Cybersicherheit: NIS2 und DORA machen sie zur Chefsache
Veröffentlicht am: 24.07.2026 um 03:51 Uhr | Redaktion boerse-global.de
Cybersicherheit ist kein reines IT-Thema mehr. Neue EU-Richtlinien wie NIS2, DORA und die CER-Richtlinie machen sie zur Chefsache. Betroffen sind Zehntausende Unternehmen – mit weitreichenden Folgen für die Geschäftsführung.
Drei Richtlinien, ein Ziel
Das europäische Regelwerk verzahnt physische und digitale Sicherheit. Die NIS2-Richtlinie ist seit Anfang 2023 in Kraft, in Deutschland wurde sie Ende 2025 durch das NIS-2-Umsetzungsgesetz national verankert. Rund 30.000 Unternehmen sind betroffen, aufgeteilt in wichtige und besonders wichtige Einrichtungen.
Die Richtlinie fordert ein ganzheitliches Cyberrisikomanagement. Bei Vorfällen müssen Unternehmen innerhalb von 24 Stunden eine erste Frühwarnung abgeben.
Seit dem 17. Januar 2025 gilt zudem der Digital Operational Resilience Act (DORA) für die Finanzbranche. Banken und Versicherungen müssen ein umfassendes IKT-Risikomanagement und regelmäßige Belastungstests etablieren.
Die CER-Richtlinie (Critical Entities Resilience Directive) erweitert den Fokus auf die physische Resilienz in Sektoren wie Energie, Gesundheit und Raumfahrt. Sie verlangt detaillierte Risikoanalysen und Business-Continuity-Pläne. Die nationale Umsetzung war bis zum 17. Oktober 2024 vorgesehen.
Die Achillesferse: Externe Dienstleister
Die Praxis zeigt eine zentrale Schwachstelle: die Abhängigkeit von Drittanbietern. Daten der österreichischen Finanzmarktaufsicht (FMA) belegen, dass mehr als 50 Prozent der gemeldeten Sicherheitsvorfälle ihren Ursprung bei IKT-Drittdienstleistern hatten.
Wer die persönliche Haftung bei Cybervorfällen vermeiden will, findet in diesem kostenlosen Report die wichtigsten Compliance-Schritte – von der Drittdienstleister-Prüfung bis zum Audit-Trail. Jetzt kostenlose Checkliste anfordern
Sicherheit darf nicht an den eigenen Unternehmensgrenzen enden. Die größten Hürden liegen oft in der Transparenz und Nachweisfähigkeit.
Experten empfehlen:
- Aktive Steuerung von Drittdienstleistern durch Due-Diligence-Prüfungen und angepasste Verträge
- Erkennen kritischer Abhängigkeiten und Erstellen von Exit-Plänen
- Compliance als nachweisbaren Prozess mit lückenlosen Audit-Trails
Chefsache mit Haftungsrisiko
Die neue Generation der Compliance-Regeln zielt auf die Geschäftsleitung. Unter NIS2 und DORA ist Cybersicherheit keine IT-Aufgabe mehr, sondern eine Governance-Pflicht – mit persönlicher Haftung der Führungsorgane. Schulungsprogramme adressieren gezielt die Pflichten von Leitungsorganen beim Risikomanagement.
Auch der Staat rüstet auf. Das Bundeskabinett hat mit dem Programm CyberGovSecure eine Strategie zur Härtung der Bundesverwaltung beschlossen. Unter der Koordination der CISO des Bundes, Claudia Plattner, werden Schwachstellenmanagement und verbesserte Angriffserkennung vorangetrieben. Das Programm soll mit dem Cyberdome-Projekt zu einer gesamtstaatlichen Schutz-Infrastruktur verzahnt werden.
KI und Nachhaltigkeit im Visier
Mehr als 50 % der Sicherheitsvorfälle haben ihren Ursprung bei IKT-Drittdienstleistern – das belegt die FMA. Ohne nachweisbares Risikomanagement haften Sie persönlich. Dieser Leitfaden zeigt, wie Sie kritische Abhängigkeiten erkennen und Exit-Pläne erstellen. Drittdienstleister-Risiko jetzt minimieren
Das Risikomanagement muss neue Technologien integrieren. Ein im April 2026 veröffentlichter Leitfaden des Deutschen Instituts für Interne Revision (DIIR) zeigt, wie Datenschutz, Informationssicherheit und Künstliche Intelligenz gemeinsam geprüft werden können. Besonders die Anforderungen der KI-Verordnung an Hochrisiko-Systeme spielen eine Rolle.
Nachhaltigkeitsaspekte gewinnen ebenfalls an Bedeutung. Die Konsultationsfassung der 9. MaRisk-Novelle für den Bankensektor vom 1. April 2026 sieht eine stärkere Verankerung von ESG-Kriterien vor. Die operative Resilienz wird zunehmend mit ökologischen und sozialen Risikofaktoren verknüpft. Freiwilliges ESG-Reporting gilt dabei nicht nur als Transparenzwerkzeug, sondern als Instrument des präventiven Risikomanagements – und zum Schutz vor Reputationsschäden durch Greenwashing.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
