Swiss Room · Teamstudie
Wie ein NIS2-Meldepflicht-Konflikt das Team fast lähmt
NIS2-Meldepflicht im 4-Phasen-Format — wenn Tempo und Verbindlichkeit kollidieren
Was diese Teamstudie Ihrem Team gibt
NIS2-Anforderungen im Team durcharbeiten – mit Fokus auf IT-Sicherheit und Meldepflichten.
Das Meldepflicht-Meeting, das fast eskaliert – und wie es doch gelingt
· © 2026
Einordnung
Diese Teamstudie zeigt, wie ein NIS2-Meldepflicht-Workshop durch den Zusammenprall von Entwicklungslogik, Rechtslogik und Sicherheitslogik an den Rand des Scheiterns gerät – und wie eine strukturierte CEO-Moderation die Wende bringt.
Die Ausgangslage
Die Nextronix AG aus Sursee entwickelt IoT-Steuerungen für die Lebensmittelindustrie in ganz Europa. Seit Monaten steht auf der Agenda: NIS2-Umsetzung. Jetzt ist es so weit: Erster grosser Risiko- und Meldepflicht-Workshop. Alle sind da – und es knistert sofort.
Als Schweizer Gesellschaft ist Nextronix nicht schon wegen seiner Kunden unmittelbar NIS2-pflichtig — NIS2 ist eine EU-Richtlinie und knüpft an Sektor, Tätigkeit, Grösse und eine unionsrechtliche/nationale Anknüpfung an; die Kategorien sind wesentliche und wichtige Einrichtungen. In diesem Fall wird angenommen, dass mehrere NIS2-pflichtige EU-Kunden vertragliche Sicherheits- und Meldeanforderungen an Nextronix weitergeben. Die gesetzlichen Fristen (24-Stunden-Frühwarnung, 72-Stunden-Meldung, 1-Monats-Abschlussbericht nach Art. 23 NIS2) treffen dann primär die Kunden; für Nextronix werden sie über den Vertrag relevant. Verhandelbar bleibt: Welche Vorfälle diese Anforderungen auslösen.
Methodische Grundlage: das Modell der Vier Arbeitslogiken nach Sabine Müller (systemische Prozessberatung, Trigon-Schule, vgl. Königswieser/Hillebrand). NBK Legal wendet es im regulatorischen Kontext an. Es ist eine systemische Arbeitsheuristik — keine gesetzlich vorgeschriebene oder diagnostisch validierte Typologie; Menschen und Funktionen können je nach Situation mehrere Logiken verwenden. Vertiefung in der Methodik.
Das Modell: Vier Arbeitslogiken
NIS2 verbindet technische Sicherheitslogik, rechtliche Pflichtlogik und operative Entwicklungslogik in einem Projekt. Das ist kein Problem – solange diese Logiken nacheinander reden dürfen. Das Problem entsteht, wenn sie gleichzeitig reden.
| System | Arbeitslogik | Fokus | In diesem Meeting |
|---|---|---|---|
| A | Resonanz | Menschen, Klima, Wirkung | Sandra – CEO |
| B | Struktur | Pflichten, Relevanz, Entscheidungen | Philipp – Leiter Recht & Compliance |
| C | Exploration | Ideen, Optionen, Innovation | Lena – Head of Development |
| D | Tiefe | Analyse, Risiken, Abhängigkeiten | Timo – Externer CISO |
Die Konfliktlage
Die Eskalation
Nach zehn Minuten reden alle durcheinander. Die Energie kippt.
Philipp: „Lena, das ist kein Vorschlag. Das ist Gesetz.“ Lena: „Gesetze, die ich nicht umsetzen kann, helfen niemandem.“ Timo, ruhig: „Beide haben recht – und ihr redet aneinander vorbei.“
Die 4-Phasen-Wende
Sandra stoppt das Meeting.
„Stopp. Lena, du sprichst zuerst fünf Minuten frei. Was stört dich genau an der Meldepflicht?“
Das Ergebnis nach 90 Minuten
Eine praktikable NIS2-Melde-Matrix mit 9 Ampel-Indikatoren statt 47
Klare Rollen und Eskalationswege für jeden Meldepunkt
Ein Dashboard, das den Meldestatus in Echtzeit abbildet
Ein Team, das wieder zusammenarbeitet
Learnings
| 1 | NIS2 scheitert nicht an Technik | Es scheitert an Meetings ohne Struktur. 47 Meldepunkte werden durch Priorisierung zu 9 – nicht durch Kompromiss. |
|---|---|---|
| 2 | Die 24/72/1-Monat-Fristen sind ein Rhythmus | Kein Berichtssystem für jede Anomalie. Kein Filter, der echte Vorfälle übersieht. Das ist die Balance. |
| 3 | Erfolg entsteht durch Reihenfolge | C → D → B → A. Erst Praxissicht, dann Risikosicht, dann Struktur, dann Verbindlichkeit. |
| 4 | Die 4-Phasen-Methode macht NIS2 zum Team-Tool | Was als regulatorische Last begann, wird zum gemeinsamen Steuerungsinstrument. |
| 5 | Führung ist das verbindende Element | Sandra hat keine Entscheidung getroffen. Sie hat den Raum geschaffen, in dem das Team die richtige Entscheidung treffen konnte. |
NBK Legal ·
Die vorliegende Teamstudie ersetzt keine Rechtsberatung. Unternehmen, Personen und Sachverhalte sind fiktiv bzw. für didaktische Zwecke verdichtet.
- Welche Annahme brachte jede Funktion mit (Legal, IT/CISO, Risk, Geschäftsleitung)?
- Welche Information fehlte — und wem?
- Welche Entscheidung wurde dadurch verzögert?
- Welche Struktur (klare Rolle, Eskalationsweg, gemeinsame Kriterien) hätte den Konflikt verhindert?
- NIS2-Kontext: NIS2 ist eine Richtlinie — ob und wie die Einrichtung erfasst ist, richtet sich nach der nationalen Umsetzung (Sektor, Größe, Einrichtungsart); Fristen gegenüber CH-Lieferanten sind meist vertraglich, nicht behördlich.