Banken und Versicherungen kennen die Aufgaben, vor denen Industrie-Unternehmen jetzt stehen, bereits aus dem „Digital Operational Resilience Act“, kurz DORA. Die EU-Verordnung verpflichtet Finanzunternehmen seit Anfang 2025 zu umfangreichen Maßnahmen zur Stärkung ihrer digitalen Widerstandsfähigkeit. Während DORA ausschließlich für den Finanzsektor gilt, nimmt NIS2 deutlich mehr Branchen in die Pflicht. „Viele Unternehmen betrachten Cyberresilienz zunächst vor allem als technische Aufgabe“, sagt Robin Schmeisser, Geschäftsführer bei Fabasoft Contracts. „Die Erfahrungen mit DORA zeigen jedoch, dass die größeren Hürden oft bei Transparenz, Nachweisfähigkeit und organisatorischer Umsetzung liegen.“
Fünf Lehren für betroffene Unternehmen
Konkret lassen sich fünf Lehren für NIS2-betroffene Unternehmen ableiten:
1. Sicherheit endet nicht an der Unternehmensgrenze
Lange konzentrierte sich Cybersicherheit vor allem auf die Absicherung der eigenen Systeme und Prozesse. Die Erfahrungen aus der Finanzbranche zeigen jedoch, dass Risiken zunehmend außerhalb der eigenen Unternehmensgrenzen entstehen: Laut der österreichischen Finanzmarktaufsicht (FMA) hatten mehr als 50 Prozent der seit Inkrafttreten von DORA gemeldeten Sicherheitsvorfälle ihren Ursprung bei einem IKT-Drittdienstleister.
Deshalb messen DORA und NIS2 dem Management von Drittparteien und Lieferkettenrisiken deutlich mehr Bedeutung bei als frühere Regelwerke. Für NIS2-Unternehmen ergibt sich daraus eine klare Lehre: Die eigene Sicherheitsstrategie darf nicht an der Unternehmensgrenze enden. Resilienz erfordert einen ganzheitlichen Blick auf die digitale Wertschöpfungskette – von Cloud- und IT-Dienstleistern bis hin zu Produktions- und Automatisierungssystemen. „Die Sicherheit eines Unternehmens hängt heute immer stärker von der Sicherheit seiner Dienstleister ab“, betont Schmeisser. „Wer nur die eigenen Systeme betrachtet, übersieht einen wesentlichen Teil des tatsächlichen Risikos.“
2. Kritische Abhängigkeiten erkennen
Im Zuge der DORA-Umsetzung mussten sich Finanzunternehmen systematisch mit ihrer tatsächlichen Abhängigkeit von einzelnen IT-Dienstleistern auseinandersetzen. Dabei wurde deutlich, dass zahlreiche Geschäftsprozesse von wenigen Anbietern abhängen, für die es häufig keine belastbaren Ausstiegsstrategien oder -pläne gab, siehe: Das erste Jahr DORA.
Auch wenn NIS2 keine expliziten Exit-Pläne wie DORA fordert, lässt sich daraus eine wichtige Erkenntnis ableiten: Organisationen sollten kritische Abhängigkeiten frühzeitig identifizieren und sich mit möglichen Alternativen auseinandersetzen. Wer seine digitalen Abhängigkeiten kennt, kann Produktionsausfälle vermeiden und im Krisenfall schneller reagieren.
„Entscheidend ist nicht allein, ob ein Dienstleister heute zuverlässig arbeitet“, erklärt Schmeisser. „Unternehmen müssen auch wissen, welche Folgen ein Ausfall hätte, wie schnell sich eine Alternative aktivieren ließe und welche vertraglichen oder technischen Hürden einem Wechsel entgegenstehen.“
3. Drittdienstleister aktiv steuern
Nach Auswertung der österreichischen Finanzmarktaufsicht (FMA) stellte das IKT-Drittparteienrisikomanagement für viele Finanzunternehmen die größte Herausforderung bei der DORA-Umsetzung dar. Gefordert sind unter anderem Dokumentations- und Berichtspflichten, Risikobewertungen, Due Diligence, die laufende Aktualisierung von Lieferanteninformationen sowie die Anpassung bestehender Verträge. Vor-Ort-Prüfungen der Behörden zeigten lückenhafte Inventare, unvollständige Funktionen und Prozesse, unklare Verantwortlichkeiten sowie mangelnde Datenqualität. Zudem waren IKT-Drittdienstleister häufig nicht ausreichend in die Prozesse eingebunden und notwendige vertragliche Anpassungen fehlten.
