NIS-2, DORA, DSGVO - Sinnvolle Richtlinien?

Wenn „geht gerade nicht" zur Standardantwort wird

Das Autohaus und mein Physio sind keine Einzelfälle. Dieses Tolerieren von Dingen, die nicht funktionieren, zieht sich durch unseren gesamten Alltag.

Letztens zum Beispiel rufe ich bei unserer Versicherung an, um etwas zu klären. Doch die Mitarbeiterin am Telefon erzählt mir ganz trocken: „Unser System geht schon seit zwei Tagen nicht" – und sie könne mir deswegen nicht helfen. Zwei Tage. Nicht zwei Stunden – zwei Tage.

Im Supermarkt stehst Du an der Selbstbedienungskasse und kannst nicht bezahlen, weil irgendein Update hängt oder die Verbindung zum Kassensystem abgerissen ist. Im Restaurant sitzt Du auf der Terrasse und wenn Du bezahlen willst, musst Du teilweise wieder reingehen, weil das EC-Gerät draußen keinen Empfang hat.

Und das Muster ist überall das gleiche: Wir zucken mit den Schultern und machen weiter. Nicht jeder Softwareabsturz ist ein Weltuntergang. Nicht jede Unannehmlichkeit ist ein Systemversagen. Aber es geht mir nicht um den einzelnen Ausfall. Es geht mir um die Selbstverständlichkeit dahinter.

Wenn ich mein Auto in die Werkstatt bringe und Winterreifen aufziehen lasse, ist das erledigt in einer Stunde. Rechnung bezahlt, fertig. Da diskutiert keiner. Aber bei IT? Da wird diskutiert. Da wird relativiert. Da heißt es „ist halt so" und „geht gerade nicht."

Ich glaube, das liegt daran, dass wir IT nicht anfassen können. Du siehst nicht, ob es gut oder schlecht gemacht ist. Du merkst es erst, wenn es nicht mehr funktioniert. Und das ist meistens Unwissen, fehlende Prioritäten, fehlendes Bewusstsein – und manchmal auch einfach Faulheit.

Von Software, die nicht gescheit läuft. Von Schnittstellen, die nicht funktionieren. Von Systemen, die so fragil sind, dass eine Praxis stillsteht, weil das Internet kurz aussetzt. Das führt dazu, dass Leute grundsätzlich skeptisch werden. Deswegen muss irgendwo eine Grenze sein. Zwischen „das akzeptiere ich" und „das darf so nicht laufen."

Und interessanterweise gibt es tatsächlich Leute, die versucht haben, genau diese Grenze zu definieren. Das Ganze steht dann in Regelwerken wie NIS-2, DORA und der guten alten DSGVO. Alle stöhnen, wenn sie die Namen hören. Aber was steht da eigentlich wirklich drin?

Gesunder Menschenverstand in Anwaltsdeutsch verpackt

Ich weiß, was Du jetzt denkst. NIS-2. DORA. DSGVO. Schon wieder Bürokratie. Schon wieder typisch Deutschland. Schon wieder irgendwelche EU-Richtlinien, die kein Mensch versteht und die alles nur komplizierter machen.

Und ja, die „Verpackung" ist furchtbar. Alles in Anwaltsdeutsch geschrieben, alles klingt nach mehr Aufwand als es ist. Aber wenn Du mal die Paragrafen weglässt und Dir anguckst, was da inhaltlich gefordert wird, stehen da eigentlich ganz simple Fragen.

Oder die DSGVO. Meistgehasst, klar. Du weißt, wie nervig Cookie-Banner sein können. Noch eine Unterschrift und noch ein Auftragsverarbeitungsvertrag. Aber der Kern dahinter – dass meine Daten nicht einfach kreuz und quer durch die Gegend geschickt werden – ist wichtig und richtig.

Hast Du einen Notfallplan?

Im Kern landen alle diese Regelwerke bei den gleichen Grundlagen: Hast Du einen Notfallplan? Wenn es brennt – im übertragenen Sinne – weiß dann jeder, was zu tun ist?

