Mit den nationalen Umsetzungsgesetzen in Deutschland und Österreich nimmt NIS-2 für Tausende Unternehmen konkrete Formen an. Viele Organisationen beschäftigen sich aktuell mit der Frage, welche neuen Anforderungen an Cybersecurity, Risikomanagement und Governance auf sie zukommen und wie sie diese umsetzen.
Als Orientierungshilfe lohnt sich ein Blick in die Finanzbranche: Mit dem Digital Operational Resilience Act (DORA) gelten dort bereits seit Anfang 2025 umfangreiche Anforderungen an die digitale operationale Resilienz. Sowohl DORA als auch NIS-2 verfolgen das Ziel, die Widerstandsfähigkeit kritischer und wichtiger Organisationen gegenüber Cyberbedrohungen, IT-Ausfällen und Risiken entlang digitaler Lieferketten zu stärken.
Banken, Versicherungen und andere Finanzunternehmen haben in den vergangenen Jahren wertvolle praktische Erfahrung in der Umsetzung gesammelt – von der Erfassung kritischer IT-Dienstleister über die Dokumentation von Prozessen bis hin zur Vorbereitung auf Prüfungen durch Aufsichtsbehörden. Die Erfahrungen zeigen: Die größten Herausforderungen liegen häufig nicht bei technischen Sicherheitsmaßnahmen, sondern bei Transparenz, Nachweisfähigkeit und organisatorischer Umsetzung. Für NIS-2-betroffene Unternehmen liegen darin wertvolle Hinweise und Handlungsfelder.
1. Lieferkette rückt in den Fokus
Lange Zeit konzentrierten sich Cybersecurity-Maßnahmen vor allem auf die Absicherung der eigenen Systeme und Prozesse. Die Erfahrungen aus der Finanzbranche zeigen jedoch, dass Risiken zunehmend außerhalb der eigenen Unternehmensgrenzen entstehen: Laut der österreichischen Finanzmarktaufsicht (FMA)1 hatten mehr als 50 Prozent der seit Inkrafttreten von DORA gemeldeten Sicherheitsvorfälle ihren Ursprung bei einem IT-Dienstleister.
Diese Entwicklung erklärt auch, weshalb neue EU-Regulative wie DORA oder NIS-2 dem Management von Lieferanten und Lieferkettenrisiken eine deutlich höhere Bedeutung beimessen, als frühere Regulatorik. Für NIS-2-Unternehmen ergibt sich daraus eine klare Lehre: Die eigene Sicherheitsstrategie darf nicht an der Unternehmensgrenze enden. Resilienz erfordert einen ganzheitlichen Blick auf die gesamte digitale Wertschöpfungskette.
2. Transparenz über kritische Abhängigkeiten
Im Zuge der DORA-Umsetzung mussten sich viele Finanzunternehmen intensiv mit ihrer tatsächlichen Abhängigkeit von einzelnen IT-Dienstleistern auseinandersetzen. Dabei wurde deutlich, dass zahlreiche Geschäftsprozesse von einigen wenigen Anbietern abhängen, für die es in vielen Fällen keine Ausstiegsstrategien oder -pläne gab2. Mit DORA entstand vielerorts Transparenz darüber, welche Auswirkungen ein Ausfall oder Wechsel eines kritischen Dienstleisters tatsächlich hätte.
Auch wenn NIS-2 keine expliziten Exit-Pläne wie DORA fordert, lässt sich daraus eine wichtige Erkenntnis ableiten: Organisationen sollten kritische Abhängigkeiten frühzeitig identifizieren und sich mit möglichen Alternativen auseinandersetzen. Wer seine Lieferkette versteht, kann Risiken besser bewerten und im Krisenfall schneller reagieren.
3. Das unterschätzte IT-Dienstleistermanagement
Laut Angaben der Finanzunternehmen stellte sich das Risikomanagement ihrer IT-Dienstleister als größte Herausforderung in der Umsetzung heraus.3 DORA fordert u. a. umfassende Dokumentations- und Berichtspflichten, Risikobewertungen, Due Diligence, das Einholen von Informationen von Lieferanten (darunter Sicherheitsnachweise, Subdienstleister etc.) und das Sicherstellen von deren Aktualität, sowie die Anpassung bestehender vertraglicher Vereinbarungen.