„Das Management von Drittdienstleistern geht weit über klassische Lieferantenverwaltung hinaus“, sagt Schmeisser. „Es ist eine kontinuierliche Governance-Aufgabe, die belastbare Prozesse und aktuelle Daten voraussetzt.“ NIS2-pflichtige Unternehmen sollten diesen Aufwand nicht unterschätzen. Industrie-Unternehmen arbeiten heute mit einer Vielzahl externer IT-, Cloud- und Automatisierungspartner. Die frühzeitige zentrale Erfassung aller relevanten Dienstleisterinformationen sowie der Aufbau strukturierter Prozesse für das Drittparteienmanagement können späteren Hürden erheblich vorbeugen. KI-gestütztes Vertragsmanagement unterstützt dabei, Verträge effizient auf regulatorische Risiken zu prüfen und erforderliche Anpassungen schneller umzusetzen.
4. Compliance muss nachweisbar sein
Festgelegte Prozesse allein reichen nicht aus, um regulatorische Anforderungen zu erfüllen. „Viele Finanzinstitute verfügten grundsätzlich über Abläufe für das Auslagerungsmanagement“, sagt Schmeisser. „Die Herausforderung bestand jedoch darin, die tatsächliche Durchführung jedes einzelnen Prozessschritts in einer Prüfungssituation belegen zu können.“ Betroffen waren etwa Risikoanalysen, Kritikalitätsbewertungen, Freigaben, regelmäßige Kontrollen sowie die Neubewertung bestehender Dienstleister. Die erforderlichen Informationen waren häufig über E-Mails, Tabellen und verschiedene Fachanwendungen verteilt. Entsprechend schwierig war es, Entscheidungen und Prozessschritte lückenlos nachzuvollziehen.
Für die Vorbereitung auf NIS2 ist es daher essenziell, Governance-, Risiko- und Kontrollprozesse von Beginn an transparent und nachvollziehbar zu gestalten. Digitale Workflows können Prozessschritte automatisiert steuern, Verantwortlichkeiten eindeutig zuordnen und Tätigkeiten revisionssicher dokumentieren. Audit-Trails und elektronische Workflow-Unterschriften ermöglichen es, jederzeit nachzuweisen, wer wann Bewertungen durchgeführt, Entscheidungen getroffen oder Freigaben erteilt hat.
5. NIS2 ist kein IT-Projekt
Sowohl NIS2 als auch DORA adressieren die Verantwortung der Unternehmensleitung und verlangen einen organisationsweiten Umgang mit Cyberrisiken. Die DORA-Erfahrungen zeigen, dass digitale Resilienz eine Querschnittsdisziplin ist: IT, Lieferantenmanagement, Risikomanagement, Compliance, Einkauf, Fachbereiche und Unternehmensleitung müssen eng zusammenarbeiten.
Im ersten Jahr der DORA-Anwendung zeigte sich jedoch, dass die Führungsebene in vielen Finanzunternehmen nicht ausreichend in die erforderlichen Prozesse eingebunden war. Dadurch wurden notwendige Maßnahmen häufig nicht genehmigt und überwacht.2 „NIS2-betroffene Organisationen sollten die Umsetzung als unternehmensweites Governance-Projekt verstehen“, rät Schmeisser. „Werden alle relevanten Stakeholder frühzeitig eingebunden, Verantwortlichkeiten klar verteilt und die Geschäftsführung aktiv beteiligt, lassen sich Entscheidungen schneller treffen, Maßnahmen konsequenter umsetzen und regulatorische Anforderungen dauerhaft im Unternehmen verankern.“
Fazit
Cyberresilienz entsteht nicht allein durch technische Sicherheitsmaßnahmen. Entscheidend sind Transparenz über IKT-Dienstleister, klare Verantwortlichkeiten und lückenlos nachweisbare Prozesse. NIS2-betroffene Unternehmen sollten deshalb ihre digitalen Abhängigkeiten frühzeitig erfassen, Dienstleister systematisch steuern und Governance-Prozesse revisionssicher dokumentieren. Wer diese Grundlagen schafft, erfüllt nicht nur regulatorische Anforderungen effizienter, sondern stärkt zugleich die Resilienz von Produktion und Wertschöpfungskette.
