Ein/e NIS2‑Manager/in ist die Rolle, die in NIS2‑Projekten die Umsetzung zwischen Recht, IT, Einkauf, Datenschutz, Risikomanagement und Geschäftsführung koordiniert, wenn sonst unklar bleibt, wer tatsächlich führt.
Die Rolle der NIS2‑Verantwortlichen oder NIS2‑Programmleitung schließt genau diese Lücke. Sie sorgt dafür, dass Anforderungen aus der Directive (EU) 2022/2555 in Governance, Risikomanagement, Incident Response, Lieferantensteuerung und belastbare Nachweise übersetzt werden, ohne NIS2 auf ein reines IT‑Projekt zu verkürzen.
Was die NIS2‑Programmleitung tatsächlich leistet
Eine NIS2‑Verantwortliche ist keine isolierte Compliance‑Funktion und auch kein Ersatz für den CISO. In vielen Organisationen liegt die Rolle im CISO‑Office, im Enterprise‑Risk‑Management, in der Compliance‑Organisation oder als bereichsübergreifendes Programm unterhalb der Geschäftsleitung. Entscheidend ist weniger der Organigrammplatz als die Fähigkeit, verbindliche Entscheidungen über Risiken, Prioritäten, Budgets und Verantwortlichkeiten herbeizuführen.
Der CISO verantwortet typischerweise die Sicherheitsstrategie, technische Schutzmaßnahmen und Security‑Betrieb. Die NIS2‑Programmleitung koordiniert dagegen die Umsetzung der regulatorischen Pflichten, die Nachweisführung und die Verzahnung mit Fachbereichen. Der Datenschutzbeauftragte bleibt für Datenschutzfragen zuständig, etwa bei personenbezogenen Daten in Sicherheitsvorfällen; die Rechtsabteilung bewertet nationale Umsetzung, Vertragsfolgen und Haftungsfragen. In der Praxis funktioniert die Rolle nur, wenn sie diese Schnittstellen klar beschreibt und regelmäßig in ein Governance‑Gremium eskaliert.
Arbeitgeber suchen für diese Position deshalb selten reine Tool‑Spezialisten. Besonders gefragt sind Fachkräfte, die Audit‑Readiness herstellen, Vorstände oder Geschäftsführungen mit belastbaren KPIs informieren, Maßnahmen über mehrere Bereiche steuern und Konflikte zwischen Risikoakzeptanz, Betrieb und Budget moderieren können. Technisches Verständnis bleibt wichtig, doch Programm‑ und Veränderungsmanagement entscheiden häufig darüber, ob NIS2 im Alltag ankommt.
Der deutsche Rechtsrahmen: EU‑Richtlinie, Umsetzung und Meldewege
Die NIS2‑Richtlinie ist die europäische Grundlage für höhere Cybersicherheitsanforderungen an wesentliche und wichtige Einrichtungen. Für Organisationen in Deutschland ist jedoch die nationale Umsetzung maßgeblich; deshalb sollte jedes Programm eng mit der Rechtsabteilung oder externem Counsel arbeiten. Dieser Beitrag ersetzt keine Rechtsberatung, sondern beschreibt die fachliche Rolle und typische Umsetzungsarbeit.
Zu den betroffenen Bereichen zählen nach der NIS2‑Systematik unter anderem Energie, Verkehr, Gesundheit, digitale Infrastruktur, Finanzmarktinfrastrukturen, öffentliche Verwaltung und weitere Sektoren. Welche Organisation konkret erfasst ist, hängt von Sektor, Größe, Tätigkeit und nationaler Umsetzung ab. Eine vertiefende Einordnung der Pflichten bietet der Beitrag zur NIS2‑Richtlinie und ihrer Umsetzung.
Besondere Aufmerksamkeit verdienen die Meldeprozesse bei erheblichen Sicherheitsvorfällen. NIS2 sieht eine gestufte Meldelogik vor: eine Frühwarnung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und einen Abschlussbericht nach einem Monat. Für die Programmleitung bedeutet das nicht nur, ein Formular bereitzuhalten. Sie muss Zuständigkeiten, Entscheidungskriterien, Erreichbarkeiten, Beweissicherung, Management‑Freigaben und die Abstimmung mit Datenschutz, Legal, Kommunikation und betroffenen Dienstleistern vorab festlegen.
