Mit der Richtlinie NIS 2 verschärft die Europäische Union die Anforderungen an die Cybersicherheit, das Risikomanagement und die Lieferkettensicherheit. Für Energieunternehmen rücken damit neue Fragen in den Mittelpunkt: Welche Dienstleister und Systeme sind für die Versorgung unverzichtbar? Wo bestehen kritische Abhängigkeiten? Und lassen sich Risiken, Maßnahmen und Verantwortlichkeiten im Prüfungsfall lückenlos nachweisen?
Banken und Versicherungen sind mit diesen Aufgaben bereits durch den „Digital Operational Resilience Act“, kurz DORA, vertraut. Die EU-Verordnung verpflicEnergieinfrastrukturEnergieunternehmenhtet Finanzunternehmen seit Anfang 2025 zu umfangreichen Maßnahmen zur Stärkung ihrer digitalen Widerstandsfähigkeit. Während DORA ausschließlich für den Finanzsektor gilt, betrifft NIS2 deutlich mehr Branchen. „Viele Unternehmen betrachten Cyberresilienz zunächst vor allem als technische Aufgabe“, sagt Robin Schmeisser, Geschäftsführer von Fabasoft Contracts. „Die Erfahrungen mit DORA zeigen jedoch, dass die größeren Hürden oft bei Transparenz, Nachweisfähigkeit und organisatorischer Umsetzung liegen.“ Konkret lassen sich fünf Lehren für von NIS-2 betroffene Unternehmen ableiten.
1. Sicherheit endet nicht an der Unternehmensgrenze
Lange Zeit konzentrierte sich die Cybersicherheit vor allem auf die Absicherung der eigenen Systeme und Prozesse. Die Erfahrungen aus der Finanzbranche zeigen jedoch, dass Risiken zunehmend außerhalb der Unternehmensgrenzen entstehen. Laut der österreichischen Finanzmarktaufsicht (FMA) hatten mehr als 50 Prozent der seit Inkrafttreten von DORA gemeldeten Sicherheitsvorfälle ihren Ursprung bei einem IKT-Drittdienstleister.
Deshalb messen DORA und NIS2 dem Management von Drittparteien- und Lieferkettenrisiken deutlich mehr Bedeutung bei als frühere Regelwerke. Für Energieunternehmen ergibt sich daraus eine klare Lehre: Die eigene Sicherheitsstrategie darf nicht an der Unternehmensgrenze enden. Resilienz erfordert einen ganzheitlichen Blick auf die digitale Wertschöpfungskette – von der Leit- und Netztechnik über Cloud- und IT-Dienstleister bis hin zu spezialisierten Systemanbietern. „Die Sicherheit eines Unternehmens hängt heute immer stärker von der Sicherheit seiner Dienstleister ab“, betont Schmeisser. „Wer nur die eigenen Systeme betrachtet, übersieht einen wesentlichen Teil des tatsächlichen Risikos.“
2. Kritische Abhängigkeiten erkennen
Im Zuge der DORA-Umsetzung mussten sich Finanzunternehmen systematisch mit ihrer tatsächlichen Abhängigkeit von einzelnen IT-Dienstleistern auseinandersetzen. Dabei wurde deutlich, dass zahlreiche Geschäftsprozesse von wenigen Anbietern abhängen, für die es häufig keine belastbaren Ausstiegsstrategien oder -pläne gab.
Auch wenn NIS2 keine expliziten Exit-Pläne wie DORA fordert, lässt sich daraus eine wichtige Erkenntnis ableiten. Organisationen sollten kritische Abhängigkeiten frühzeitig identifizieren und sich mit möglichen Alternativen auseinandersetzen. Wer seine digitalen Abhängigkeiten kennt, kann Risiken besser bewerten und die Versorgung auch im Krisenfall aufrechterhalten.
„Entscheidend ist nicht allein, ob ein Dienstleister heute zuverlässig arbeitet“, erklärt Schmeisser. „Unternehmen müssen auch wissen, welche Folgen ein Ausfall hätte, wie schnell sich eine Alternative aktivieren ließe und welche vertraglichen oder technischen Hürden einem Wechsel entgegenstehen.“
3. Drittdienstleister aktiv steuern
Laut der österreichischen Finanzmarktaufsicht (FMA) ist das IKT-Drittparteienrisikomanagement für viele Finanzunternehmen die größte Herausforderung bei der DORA-Umsetzung. Gefordert sind unter anderem Dokumentations- und Berichtspflichten, Risikobewertungen, Due Diligence, die laufende Aktualisierung von Lieferanteninformationen sowie die Anpassung bestehender Verträge. Bei Vor-Ort-Prüfungen der Behörden wurden lückenhafte Inventare, unvollständige Funktionen und Prozesse, unklare Verantwortlichkeiten sowie mangelnde Datenqualität festgestellt. Zudem waren IKT-Drittdienstleister häufig nicht ausreichend in die Prozesse eingebunden und notwendige vertragliche Anpassungen fehlten.
