NIS-2-Umsetzung: Lehren aus der Finanzbranche

Die nationalen Umsetzungsgesetze zur NIS-2-Richtlinie sind in Kraft. Zahlreiche Organisationen stehen vor der Frage, welche Anforderungen an Cybersecurity, Risikomanagement und Governance auf sie zukommen. Orientierung bietet die Finanzbranche: Dort gilt seit Anfang 2025 der Digital Operational Resilience Act (DORA), der umfassende Vorgaben zur digitalen operationalen Resilienz macht.

Beide Regelwerke verfolgen ein gemeinsames Ziel: die Widerstandsfähigkeit kritischer und wichtiger Einrichtungen gegenüber Cyberbedrohungen, IT-Ausfällen und Risiken in digitalen Lieferketten zu erhöhen. Banken, Versicherungen und andere Finanzinstitute haben bereits praktische Erfahrung gesammelt – von der Erfassung kritischer IT-Dienstleister bis zur Vorbereitung auf behördliche Prüfungen.

Die Praxis zeigt: Die größten Hürden liegen oft nicht bei technischen Sicherheitsvorkehrungen, sondern bei Transparenz, Nachweisfähigkeit und organisatorischer Verankerung.

Lieferkettenrisiken im Mittelpunkt

Cybersecurity-Maßnahmen konzentrierten sich lange auf die Absicherung eigener Systeme. Die Finanzbranche musste jedoch feststellen, dass Risiken zunehmend außerhalb der Unternehmensgrenzen entstehen. Laut der österreichischen Finanzmarktaufsicht (FMA) hatten mehr als 50 Prozent der seit Inkrafttreten von DORA gemeldeten Sicherheitsvorfälle ihren Ursprung bei einem IT-Dienstleister.

Diese Entwicklung erklärt, warum EU-Regelwerke wie DORA oder NIS-2 dem Management von Lieferanten und Lieferkettenrisiken deutlich mehr Gewicht beimessen als frühere Vorschriften. Für betroffene Unternehmen bedeutet das: Die eigene Sicherheitsstrategie darf nicht an der Unternehmensgrenze enden. Wer Resilienz erreichen will, muss die gesamte digitale Wertschöpfungskette ganzheitlich betrachten.

Kritische Abhängigkeiten erkennen

Die DORA-Umsetzung zwang viele Finanzunternehmen, ihre tatsächliche Abhängigkeit von einzelnen IT-Dienstleistern genau zu prüfen. Dabei zeigte sich: Zahlreiche Geschäftsprozesse hängen von wenigen Anbietern ab – häufig ohne Ausstiegsstrategie. Erst DORA schuff vielerorts Klarheit darüber, welche Folgen der Ausfall oder Wechsel eines kritischen Dienstleisters hätte.

Zwar fordert NIS-2 keine expliziten Exit-Pläne wie DORA, doch die Lehre bleibt dieselbe: Organisationen sollten kritische Abhängigkeiten frühzeitig identifizieren und Alternativen prüfen. Wer seine Lieferkette kennt, bewertet Risiken realistischer und reagiert im Krisenfall schneller.

IT-Dienstleistermanagement unterschätzt

Laut Angaben der Finanzunternehmen stellte sich das Risikomanagement ihrer IT-Dienstleister als größte Herausforderung heraus. DORA fordert unter anderem umfassende Dokumentations- und Berichtspflichten, Risikobewertungen, Due Diligence, das Einholen von Informationen von Lieferanten sowie die Anpassung bestehender Verträge.

Gerade bei größeren Cloud- und Softwareanbietern waren diese Arbeiten aufwendiger und dauerten länger als ursprünglich gedacht. Vor-Ort-Prüfungen der Behörden zeigten lückenhafte Inventare, unvollständige Funktionen und Prozesse, unklare Zuständigkeiten sowie mangelhafte Datenqualität. Außerdem waren IT-Dienstleister oft nicht ausreichend eingebunden, und viele nötige Vertragsanpassungen fehlten noch.

Die Erfahrungen aus dem Finanzsektor zeigen deutlich: Das Management von IT-Dienstleistern ist weit mehr als reine Lieferantenverwaltung. Es ist eine dauerhafte Governance-Aufgabe, die stabile Prozesse und aktuelle Daten braucht. Auch Unternehmen, die von NIS-2 betroffen sind, sollten diesen Aufwand nicht unterschätzen.

Nachweisfähigkeit als Compliance-Voraussetzung

Prozesse nur zu definieren reicht nicht aus, um wirklich compliant zu sein. Die meisten Finanzinstitute hatten zwar feste Abläufe für das Lieferantenmanagement – die Schwierigkeit lag aber darin, bei einer Vor-Ort-Prüfung auch zu belegen, dass jeder einzelne Schritt tatsächlich durchgeführt wurde.

Das betraf zum Beispiel Risikoanalysen, Kritikalitätsbewertungen, Freigabeprozesse, regelmäßige Kontrollen und Reviews oder die Neubewertung bestehender Dienstleisterbeziehungen. Oft verteilten sich die nötigen Informationen auf E-Mails, Tabellen und verschiedene Fachanwendungen – dadurch war es schwer, Entscheidungen und Prozessschritte lückenlos nachzuvollziehen.

Zur Vorbereitung auf NIS-2 sollten Einrichtungen ihre Governance-, Risiko- und Kontrollprozesse deshalb von Anfang an transparent und nachvollziehbar gestalten. Besonders hilfreich sind dabei digitale, workflow-gestützte Prozesse, die Schritte automatisch steuern, Verantwortlichkeiten klar zuordnen und Tätigkeiten revisionssicher dokumentieren.

Unternehmensweites Governance-Projekt

Sowohl NIS-2 als auch DORA legen die Verantwortung ausdrücklich bei der Unternehmensleitung und verlangen, dass Cyberrisiken im gesamten Unternehmen angegangen werden. Bei DORA hat sich bereits gezeigt, dass digitale Resilienz nur gelingt, wenn viele Bereiche eng zusammenarbeiten: Outsourcing, IT, Lieferantenmanagement, Risikomanagement, Compliance, Fachbereiche und Unternehmensleitung.

Die Erfahrungen aus dem ersten Jahr DORA zeigen aber, dass die Führungsebene in vielen Finanzunternehmen in der Praxis zu wenig eingebunden war. Dadurch wurden notwendige Maßnahmen oft nicht genehmigt oder überwacht.

Für eine erfolgreiche Umsetzung sollten Einrichtungen NIS-2 deshalb als unternehmensweites Governance-Projekt verstehen. Wenn alle wichtigen Stakeholder von Anfang an dabei sind, Verantwortlichkeiten klar verteilt sind und die Geschäftsführung aktiv mitwirkt, lassen sich Entscheidungen schneller treffen, Maßnahmen konsequent umsetzen und regulatorische Vorgaben dauerhaft im Unternehmen verankern.

Cyberresilienz entsteht nicht nur durch technische Sicherheitsmaßnahmen, sondern durch klare Verantwortlichkeiten und feste Prozesse für Umsetzung und Überwachung. Wer frühzeitig für Transparenz sorgt, IT-Dienstleister und bestehende Verträge risikobasiert prüft, Lieferkettenrisiken systematisch steuert, stabile Governance-Strukturen aufbaut und Prozesse digital sowie revisionssicher dokumentiert, erfüllt regulatorische Anforderungen nicht nur effizienter, sondern stärkt auch die eigene Widerstandsfähigkeit gegenüber Cyberrisiken.

Quelle: https://www.fabasoft.com/de/news/was-nis-2-betroffene-unternehmen-von-dora-lernen-koennen