Sabotage, Cyberangriffe, hybride Bedrohungen: Warum NIS-2 ohne Schulungen scheitert
Pascal Rieboldt, COO ML Gruppe
9. Juni 2026
Energieversorger, Netzbetreiber und Defence-Unternehmen müssen jetzt NIS-2-compliant sein. Doch viele unterschätzen den entscheidenden Faktor: den Menschen. Warum die richtigen Schulungen der Mitarbeiter so wichtig sind.
Die Bedrohungslage ist real: 321 registrierte Sabotagefälle gegen kritische Infrastruktur in Deutschland im Jahr 2025. Eine Verdopplung erfolgreicher Cyberangriffe auf Europas Energiesektor innerhalb weniger Jahre. Massive Angriffe auf die Energieversorgung der Ukraine.
Mit der NIS-2-Richtlinie reagierte die EU auf genau diese Entwicklung. Und Unternehmen müssen sie seit Dezember 2025 bereits umsetzen.
Für Energieversorger, Netzbetreiber sowie Unternehmen aus Defence und kritischer Infrastruktur stellt sich damit eine drängende Frage: Ist Ihre Organisation wirklich vorbereitet – technisch und menschlich?
Der Energiesektor steht unter Beschuss
Energieinfrastruktur gehört heute zu den wichtigsten strategischen Zielen hybrider Angriffe weltweit. Der Grund liegt auf der Hand: Wer die Energieversorgung stört, trifft Wirtschaft, Staat, Industrie und Bevölkerung gleichzeitig.
Besonders sichtbar wird das im Krieg Russlands gegen die Ukraine. Dort wurden Kraftwerke, Umspannwerke und Netzinfrastruktur systematisch angegriffen – physisch und digital.
Hybride Angriffe auf Energieinfrastruktur sind kein Phänomen von Kriegsgebieten, sondern Bestandteil einer strategischen Destabilisierungstaktik, die längst auch NATO-Staaten und ihre Verteidigungsindustrie betrifft. Rüstungsunternehmen und Zulieferer der Bundeswehr sind als Teil der kritischen Infrastruktur ebenso im Visier – und NIS-2-pflichtig.
Die Bedrohungslage in Zahlen
In Deutschland registrieren Behörden eine zunehmende Zahl an Vorfällen gegen kritische Infrastruktur. Das betrifft:
- Energieversorger
- Netzbetreiber
- Ladeinfrastruktur
- industrielle Steuerungssysteme
- Fernwartungszugänge
- OT- und SCADA-Systeme (digitale Steuerung kritischer Anlagen)
Parallel steigen Cyberangriffe auf europäische Energieunternehmen massiv an. Studien zeigen, dass sich erfolgreiche Angriffe auf den Energiesektor innerhalb weniger Jahre verdoppelt haben.
Kritische Infrastruktur ist heute kein rein technisches Ziel mehr – sondern ein strategisches Angriffsfeld.
NIS-2 ist die Antwort auf diese Bedrohungslage
Mit der NIS-2-Richtlinie reagiert die EU auf die massiv gestiegene Gefährdung kritischer Infrastruktur. Besonders betroffen sind:
- Energieversorger
- Strom- und Gasnetzbetreiber
- Betreiber kritischer Energieanlagen
- Unternehmen im Defence- und Rüstungsumfeld
- Zulieferer und KRITIS-nahe Dienstleister
Gerade Energieunternehmen gelten als „wesentliche Einrichtungen“. Für sie gelten besonders hohe Anforderungen.
Unternehmen müssen:
- Risiken systematisch bewerten
- Sicherheitsvorfälle innerhalb enger Fristen melden
- Lieferketten absichern
- Krisenprozesse etablieren
NIS-2 verlangt deutlich mehr als klassische IT-Sicherheit. Technische Schutzmaßnahmen – Firewalls, Segmentierung, Monitoring – sind notwendig, aber nicht hinreichend.
Vor allem aber rückt die Richtlinie den Faktor Mensch in den Mittelpunkt. Artikel 21 schreibt ausdrücklich vor, dass Organisationen Maßnahmen zur NIS-2-Schulung von Mitarbeitenden und zur Förderung von Cybersicherheitskompetenzen auf allen Ebenen umsetzen müssen – einschließlich Führungskräften und Leitungsorganen.