Warum NIS2 kein reines IT‑Projekt ist
Die häufigsten Umsetzungshürden entstehen nicht bei der Auswahl eines Security‑Tools, sondern bei unvollständigen Asset‑Inventaren, unklaren Verantwortlichkeiten und schwachen Lieferanteninformationen. Wenn kritische Dienste, zugrunde liegende Systeme, externe Betreiber und vertragliche Meldepflichten nicht sauber erfasst sind, bleiben Gap‑Analysen oberflächlich. Dann kann eine Organisation zwar Kontrollen dokumentieren, weiß aber im Ernstfall nicht schnell genug, welche Dienste betroffen sind und wer innerhalb der Lieferkette reagieren muss.
Eine belastbare NIS2‑Umsetzung verbindet deshalb Informationssicherheit mit Business Continuity Management, Incident Response, Einkauf, Lieferantenverträgen und operativem Risikomanagement. Service Level Agreements, Sicherheitsanforderungen, Meldepflichten, Audit‑Rechte und Exit‑Szenarien müssen in Verträgen und Supplier‑Risk‑Prozessen abgebildet werden. Ohne Einkauf und Legal scheitern viele Programme an genau dieser Stelle: Die technischen Teams erkennen Risiken, können sie aber nicht in Vertragssteuerung oder Eskalationsmechanismen übersetzen.
In der täglichen Arbeit nutzt die NIS2‑Programmleitung meist eine Mischung aus GRC‑Plattformen, Asset‑Inventaren, Risiko‑Registern, Lieferantenbewertungen, Incident‑Response‑Playbooks und Reporting‑Dashboards. Die Werkzeuge sind hilfreich, ersetzen jedoch keine Governance. Ein GRC‑System schafft nur dann Wert, wenn Risikokriterien, Verantwortliche, Nachweise und Entscheidungswege vorher geklärt sind.
Ein realistischer Einstieg: von den ersten 90 Tagen zum Jahresplan
Der erste Arbeitsabschnitt einer NIS2‑Verantwortlichen sollte nicht mit einer vollständigen Reorganisation beginnen. Sinnvoller ist ein phasenweises Vorgehen, das Transparenz schafft und Risiken priorisiert. In den ersten Wochen stehen Scoping, betroffene Dienste, bestehende Kontrollen, relevante Lieferanten und Meldewege im Vordergrund. Danach folgt die Bewertung, welche Lücken das größte Betriebs‑, Sicherheits‑ oder Compliance‑Risiko erzeugen.
Nach etwa 90 Tagen sollte die Organisation wissen, welche Einheiten und Dienste im Scope sind, wer fachlich verantwortlich ist, welche kritischen Lieferanten fehlen, welche Incident‑Response‑Prozesse angepasst werden müssen und welche Entscheidungen die Geschäftsleitung treffen muss. Ein Jahresplan kann anschließend Maßnahmen bündeln: Governance‑Gremium etablieren, Risiko‑ und Kontrollkatalog schärfen, Lieferanten klassifizieren, Tabletop‑Übungen durchführen, Nachweise standardisieren und Reporting‑Kennzahlen einführen. Für die methodische Vertiefung von Sicherheits‑ und Risikoarbeit kann ein strukturierter Lernzugang wie Security‑Training für GRC, Incident Response und Risikomanagement hilfreich sein.
Tabletop‑Übungen sind dabei besonders wertvoll, weil sie Schwächen sichtbar machen, bevor ein echter Vorfall eintritt. Ein realistisches Szenario kann etwa einen kompromittierten Dienstleister betreffen, dessen Ausfall einen kritischen Geschäftsprozess stört. Die Übung prüft dann, ob Fachbereich, IT‑Betrieb, Security, Einkauf, Datenschutz, Rechtsabteilung und Management innerhalb der vorgesehenen Meldefristen entscheidungsfähig sind.
Kompetenzen, die den Unterschied machen
Der Karrierepfad in eine NIS2‑Programmrolle verläuft häufig über Security Governance, IT‑Risk, Audit, Compliance, Datenschutzschnittstellen, Projektmanagement oder Incident Response. Ein technischer Hintergrund ist hilfreich, aber nicht zwingend der einzige Einstieg. Quereinsteigerinnen und Quereinsteiger aus Audit, GRC oder Business Continuity können sehr gut passen, wenn sie Sicherheitsgrundlagen aufbauen und regulatorische Anforderungen in praktische Steuerung übersetzen können.
- Regulatorisches Verständnis für NIS2, nationale Umsetzung, Meldepflichten und Nachweisführung.
- Risikomanagement mit Scoping, Kritikalitätsbewertung, Maßnahmenpriorisierung und Management‑Reporting.
