommunizieren, auch wenn ich nicht alle Fakten kenne?Ja, aber kontrolliert. Ein kurzes Statement, das den Vorfall bestätigt und die nächsten Schritte skizziert, ist besser als Schweigen. Es zeigt, dass Sie die Situation im Griff haben.
Wie trainiere ich mein Team für den Ernstfall?Durch Simulationen. Führen Sie regelmäßig „Tabletop-Übungen“ durch, bei denen Sie einen fiktiven Sicherheitsvorfall durchspielen. So werden die Abläufe und Kommunikationswege zur Routine.
Was ist der Unterschied zwischen NIS1 und NIS2 in Bezug auf die Meldung?Im Vergleich zur alten NIS 1 Richtlinie hat sich viel geändert. Die Meldefristen sind mit 24 Stunden deutlich kürzer (vorher „unverzüglich“ ohne konkrete Frist) und der Prozess ist strenger und mehrstufig geregelt.
Wie kann ich die NIS2 Compliance in meinem Unternehmen sicherstellen?NIS2 Compliance ist ein kontinuierlicher Prozess. Er umfasst technische und organisatorische Maßnahmen, Risikomanagement und eben auch einen soliden Plan für das Management und die Kommunikation von Sicherheitsvorfällen.
Ein Cyberangriff ist keine Frage des „Ob“, sondern des „Wann“. Ihre Reaktion in den ersten 24 Stunden entscheidet maßgeblich über den Ausgang der Krise. Ein durchdachter Krisenkommunikationsplan ist keine bürokratische Übung, sondern Ihre Versicherung gegen Reputationsverlust und Kontrollverlust.
Beginnen Sie noch heute damit, Ihren Plan zu erstellen oder zu überprüfen. Definieren Sie Ihr Krisenteam, identifizieren Sie Ihre Stakeholder und formulieren Sie Ihre Kernbotschaften. Denn wenn der Ernstfall eintritt, haben Sie keine Zeit mehr zum Nachdenken – dann müssen Sie handeln. Die technischen Anforderungen von NIS2 bei der Meldung sind dabei nur ein Teil der Gleichung; die strategische Kommunikation ist der andere.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Erfahren Sie alles Wichtige zum Thema SOC 2 in diesem Blogpost! Wenn Sie Geschäftskunden im angelsächsischen Raum gewinnen möchten, stehen Sie möglicherweise vor der Entscheidung zwischen dem Standard ISO27001 und dem US-Standard SOC 2. Aber was genau verbirgt sich hinter SOC 2 und was müssen Sie darüber wissen? In diesem Artikel erhalten Sie eine einfache und übersichtliche Erklärung zu SOC 2 sowie die entscheidenden Informationen, die Sie bei Ihrer Wahl berücksichtigen sollten. Finden Sie heraus, welcher Standard am besten zu Ihren Anforderungen und Zielen passt und setzen Sie Ihre Geschäftserfolge fort. Lesen Sie jetzt weiter!
Dass der Statistik-Dienst von Google, Google Analytics, nicht ohne Weiteres auf Webseiten datenschutzkonform einsetzbar ist, dürfte bekannt sein. In den letzten Tagen gab es dennoch vermehrt Berichte über den Dienst und dessen mangelnde Datenschutzkonformität. Insbesondere die Aufsichtsbehörden innerhalb der Europäischen Union beschäftigen sich intensiv mit dem Dienst.
Viele Unternehmen verwechseln Auditprogramm und Auditplan und verschenken dadurch wertvolles Potenzial. Erfahren Sie, wie Sie mit einem klar strukturierten ISO 9001 Auditprogramm Ihre Audits strategisch planen, Risiken gezielt steuern und Ressourcen optimal einsetzen. Dieser Leitfaden zeigt, wie Sie Ihr Auditprogramm in ein dynamisches Steuerungsinstrument verwandeln, das Qualität, Effizienz und kontinuierliche Verbesserung im Unternehmen stärkt.
.svg)
.svg)
.svg){kind=small}