Und der Notfallplan ist ja nur der Einstieg. Dahinter stehen Unterpläne. Zum Beispiel ein Wiederanlaufplan: Wie werden wir nach einem Ausfall wieder arbeitsfähig? Was schalten wir zuerst ein? Was kommt danach? Wer entscheidet?

Oder ein Mitarbeiterhandbuch. Das fängt an mit „Kann ich in Shorts auf die Arbeit kommen?" und geht weiter mit „Wie sehen unsere Passwortrichtlinien aus?", „Wie gehen wir mit KI um?" und „Was darf ich am Telefon sagen, was per Mail?" All das sorgt für eine Struktur und ein gewisses Qualitätsniveau – im Rahmen von: so wenig wie möglich und so viel wie nötig.

Es zahlt sich mehrfach aus: Deine IT-Sicherheit ist abgedeckt, Deine Versicherungsprämien sinken und Du bist gleichzeitig compliant – mit dem gleichen Aufwand.

Und auch wir lernen da ständig dazu. Die Situation mit dem Personalausweis hat mir gezeigt: Es gibt immer wieder Szenarien, an die Du vorher nicht gedacht hast. Selbst wenn Du Dich täglich mit IT-Sicherheit beschäftigst. Der Unterschied ist, ob Du so ein Szenario dann in einen Plan aufnimmst – oder ob Du es einfach wieder vergisst und beim nächsten Mal das Gleiche passiert.

Was die meisten davon abhält, sich mit diesen Themen auseinanderzusetzen, ist nicht der Aufwand. Es ist das Gefühl, dass es kompliziert sein muss. Aber was, wenn es das gar nicht ist?

Es ist nicht schwerer, nur ungewohnt

Das meiste dieser Compliance-Themen ist ehrlicherweise gar nicht so kompliziert. Nehmen wir Festplattenverschlüsselung als Beispiel. Das kostet nichts extra. Beeinträchtigt den Anwender im Alltag überhaupt nicht. Aber wenn Dir der Laptop geklaut wird oder Du ihn irgendwo liegen lässt, sind Deine Daten erstmal sicher.

Was ich in Gesprächen immer wieder merke: Es gibt diesen Reflex, bei IT-Themen alles selbst machen zu wollen. Oder es gar nicht zu machen, weil es zu aufwändig wirkt. Aber in jedem anderen Bereich ist das völlig normal.

Warum ist IT anders?

Wenn Du nicht weißt, wie man ein Haus baut, baust Du es nicht selbst. Wenn Du Deine Steuererklärung nicht hinbekommst, gehst Du zum Steuerberater. Wenn Du Dir die Haare nicht schneiden kannst, gehst Du zum Friseur. Warum ist das bei IT anders? Warum wird da diskutiert, ob man sich Hilfe holt?

Ich glaube, der größte Fehler ist, das Thema der Regulationen aus Angst anzugehen. Klar, bei Nichteinhaltung drohen Strafen, teilweise sogar die persönliche Haftung der Geschäftsführung. Das steht da drin und das ist auch irgendwo real. Aber wenn das der einzige Grund ist, warum Du Dich damit beschäftigst, dann öffnest Du Türen aus den falschen Gründen.

Es geht am Ende um Bewusstsein. Darum, Gewohnheiten zu hinterfragen, die sich irgendwann eingeschlichen haben. Wir schicken Personalausweise per Mail, weil wir es immer so gemacht haben. Wir akzeptieren Softwareausfälle, weil wir es nicht anders kennen. Wir schieben IT-Sicherheit vor uns her, weil es sich nach Aufwand anfühlt.

Nichts davon ist Absicht. Nichts davon ist Dummheit. Es ist Gewohnheit. Und Gewohnheiten können wir ändern. Nur ändern wir Gewohnheiten leider selten freiwillig. Meistens braucht es erst den Moment, in dem es wehtut.