Gerade bei größeren Cloud- und Softwareanbietern erwiesen sich diese Arbeiten als komplexer und langwieriger als ursprünglich erwartet. Vor-Ort-Prüfungen der Behörden zeigten lückenhafte Inventare, unvollständige Funktionen und Prozesse, unklare Verantwortlichkeiten sowie mangelnde Datenqualität. Zudem waren IT-Dienstleister häufig nicht ausreichend in die Prozesse eingebunden und viele der notwendigen vertraglichen Anpassungen fehlten.2
Die Erfahrungen aus dem Finanzsektor zeigen deutlich, dass das Management von IT-Dienstleistern weit über die reine Lieferantenverwaltung hinausgeht. Es handelt sich vielmehr um eine kontinuierliche Governance-Aufgabe, die belastbare Prozesse und aktuelle Daten voraussetzt. Auch NIS-2-betroffene Unternehmen sollten diesen Aufwand nicht unterschätzen. Die frühzeitige, zentrale Erfassung relevanter Dienstleisterinformationen sowie der Aufbau strukturierter Prozesse für das Drittparteienmanagement können späteren Hürden in der Umsetzung erheblich vorbeugen. KI-gestütztes Vertragsmanagement unterstützt dabei, Verträge effizient auf regulatorische Risiken zu prüfen und erforderliche Anpassungen schnell durchzuführen.
4. Keine Compliance ohne Nachweisfähigkeit
Die reine Definition von Prozessen reicht allerdings noch nicht aus, um verlässlich compliant zu sein. Die meisten Finanzinstitute verfügten grundsätzlich über fixierte Abläufe für das Management ihrer Lieferanten – die Herausforderung lag jedoch in der Fähigkeit, die tatsächliche Durchführung jedes einzelnen Prozessschrittes während einer Vor-Ort-Prüfung auch belegen zu können.
Betroffen waren beispielsweise Risikoanalysen, Kritikalitätsbewertungen, Freigabeprozesse, regelmäßige Kontroll- und Review-Tätigkeiten oder die Neubewertung bestehender Dienstleisterbeziehungen. Häufig verteilten sich die erforderlichen Informationen auf E-Mail-Verkehr, Tabellen und verschiedene Fachanwendungen, was die lückenlose Nachvollziehbarkeit von Entscheidungen und Prozessschritten erschwerte.
Zur Vorbereitung auf NIS-2 ist es für Einrichtungen daher essenziell, Governance-, Risiko- und Kontrollprozesse von Beginn an transparent und nachvollziehbar zu gestalten. Als besonders hilfreich erweisen sich dabei digitale und workflow-gestützte Prozesse, die sämtliche Schritte automatisiert steuern, Verantwortlichkeiten eindeutig zuordnen und Tätigkeiten revisionssicher dokumentieren. Vollständige Audit-Trails und elektronische Workflow-Unterschriften ermöglichen es, jederzeit nachzuweisen, wer zu welchem Zeitpunkt Bewertungen durchgeführt, Entscheidungen getroffen oder Freigaben erteilt hat.
5. NIS-2 ist kein IT-Projekt
Sowohl NIS-2 als auch DORA adressieren ausdrücklich die Verantwortung der Unternehmensleitung und verlangen zudem einen organisationsweiten Umgang mit Cyberrisiken. Mit DORA hat sich bereits erwiesen, dass die Etablierung digitaler Resilienz eine echte Querschnittsdisziplin aus zahlreichen Unternehmensbereichen verlangt: Outsourcing, IT, Lieferantenmanagement, Risikomanagement, Compliance, Fachbereiche und Unternehmensleitung müssen eng zusammenarbeiten, um die Anforderungen wirksam zu erfüllen.
Die Erfahrungen aus dem ersten Jahr DORA zeigen jedoch, dass die Führungsebene in vielen Finanzunternehmen in der Praxis nicht ausreichend in die erforderlichen Prozesse eingebunden war. Folglich wurden notwendige Maßnahmen häufig nicht genehmigt und überwacht.2
Für eine erfolgreiche Umsetzung sollten Einrichtungen NIS-2 daher als unternehmensweites Governance-Projekt verstehen. Sind alle relevanten Stakeholder bereits zu Beginn involviert, Verantwortlichkeiten klar verteilt und die Geschäftsführung aktiv eingebunden, lassen sich Entscheidungen schneller treffen, Maßnahmen konsequent umsetzen und regulatorische Anforderungen nachhaltig im Unternehmen verankern.
Fazit
Cyberresilienz entsteht nicht allein durch technische Sicherheitsmaßnahmen, sondern durch klare Verantwortlichkeiten und definierte Prozesse für Maßnahmenumsetzung und –überwachung. Für NIS-2-betroffene Einrichtungen bieten die Erfahrungen der Finanzbranche mit DORA wertvolle Handlungsstränge: Wer frühzeitig Transparenz schafft, IT-Dienstleister und bestehende Verträge risikobasiert überprüft, Lieferkettenrisiken systematisch steuert, belastbare Governance-Strukturen etabliert und Prozesse digital sowie revisionssicher dokumentiert, wird nicht nur regulatorische Anforderungen effizienter erfüllen, sondern zugleich die eigene Widerstandsfähigkeit gegenüber Cyberrisiken nachhaltig stärken.
Quellen:
1) KPMG Cybersecurity in Österreich 2026
2) IT-Aufsicht im Finanzsektor: Das erste Jahr DORA - Bafin
3) DORA – FMA-Aktivitäten - FMA Österreich
