Datenstrategie vor Compliance: Warum Unternehmen nicht wissen, wo ihre Daten liegen

Wo liegen Ihre kritischen Daten?

Ein IT-Leiter stellte letzte Woche eine Frage, die er selbst nicht beantworten konnte: "Wissen wir eigentlich, wo unsere Daten liegen?" Er meinte es als rhetorische Frage. Die Antwort war trotzdem: Nein.

Drei Cloud-Anbieter. Zwei KI-Tools im produktiven Einsatz. Ein Incident-Response-Plan, der schlicht "die IT" als Verantwortlichen nennt. Keine Datenkarte. Kein Verzeichnis. Keine klare Ownership. Das ist kein Einzelfall. Es ist das Standardbild in mittelständischen Unternehmen heute.

Das stille Kontrollvakuum

Wer Daten nicht kontrolliert, kontrolliert im Digitalen gar nichts. Das klingt dramatisch. Es ist aber nuchterne Realität.

Jede strategische Entscheidung (Einkaufsoptimierung, Kundenanalyse, Prognosemodell) basiert auf Daten. Wenn niemand weiss, welche Daten wo verarbeitet werden, wer Zugriff hat und wie aktuell sie sind, dann sind diese Entscheidungen auf Sand gebaut. Nicht aus Nachlassigkeit. Aus strukturellem Kontrollverlust.

Die meisten Unternehmen haben dieses Problem nicht bewusst ignoriert. Sie sind hineingewachsen. Jede neue Cloud-Applikation, jede KI-Integration, jeder neue Dienstleister hat die Datenlage komplexer gemacht, ohne dass jemand das Gesamtbild aktualisiert hätte.

Was NIS-2 konkret fordert

Genau diese drei Punkte sind Pflichtinhalt unter NIS-2, Artikel 21:

Erstens: Unternehmen müssen wissen, wo ihre kritischen Daten liegen. Nicht grob, sondern nachweisbar dokumentiert.

Zweitens: Es muss klar sein, wer Zugriff auf diese Daten hat, mit rollenbasierter Zuordnung, nicht pauschal "die IT".

Drittens: Zugriffskontrollen müssen regelmässig geprüft werden. Ein Verzeichnis ohne Pruefzyklus ist Papier.

Wer diese drei Punkte nicht nachweisen kann, hat nicht nur ein Sicherheitsproblem. Er hat ein Compliance-Problem gegenüber der Aufsicht und ein Haftungsproblem bei Vorfällen.

Der strukturierte Workshop-Tag

Ein Datenverzeichnis aufzusetzen dauert keine Wochen. Es dauert einen strukturierten Workshop-Tag, wenn die richtige Methodik dahintersteht.

Was in diesem Workshop entsteht: Eine priorisierte Übersicht aller kritischen Datenklassen. Für jede Klasse: Speicherort, Verarbeitungskontext, Zugriffsberechtigte und letzte Prüfung. Verantwortlichkeiten sind klar zugeordnet, keine kollektive Schulter.

Das Ergebnis ist kein perfektes Verzeichnis nach ISO-Standard. Es ist ein belastbares Fundament. Eine Arbeitsgrundlage, die sofort Entscheidungen ermöglicht: Welche Daten sind kritisch? Wo besteht heute Handlungsbedarf? Was muss vor einer NIS-2-Prüfung nachgezogen werden?

Vom Verzeichnis zur Kontrolle

Die eigentliche Wirkung eines Datenverzeichnisses entfaltet sich erst im Betrieb. Nicht beim Erstellen.

Wenn ein Vorfall passiert (und er wird passieren), dann entscheidet die Geschwindigkeit der Schadenseingrenzung über die Höhe des Schadens. Mit einem aktuellen Verzeichnis weiss das Incident-Response-Team in Minuten, welche Systeme betroffen sind, welche Daten potenziell exfiltriert wurden und welche Kunden informiert werden müssen.

Ohne dieses Verzeichnis beginnt die eigentliche Krisenarbeit erst mit der Bestandsaufnahme. Das kostet Zeit. Zeit, die Angreifer nutzen.

Die nächste sinnvolle Handlung

Wann habt ihr zuletzt geprüft, ob ihr wisst, wo eure kritischen Daten liegen?

Wenn die Antwort länger als drei Sekunden dauert oder mit "vermutlich" beginnt, dann ist heute der richtige Tag, um das zu ändern. Nicht mit einem grossen Projekt. Mit einem Workshop-Tag und der Entscheidung, Kontrolle ernst zu nehmen.