Leitfaden hilft bei der Navigation durch NIS2- und DORA

Leitfaden hilft bei der Navigation durch NIS2- und DORA-Vorschriften.

Dies ist ein entscheidendes Jahr für die neuen rechtlichen Rahmenbedingungen für Cybersicherheit in Europa. Doch selbst nach der ersten Jahreshälfte 2025 haben viele Unternehmen ihre Verpflichtungen im Rahmen der NIS2-Richtlinie und der DORA-Verordnung noch nicht vollständig verstanden – oder haben Schwierigkeiten, sie in die Praxis umzusetzen. Hier will der neue Leitfaden helfen.

Viele Unternehmen – vor allem KMU und Informations- und Kommunikationstechnologie (IKT) Anbieter – wissen nur bedingt, welche Anforderungen diese Verordnungen stellen, wie sie erfolgreich umgesetzt werden können und welche Vorteile sie bieten. Dabei sind beide von zentraler Bedeutung für die digitale Widerstandsfähigkeit der Europäischen Union. Dennoch macht sich nach wie vor große Verwirrung breit.

Hinzu kommt, dass nur eine Handvoll EU-Mitgliedstaaten die Frist zur Umsetzung der NIS2 in nationales Recht bis Oktober 2024 eingehalten hat. In Irland, einer der digital am weitesten entwickelten Volkswirtschaften Europas, gaben 38 Prozent der Unternehmen zu, dass sie nicht vorbereitet sind. Dies verdeutlicht das Ausmaß der Herausforderung selbst in reifen Märkten. Diese unzureichende Vorbereitung dürfte sich in weiten Teilen der EU widerspiegeln, insbesondere bei KMU und Nicht-Finanzunternehmen. Sie unterliegen nun neuen, strengen Rechenschafts-, Prüfungs- und Berichtspflichten.

Da sich viele Unternehmen noch in der Anfangsphase der Umsetzung befinden, hat ISACA kürzlich den Leitfaden „Resilience and Security in Critical Sectors: Navigating NIS2 and DORA Requirements” veröffentlicht. Es dient als strategischer Leitfaden für Unternehmen, Finanzinstitute, öffentliche Verwaltungen und Technologieanbieter. Es enthält eine klare Gliederung der beiden Vorschriften und zeigt auf, wie Unternehmen deren Einhaltung umsetzen und gleichzeitig ihre Cyber-Resilienz stärken können.

„Die Herausforderung besteht nicht nur darin, die Vorschriften zu verstehen, sondern auch sicherzustellen, dass die Unternehmen wissen, wie sie diese effektiv anwenden können“, sagt Chris Dimitriadis, Chief Global Strategy Officer bei ISACA. „DORA und NIS2 markieren einen grundlegenden Wandel in der Herangehensweise von Unternehmen an Resilienz und Cybersicherheitsmanagement. Die Konsequenzen für die Nichteinhaltung der Vorschriften sind gravierend – und noch wichtiger sind die Risiken einer Betriebsunterbrechung. ISACA engagiert sich, um Einzelpersonen und Organisationen bei der Vorbereitung auf diese neue Ära zu unterstützen.“

Kernpunkte, die es zu beachten gilt

Der ISACA- Leitfaden bietet Unternehmen, die auf die Einhaltung von Vorschriften hinarbeiten, essenzielle Anleitungen.

• Kennen Sie Ihren Geltungsbereich: Bestimmen Sie, ob Ihr Unternehmen unter NIS2, DORA oder beide Richtlinien fällt. Auch Nicht-EU-Unternehmen können indirekt betroffen sein.
• Aufbau eines belastbaren IKT-Rahmens: Erstellen Sie umfassende IKT-Risikomanagementstrategien und stimmen Sie diese mit den Unternehmenszielen ab. Überprüfen und testen Sie regelmäßig Kontinuitäts- und Wiederherstellungspläne.
• Nehmen Sie das Risiko Dritter ernst: Stellen Sie sicher, dass die Verträge mit IKT-Anbietern spezielle Klauseln zu Kontinuität, Sicherheit und Audit-Rechten enthalten. Viele Technologieanbieter – darunter Softwareentwickler, Cloud-Anbieter und Anbieter von Managed Services – sind sich nicht bewusst, dass DORA sie aufgrund ihrer Verträge mit Finanzinstituten direkt betrifft.
• Bereiten Sie sich auf die Meldepflichten vor: DORA und NIS2 haben strenge und unterschiedliche Fristen für die Meldung von Vorfällen. Die Reaktionsteams müssen wissen, was, wann und wie zu melden ist. NIS2: Vorabmeldung innerhalb von 24 Stunden und Abschlussbericht innerhalb eines Monats erforderlich. DORA: Größere IKT-Vorfälle müssen innerhalb von vier Stunden nach ihrer Einstufung gemeldet werden.
• Schulung von Führungskräften und Mitarbeitenden: Auf allen Ebenen sollten obligatorische Schulungen zum Thema Cybersicherheit durchgeführt werden. Besonders erwähnenswert ist, dass der von der Europäischen Zentralbank (EZB) entwickelte TIBER-EU-Rahmen vollständig an DORA angepasst wurde. Er verlangt erstklassige Fähigkeiten und Zertifizierungen für Red-Team-Tester und Threat-Intelligence-Anbieter, die über qualifiziertes und zertifiziertes Personal verfügen müssen, um ihre Aufgaben ordnungsgemäß zu erfüllen.
• Proaktive Audits: Führen Sie regelmäßig interne und externe Audits durch. Gemäß DORA müssen die IKT-Auditfunktionen unabhängig und qualifiziert sein.
• Testen und verbessern: DORA verlangt von den Finanzunternehmen, bedrohungsorientierte Penetrationstests durchzuführen und ihre betriebliche Widerstandsfähigkeit zu testen.
• Dokumentieren Sie alles: Führen Sie eine aktuelle Dokumentation über Richtlinien, Risikobewertungen, Kontrollen und Reaktionen. Dies ist entscheidend für die Transparenz und die aufsichtsrechtliche Überprüfung.

Im Falle der Nichteinhaltung von NIS2 drohen laut EU Geldbußen von bis zu sieben Millionen Euro und für größere Unternehmen von bis zu zehn Millionen Euro. DORA überlässt die Anwendung von Sanktionen hingegen den nationalen Behörden.

Leitfaden für das europäische digitale Ökosystem

Der Leitfaden hilft nicht nur Compliance-Teams, die Erwartungen der Regulierungsbehörden zu verstehen, sondern unterstützt auch CISOs, IT-Leiter und Risikofachleute dabei, langfristige Widerstandsfähigkeit und digitales Vertrauen aufzubauen. Die vergleichende Analyse von DORA und NIS2 in Kombination mit praktischen Empfehlungen macht das Whitepaper zu einem wichtigen Referenzpunkt für die Navigation durch die sich entwickelnde Cyber-Regulierungslandschaft in Europa. Es dient sowohl Unternehmen als auch deren Technologiepartnern und Lieferanten als Leitfaden.