Die europäische Cybersicherheits-Regulierung hat in den letzten Jahren stark an Fahrt gewonnen. Für Verantwortliche ist es zentral, die wichtigsten Regelwerke auseinanderzuhalten – und ihre Gemeinsamkeiten zu nutzen, statt jedes Thema isoliert abzuarbeiten.
NIS-2: das Fundament der Cyber-Regulierung
Die NIS-2-Richtlinie hebt das Sicherheitsniveau branchenübergreifend an. Sie verpflichtet wesentliche und wichtige Einrichtungen zu Risikomanagement, Meldeprozessen und Lieferkettensicherheit – und nimmt die Geschäftsleitung persönlich in die Verantwortung. NIS-2 ist damit das breite Fundament, auf dem viele Unternehmen ihre Compliance aufbauen.
DORA: Resilienz für den Finanzsektor
Der Digital Operational Resilience Act (DORA) richtet sich speziell an Banken, Versicherer, Zahlungsdienstleister und weitere Finanzunternehmen. Er stellt hohe Anforderungen an das Management von IKT-Risiken, an das Testen der Widerstandsfähigkeit und – besonders prägend – an das Management von Drittanbieter-Risiken, inklusive einer verschärften Aufsicht kritischer IKT-Dienstleister. Wo NIS-2 breit ansetzt, geht DORA im Finanzsektor deutlich in die Tiefe.
Cyber Resilience Act: Sicherheit ab Werk
Der Cyber Resilience Act (CRA) verlagert den Fokus auf Produkte mit digitalen Elementen – von vernetzter Software bis zu IoT-Geräten. Hersteller müssen Sicherheit über den gesamten Lebenszyklus gewährleisten: sichere Entwicklung, ein Schwachstellenmanagement mit Update-Pflichten und Transparenz gegenüber Nutzern. „Security by Design“ wird damit von der Empfehlung zur Rechtspflicht. Für Betreiber bedeutet das mittelfristig sicherere Produkte – für Hersteller einen klaren Handlungsauftrag.
Der gemeinsame Nenner: Lieferkette
So unterschiedlich die Regelwerke sind – ein Thema zieht sich durch alle: die Sicherheit der Lieferkette. NIS-2 fordert die Bewertung von Dienstleistern, DORA reguliert IKT-Drittparteien streng, der CRA nimmt Produkthersteller in die Pflicht. Wer seine Lieferanten systematisch bewertet und vertraglich einbindet, adressiert mehrere Anforderungen zugleich.
Einmal aufbauen, mehrfach nutzen
Für die meisten Organisationen lohnt es sich nicht, jede Regulierung als Einzelprojekt zu behandeln. Ein integriertes Informationssicherheits-Managementsystem – etwa nach ISO 27001 – deckt einen Großteil der gemeinsamen Anforderungen ab. Darauf lassen sich die spezifischen Ergänzungen der einzelnen Regelwerke gezielt aufsetzen. So wird aus einem unübersichtlichen Pflichtenkatalog ein handhabbarer Fahrplan – und aus Compliance ein echter Sicherheitsgewinn.
Zeitliche Einordnung bis 2027
Die Regelwerke greifen zeitlich gestaffelt und erhöhen den Handlungsdruck Jahr für Jahr. DORA ist im Finanzsektor bereits verbindlich anzuwenden und macht IKT-Risikomanagement und Drittparteienkontrolle zur Pflicht. NIS-2 wird über die nationalen Umsetzungsgesetze schrittweise wirksam. Der Cyber Resilience Act entfaltet seine Anforderungen an Hersteller mit gestaffelten Übergangsfristen, sodass Melde- und Produktpflichten bis 2027 zunehmend greifen.
Was das praktisch bedeutet
Für Verantwortliche heißt das: Die Zeit des Abwartens ist vorbei. Sinnvoll ist ein mehrjähriger Fahrplan, der die eigene Betroffenheit je Regelwerk klärt, Zuständigkeiten festlegt und Maßnahmen priorisiert. Wer die gemeinsamen Anforderungen – Risikomanagement, Meldeprozesse, Lieferkettensicherheit – zuerst angeht, deckt einen Großteil aller Regelwerke gleichzeitig ab und vermeidet teure Doppelarbeit.