Angesichts massiver Cyberattacken auf Unternehmen spielen Informationssicherheit, digitale und physische Resilienz eine immer wichtigere Rolle für die Unternehmensführung. EU und nationale Gesetzgeber reagieren darauf mit zahlreichen Vorschriften. Nahezu alle mittleren und großen Unternehmen sind betroffen. Doch welche Regeln gelten für wen und was ist dann zu tun? Ein Überblick!
Schutz kritischer Infrastrukturen – KRITIS
Im Mittelpunkt steht hier die Resilienz physischer Infrastrukturen in essenziellen Bereichen wie Energie, Wasser, Transport, Gesundheit, usw. Wer angesprochen ist und die gesetzlichen Vorgaben erfüllen muss, hängt von verschiedenen Faktoren ab.
Tipp: In unserem Ratgeber erfahren Sie, welche Unternehmen als kritische Anlage gelten und vom IT-Sicherheitsgesetz betroffen sind.
Wesentlich für KRITIS ist die EU-Richtlinie über die Resilienz kritischer Einrichtungen (Critical Entities Resilience / CER-Richtlinie). In Deutschland wird die CER-Richtlinie künftig umgesetzt durch das KRITIS-Dachgesetz.
Tipp: Lesen Sie mehr über das KRITIS-Dachgesetz und seine Bedeutung für Unternehmen.
NIS2-Richtlinie
Die EU-Richtlinie NIS2 verpflichtet zur Etablierung robuster Sicherheits- und Governance-Strukturen für „wesentliche“ und „wichtige“ Einrichtungen. Der Kreis der Adressaten ist im Vergleich zur KRITIS-Regulierung also deutlich weiter.
Tipp: Nutzen Sie unseren interaktiven NIS2-Anwendungstest, um herauszufinden, ob die NIS2-Regelungen für Sie zutreffen.
Deutschland ist aktuell mit der Umsetzung in nationales Recht noch im Verzug, was zur Verunsicherung vieler Unternehmen beiträgt (siehe unser Beitrag zum NIS2-Umsetzungsgesetz).
Aber: Die wesentlichen Pflichten sind klar und werden sich auch nicht mehr ändern. Die NIS2-Richtlinie verpflichtet zu durchgängiger Überwachung, Absicherung und Testung der digitalen Resilienz – auch über die eigenen Systemgrenzen hinaus. Abwarten birgt erhebliche Risiken.
Tipp: So erreichen Sie Compliance mit der NIS2-Richtlinie in kürzester Zeit!
Digital Operational Resilience Act (DORA)
Der Digital Operational Resilience Act (DORA) gilt als EU-Verordnung unmittelbar und direkt. Eine nationale Umsetzung entfällt daher.
DORA macht Vorgaben für die digitale operationelle Resilienz im Finanzsektor, spricht also Banken, Versicherer, Zahlungsdienste, etc. an. Indirekt wird der Anwendungsbereich allerdings noch erheblich erweitert, da der Finanzsektor entsprechende Anforderungen an seine IT- und Cloud-Dienstleister stellen muss. Unternehmen, die entsprechende Dienstleistungen erbringen, müssen sich hierauf einstellen, um die betroffenen Kunden zu behalten.
Tipp: Wir helfen Ihnen, DORA-Compliance für Ihr Unternehmen zu erzielen!
Was droht bei Missachtung der Pflichten?
In der Praxis beobachten wir bei vielen Unternehmen eine gefährliche Zurückhaltung. Zögern aus Unsicherheit oder falscher Sparsamkeit kann aber fatale Folgen haben! Die Kernpflichten stehen bereits jeweils fest. Lediglich Details (z. B. zu Meldewegen, welche Vorfälle an welche zuständige Stelle zu melden sind) stehen noch aus.
Weitere Zurückhaltung bzw. das Warten auf nationale Gesetze oder gar das Wegducken bis erste Bußgelder verhängt werden, kann sehr unangenehme Folgen haben.
Unternehmen, die jetzt nicht handeln, riskieren:
- empfindliche Bußgelder bei Verstößen,
- persönliche Haftung der Geschäftsleitung,
- Verlust der Vertretungsbefugnis für Führungskräfte,
- Reputationsschäden und Kundenverluste,
- Betriebsunterbrechungen durch mangelhafte Vorbereitung,
- Verlust oder Verteuerung des Versicherungsschutzes,
- Engpässe bei Beratern, Auditoren und Pen-Testern, je näher das Ende der Fristen rückt!
Was sollten Verantwortliche jetzt tun?
Jedes Unternehmen sollte SOFORT (!) eine Betroffenheitsanalyse durchführen. Das entsprechende Budget muss eingeplant und freigegeben werden.
Kurzfristig, innerhalb von wenigen Monaten:
- Aufbau des notwendigen ISMS (Informationssicherheits-Managementsystem)
- Umsetzung technischer und organisatorischer Maßnahmen
- Lieferketten prüfen, Verträge aktualisieren
- Planen und Buchen von Pen‑Tests / Threat-led Penetration Testing (TLPT)
Feinschliff nach zwölf bis 18 Monaten Projektlaufzeit:
- Automatisierung von KPIs und Reporting
- Nachjustierung, sobald letzte gesetzliche Details vorliegen
Fazit
Verantwortlichen muss klar sein: Die wesentlichen Anforderungen aus CER, NIS2 und DORA liegen bereits offen auf dem Tisch! Unternehmen, die zügig starten, profitieren gleich mehrfach: Sie reduzieren Kostenrisiken, vermeiden nachteilige Rechtsfolgen und positionieren mit passender Compliance strategisch am Markt.