Was NIS-2, DORA und der CRA für Unternehmen bedeuten

Die Bedeutung von Cybersicherheit nimmt rasant zu. Was früher eine freiwillige Investition war, wird durch neue EU-Regularien zur Pflicht. Mit den Vorschriften NIS-2, DORA und dem Cyber Resilience Act (CRA) zieht Europa die Sicherheitsanforderungen für Unternehmen drastisch an.

Wer die neuen Regelungen ignoriert, riskiert hohe Strafen und den Verlust seiner Wettbewerbsfähigkeit.

Die neuen EU-Regularien im Überblick

Ab 2025 greifen in Europa drei zentrale Regelwerke, die Unternehmen zu weitreichenden Maßnahmen im Bereich IT-Sicherheit verpflichten:

1. NIS-2: Ausweitung der IT-Sicherheitsverpflichtungen Die „Network and Information Security Directive 2“ verschärft die Anforderungen für Cybersicherheit erheblich. Im Vergleich zur vorherigen Richtlinie betrifft sie nun nicht nur kritische Infrastrukturen, sondern auch viele mittelständische Unternehmen. Dazu zählen unter anderem Hersteller, IT-Dienstleister, Pharmaunternehmen und Logistikbetriebe. Unternehmen müssen Sicherheitsmaßnahmen etablieren, Angriffe innerhalb von 24 Stunden melden und sich auf strenge Kontrollen einstellen. Bei Nichteinhaltung drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
2. DORA: Neue Sicherheitsstandards im Finanzsektor Mit dem „Digital Operational Resilience Act“ werden Banken, Versicherungen und Fintechs verpflichtet, ihre gesamte IT-Lieferkette abzusichern und regelmäßige Cyber-Resilienz-Tests durchzuführen. Auch externe IT-Dienstleister, die mit Finanzunternehmen kooperieren, müssen strenge Sicherheitsstandards nachweisen, um weiterhin als Partner agieren zu dürfen.
3. Cyber Resilience Act (CRA): Sicherheit für digitale Produkte Hersteller von Hard- und Software müssen sicherstellen, dass ihre Produkte von Anfang an robuste Sicherheitsstandards erfüllen („Security-by-Design“). Zudem sind kontinuierliche Sicherheitsupdates über den gesamten Lebenszyklus der Produkte erforderlich. Unternehmen, die Sicherheitslücken nicht zeitnah schließen, müssen mit Sanktionen und Marktbeschränkungen rechnen.

Auswirkungen auf Unternehmen

Diese Vorschriften markieren eine strategische Neuausrichtung Europas im Bereich Cybersicherheit. Unternehmen müssen nicht nur höhere Standards erfüllen, sondern auch ein geändertes Marktumfeld berücksichtigen.

Ari Albertini, CEO von FTAPI, betont: „Die Zeiten, in denen Cybersicherheit eine rein technische Entscheidung war, sind vorbei. Jetzt geht es um wirtschaftliche Resilienz, digitale Souveränität und letztlich auch um persönliche Haftung.“

Besonders für Unternehmensleitungen bedeutet dies eine neue Verantwortung. Neben finanziellen Sanktionen können in bestimmten Fällen auch persönliche Haftungsrisiken entstehen. IT-Sicherheit wird damit zu einer essenziellen Management-Aufgabe.

Fünf zentrale Maßnahmen für Unternehmen

Um den neuen Vorschriften gerecht zu werden, sollten Unternehmen folgende Schritte umsetzen:

1. Sicherheitsstandards prüfen: Bestehende Sicherheitsmaßnahmen sollten auf die neuen gesetzlichen Anforderungen hin überprüft und optimiert werden.
2. Meldeprozesse und Compliance-Strukturen etablieren: Klare Prozesse zur Meldung von Sicherheitsvorfällen und die Einhaltung regulatorischer Dokumentationspflichten sind essenziell.
3. IT-Sicherheit strategisch verankern: Cybersicherheit ist nicht nur eine Aufgabe der IT-Abteilung, sondern eine unternehmensweite Verantwortung.
4. Auf europäische IT-Anbieter setzen: Digitale Souveränität gewinnt an Bedeutung. Unternehmen, die frühzeitig auf europäische Security-Dienstleister setzen, können langfristig stabiler agieren.
5. Frühzeitig investieren: Wer rechtzeitig in IT-Sicherheit investiert, verbessert nicht nur die Compliance, sondern stärkt auch das Vertrauen von Kunden und Partnern.

Cybersicherheit als strategischer Wettbewerbsvorteil

Mit den neuen EU-Vorgaben wird IT-Sicherheit zu einem entscheidenden Faktor für den wirtschaftlichen Erfolg. Unternehmen, die proaktiv handeln, sichern sich nicht nur vor Sanktionen ab, sondern verbessern auch ihre Marktposition.

Ari Albertini bringt es auf den Punkt: „Cybersicherheit ist kein notwendiges Übel, sondern ein Wettbewerbsvorteil. Wer frühzeitig in IT-Sicherheit investiert, gewinnt nicht nur regulatorische Sicherheit, sondern stärkt auch das Vertrauen von Kunden und Partnern.“