Erfolgreiche Angriffe entstehen heute nämlich häufig dort, wo Unsicherheit, fehlende Routinen oder mangelnde Awareness auf komplexe Systeme treffen.
Gerade dieser Punkt wird in der Umsetzungspraxis häufig unterschätzt. Der Mensch bleibt die kritischste Schwachstelle.
Wer Schulungen deshalb als reine Compliance- oder Checkbox-Übung versteht, unterschätzt sowohl die Bedrohungslage als auch die eigentliche Zielsetzung von NIS-2.
Im Ernstfall schützt nicht nur die Technik – sondern die Fähigkeit der Mitarbeitenden, Angriffe zu erkennen und richtig zu handeln.
Der Faktor Mensch: Die größte Sicherheitslücke
Unternehmen investieren in Firewalls, Monitoring und Zero-Trust-Architekturen. Gleichzeitig bleiben Mitarbeitende die am wenigsten vorbereitete Verteidigungslinie.
Dabei beginnen viele erfolgreiche Angriffe genau dort:
- Phishing-Mails
- gestohlene Zugangsdaten
- Social Engineering
- manipulierte Fernwartung
- unsichere mobile Geräte
- Fehlverhalten unter Stress oder im Krisenfall
Phishing bleibt der häufigste Einstiegsvektor bei Cyberangriffen – auch im Energiesektor. Studien zeigen, dass die Anfälligkeit von Mitarbeitenden in Energieunternehmen für Phishing-Angriffe durch gezielte Schulungsprogramme von 47,8 % auf unter 4 % drastisch gesenkt werden kann. Das ist eine Risikoreduktion um mehr als 90 % – durch Kompetenzentwicklung.
Dabei ist wichtig: Schulungen im Energiesektor müssen spezifisch sein. Ein allgemeines IT-Security-Awareness-Training greift zu kurz.
Wer kritische Infrastruktur schützen will, muss Mitarbeitende auf reale Angriffsszenarien vorbereiten.
Anlagensteuerung, Energie und Defence wachsen zusammen
Mit der Digitalisierung verschwimmen die Grenzen zwischen IT, OT und physischer Infrastruktur zunehmend.
Gerade Unternehmen aus dem Defence- und Rüstungsumfeld geraten dadurch stärker in den Fokus. Denn Energieversorgung, industrielle Produktion und sicherheitskritische Infrastruktur hängen heute eng zusammen.
Angriffe auf Energieunternehmen sind deshalb längst nicht mehr nur wirtschaftlich motiviert. Sie können Teil geopolitischer, hybrider oder strategischer Operationen sein.
Umso wichtiger wird eine Sicherheitskultur, die nicht nur IT-Abteilungen betrifft, sondern das gesamte Unternehmen.
„NIS-2-Compliance beginnt nicht bei der Technik – sondern bei der Fähigkeit von Menschen, Risiken zu erkennen und richtig zu handeln.“
— ML Gruppe
Fazit: Kritische Infrastruktur schützen durch Kompetenzaufbau
Angriffe auf Energieversorgung, Netzinfrastruktur und kritische Anlagen werden weiter zunehmen. Gleichzeitig wachsen durch Digitalisierung, Fernwartung, vernetzte Anlagen und geopolitische Spannungen die Angriffsflächen für Unternehmen im Energie- und Defence-Umfeld.
Die Frage ist nicht mehr, ob etwas passiert. Sondern ob Mitarbeitende wissen, was dann zu tun ist.
Genau daran werden viele Unternehmen scheitern: nicht an fehlender Technologie, sondern an Unsicherheit, fehlenden Routinen und mangelnder Vorbereitung im Ernstfall. Denn Cyberresilienz entsteht nicht allein durch Firewalls und Monitoring – sondern durch Menschen, die Bedrohungen erkennen, richtig reagieren und auch unter Druck handlungsfähig bleiben.
Genau hier setzt die ML Gruppe an. Denn die widerstandsfähigste Infrastruktur ist am Ende die, deren Menschen vorbereitet sind.