- Incident‑Response‑Kenntnisse, einschließlich Eskalation, Rollen, Kommunikation und Tabletop‑Übungen.
- Lieferanten‑ und Vertragssteuerung mit Sicherheitsanforderungen, Meldewegen und Audit‑Rechten.
- Kommunikation mit Geschäftsleitung, Fachbereichen, IT‑Betrieb, Datenschutz, Recht und Einkauf.
Bei Zertifizierungen sollte die Auswahl zum Zielbild passen. Wer NIS2‑Programme führen möchte, braucht vor allem Governance‑, Resilienz‑ und Umsetzungsverständnis zur Directive (EU) 2022/2555. Wer ein Informationssicherheitsmanagementsystem aufbauen oder prüfen will, findet in ISO/IEC 27001 Lead Implementer oder Lead Auditor einen anderen Schwerpunkt. CISM wiederum betont das Management von Informationssicherheit. Diese Pfade überschneiden sich, führen aber zu unterschiedlichen beruflichen Signalen.
Es gibt keine offizielle EU‑Zertifizierung, die allein zur NIS2‑Verantwortlichen macht. Schulungen und Zertifikate können Wissen strukturieren und gegenüber Arbeitgebern Orientierung geben, ersetzen aber keine Umsetzungserfahrung. Entscheidend ist, ob eine Person Risiken bewerten, Stakeholder koordinieren, Nachweise organisieren und in kritischen Situationen handlungsfähige Prozesse herstellen kann.
Wie sich die Rolle im Alltag bewährt
Ein typischer Arbeitstag kann mit einem Lenkungskreis beginnen, in dem offene Risiken aus der Gap‑Analyse priorisiert werden. Danach folgt ein Termin mit dem Einkauf, um Sicherheitsanforderungen für kritische Dienstleister in Vertragsvorlagen zu verankern. Am Nachmittag kann die Programmleitung ein Incident‑Response‑Szenario vorbereiten, bei dem die 24‑Stunden‑Frühwarnung, die 72‑Stunden‑Meldung und der Monatsbericht praktisch durchgespielt werden.
Dieses Beispiel zeigt, warum die Rolle zugleich analytisch und koordinierend ist. Die NIS2‑Verantwortliche muss technische Details ausreichend verstehen, um Risiken nicht zu verharmlosen, und gleichzeitig so kommunizieren, dass Management und Fachbereiche Entscheidungen treffen können. Gute Arbeit zeigt sich nicht an der Menge der Dokumente, sondern daran, ob kritische Dienste bekannt sind, Eskalationen funktionieren, Lieferanten eingebunden sind und Nachweise im Audit belastbar bleiben.
Lernpfad und nächste Schritte
Ein sinnvoller Lernpfad beginnt mit den Grundlagen der NIS2‑Anforderungen und führt dann in Risikomanagement, Incident Response, Lieferkettensteuerung und Management‑Reporting. Wer bereits aus der Technik kommt, sollte Governance, Vertragslogik und Audit‑Readiness ergänzen. Wer aus Compliance oder Audit kommt, sollte Sicherheitsarchitekturen, Betriebsprozesse und Incident‑Response‑Abläufe vertiefen.
Readynez kann in diesem Kontext als strukturierter Einstieg dienen, wenn Fachkräfte die Rolle der NIS2‑Programmleitung mit praxisnahen Security‑ und Compliance‑Lernpfaden verbinden möchten. Ergänzend lohnt es sich, interne Dokumente der eigenen Organisation zu prüfen: Asset‑Inventar, BCM‑Pläne, Lieferantenlisten, Incident‑Response‑Playbooks, Risiko‑Register und bestehende Management‑Reports zeigen schnell, wo Lernbedarf und Umsetzungsbedarf zusammenfallen.
Die wichtigste Karriereentscheidung ist daher nicht die Wahl eines einzelnen Zertifikats, sondern der Aufbau eines belastbaren Profils: regulatorisch sicher, organisatorisch wirksam und nah genug an Technik und Betrieb, um realistische Maßnahmen zu steuern. Wer diesen Mix entwickelt, kann NIS2‑Programme in Deutschland fachlich führen und Organisationen dabei helfen, Cyberresilienz messbar in Governance, Prozesse und Lieferketten zu integrieren. Für eine passende Einordnung des nächsten Trainingsschritts bietet sich ein Gespräch über Unlimited Security Training oder eine direkte Kontaktaufnahme an.