„Das Management von Drittdienstleistern geht weit über klassische Lieferantenverwaltung hinaus“, sagt Schmeisser. „Es ist eine kontinuierliche Governance-Aufgabe, die belastbare Prozesse und aktuelle Daten voraussetzt.“ NIS2-pflichtige Unternehmen sollten diesen Aufwand nicht unterschätzen. Energieunternehmen arbeiten mit einer Vielzahl spezialisierter IT-, OT- und Infrastrukturdienstleister zusammen. Die frühzeitige, zentrale Erfassung aller relevanten Dienstleisterinformationen sowie der Aufbau strukturierter Prozesse für das Drittparteienmanagement können späteren Hürden erheblich vorbeugen. Ein KI-gestütztes Vertragsmanagement unterstützt dabei, Verträge effizient auf regulatorische Risiken zu prüfen und erforderliche Anpassungen schneller umzusetzen.
4. Compliance muss nachweisbar sein
Festgelegte Prozesse allein reichen nicht aus, um regulatorische Anforderungen zu erfüllen. „Viele Finanzinstitute verfügten grundsätzlich über Abläufe für das Auslagerungsmanagement“, sagt Schmeisser. „Die Herausforderung bestand jedoch darin, die tatsächliche Durchführung jedes einzelnen Prozessschritts in einer Prüfungssituation belegen zu können.“ Betroffen waren beispielsweise Risikoanalysen, Kritikalitätsbewertungen, Freigaben, regelmäßige Kontrollen sowie die Neubewertung bestehender Dienstleister. Die erforderlichen Informationen waren häufig in E-Mails, Tabellen und verschiedenen Fachanwendungen verteilt. Entsprechend schwierig war es, Entscheidungen und Prozessschritte lückenlos nachzuvollziehen.
Für die Vorbereitung auf NIS2 ist es daher essenziell, Governance-, Risiko- und Kontrollprozesse von Beginn an transparent und nachvollziehbar zu gestalten. Digitale Workflows können Prozessschritte automatisiert steuern, Verantwortlichkeiten eindeutig zuordnen und Tätigkeiten revisionssicher dokumentieren. Audit-Trails und elektronische Workflow-Unterschriften ermöglichen es, jederzeit nachzuweisen, wer wann Bewertungen durchgeführt, Entscheidungen getroffen oder Freigaben erteilt hat.
5. NIS-2 ist kein IT-Projekt
Sowohl NIS-2 als auch DORA adressieren die Verantwortung der Unternehmensleitung und fordern einen organisationsweiten Umgang mit Cyberrisiken. Die Erfahrungen mit DORA zeigen, dass digitale Resilienz eine Querschnittsdisziplin ist. IT, Informationssicherheit, Lieferantenmanagement, Risikomanagement, Compliance, Einkauf, Fachbereiche und Unternehmensleitung müssen eng zusammenarbeiten.
In der Praxis zeigte sich jedoch im ersten Jahr der DORA-Anwendung, dass die Führungsebene in vielen Finanzunternehmen nicht ausreichend in die erforderlichen Prozesse eingebunden war. Dadurch wurden notwendige Maßnahmen häufig nicht genehmigt und überwacht.
„NIS2-betroffene Organisationen sollten die Umsetzung als unternehmensweites Governance-Projekt verstehen”, rät Schmeisser. „Werden alle relevanten Stakeholder frühzeitig eingebunden, Verantwortlichkeiten klar verteilt und die Geschäftsführung aktiv beteiligt, lassen sich Entscheidungen schneller treffen, Maßnahmen konsequenter umsetzen und regulatorische Anforderungen dauerhaft im Unternehmen verankern.“
Fazit
Cyberresilienz entsteht nicht allein durch technische Sicherheitsmaßnahmen. Entscheidend sind Transparenz über IKT-Dienstleister, klare Verantwortlichkeiten und lückenlos nachweisbare Prozesse. Betroffene Unternehmen sollten deshalb ihre digitalen Abhängigkeiten frühzeitig erfassen, Dienstleister systematisch steuern und Governance-Prozesse revisionssicher dokumentieren. Wer diese Grundlagen schafft, erfüllt nicht nur regulatorische Anforderungen effizienter, sondern stärkt zugleich die Resilienz kritischer Energieinfrastrukturen.
