EU-Regularien NIS2 und DORA: Neuer Leitfaden hilft bei der Navigation

Anbieter zum Thema

ISACA

xSuite Group GmbH

Esker Software Entwicklungs-und Vertrieb

Yorizon GmbH & Co. KG

Anlässlich des Inkrafttretens von DORA und der Anwendung der NIS2-Richtlinie hat ISACA einen neuen Leitfaden veröffentlicht. Dieser hilft Verantwortlichen in Unternehmen bei der Navigation durch die komplexen Vorschriften.

Dies ist ein entscheidendes Jahr für die neuen rechtlichen Rahmenbedingungen für Cybersicherheit in Europa. Doch selbst nach der ersten Jahreshälfte 2025 haben viele Unternehmen ihre Verpflichtungen im Rahmen der NIS2-Richtlinie und der DORA-Verordnung noch nicht vollständig verstanden – oder haben Schwierigkeiten, sie in die Praxis umzusetzen.

Viele Unternehmen – vor allem KMU und Informations- und Kommunikationstechnologie (IKT) Anbieter – wissen nur bedingt, welche Anforderungen diese Verordnungen stellen, wie sie erfolgreich umgesetzt werden können und welche Vorteile sie bieten. Dabei sind beide von zentraler Bedeutung für die digitale Widerstandsfähigkeit der Europäischen Union. Dennoch macht sich nach wie vor große Verwirrung breit.

Viele Unternehmen sind nicht ausreichend auf NIS2 vorbereitet

Hinzu kommt, dass nur eine Handvoll EU-Mitgliedstaaten die Frist zur Umsetzung der NIS2 in nationales Recht bis Oktober 2024 eingehalten hat. In Irland, einer der digital am weitesten entwickelten Volkswirtschaften Europas, gaben 38 Prozent der Unternehmen zu, dass sie nicht vorbereitet sind. Dies verdeutlicht das Ausmaß der Herausforderung selbst in reifen Märkten. Diese unzureichende Vorbereitung dürfte sich in weiten Teilen der EU widerspiegeln, insbesondere bei KMU und Nicht-Finanzunternehmen. Sie unterliegen nun neuen, strengen Rechenschafts-, Prüfungs- und Berichtspflichten.

Da sich viele Unternehmen noch in der Anfangsphase der Umsetzung befinden, hat ISACA kürzlich das Whitepaper „Resilience and Security in Critical Sectors: Navigating NIS2 and DORA Requirements” veröffentlicht. Es dient als strategischer Leitfaden für Unternehmen, Finanzinstitute, öffentliche Verwaltungen und Technologieanbieter. Es enthält eine klare Gliederung der beiden Vorschriften und zeigt auf, wie Unternehmen deren Einhaltung umsetzen und gleichzeitig ihre Cyber-Resilienz stärken können.

Chris Dimitriadis, Chief Global Strategy Officer bei ISACA, kommentiert: „Die Herausforderung besteht nicht nur darin, die Vorschriften zu verstehen, sondern auch sicherzustellen, dass die Unternehmen wissen, wie sie diese effektiv anwenden können. DORA und NIS2 markieren einen grundlegenden Wandel in der Herangehensweise von Unternehmen an Resilienz und Cybersicherheitsmanagement. Die Konsequenzen für die Nichteinhaltung der Vorschriften sind gravierend – und noch wichtiger sind die Risiken einer Betriebsunterbrechung. ISACA engagiert sich, um Einzelpersonen und Organisationen bei der Vorbereitung auf diese neue Ära zu unterstützen.“

DORA und NIS2 markieren einen grundlegenden Wandel in der Herangehensweise von Unternehmen an Resilienz und Cybersicherheitsmanagement.

Chris Dimitriadis, ISACA

Was bei der Einhaltung von NIS2 und DORA zu beachten ist

Das Whitepaper von ISACA bietet Unternehmen, die auf die Einhaltung von Vorschriften hinarbeiten, acht wichtige Anleitungen.

• Kennen Sie Ihren Geltungsbereich: Bestimmen Sie, ob Ihr Unternehmen unter NIS2, DORA oder beide Richtlinien fällt. Auch Nicht-EU-Unternehmen können indirekt betroffen sein.
• Aufbau eines belastbaren IKT-Rahmens: Erstellen Sie umfassende IKT-Risikomanagementstrategien und stimmen Sie diese mit den Unternehmenszielen ab. Überprüfen und testen Sie regelmäßig Kontinuitäts- und Wiederherstellungspläne.
• Nehmen Sie das Risiko Dritter ernst: Stellen Sie sicher, dass die Verträge mit IKT-Anbietern spezielle Klauseln zu Kontinuität, Sicherheit und Audit-Rechten enthalten. Viele Technologieanbieter – darunter Softwareentwickler, Cloud-Anbieter und Anbieter von Managed Services – sind sich nicht bewusst, dass DORA sie aufgrund ihrer Verträge mit Finanzinstituten direkt betrifft.
  Bereiten Sie sich auf die Meldepflichten vor: DORA und NIS2 haben strenge und unterschiedliche Fristen für die Meldung von Vorfällen. Die Reaktionsteams müssen wissen, was, wann und wie zu melden ist.
• NIS2: Vorabmeldung innerhalb von 24 Stunden und Abschlussbericht innerhalb eines Monats erforderlich.
• DORA: Größere IKT-Vorfälle müssen innerhalb von vier Stunden nach ihrer Einstufung gemeldet werden.
• Schulung von Führungskräften und Mitarbeiter: Auf allen Ebenen sollten obligatorische Schulungen zum Thema Cybersicherheit durchgeführt werden. Besonders erwähnenswert ist, dass der von der Europäischen Zentralbank (EZB) entwickelte TIBER-EU-Rahmen vollständig an DORA angepasst wurde. Er verlangt erstklassige Fähigkeiten und Zertifizierungen für Red-Team-Tester und Threat-Intelligence-Anbieter, die über qualifiziertes und zertifiziertes Personal verfügen müssen, um ihre Aufgaben ordnungsgemäß zu erfüllen.
• Proaktive Audits: Führen Sie regelmäßig interne und externe Audits durch. Gemäß DORA müssen die IKT-Auditfunktionen unabhängig und qualifiziert sein.
• Testen und verbessern: DORA verlangt von den Finanzunternehmen, bedrohungsorientierte Penetrationstests durchzuführen und ihre betriebliche Widerstandsfähigkeit zu testen.
• Dokumentieren Sie alles: Führen Sie eine aktuelle Dokumentation über Richtlinien, Risikobewertungen, Kontrollen und Reaktionen. Dies ist entscheidend für die Transparenz und die aufsichtsrechtliche Überprüfung.

Im Falle der Nichteinhaltung von NIS2 drohen laut EU Geldbußen von bis zu sieben Millionen Euro und für größere Unternehmen von bis zu zehn Millionen Euro. DORA überlässt die Anwendung von Sanktionen hingegen den nationalen Behörden.

Eine wichtige Ressource für das europäische digitale Ökosystem

Das Whitepaper hilft nicht nur Compliance-Teams, die Erwartungen der Regulierungsbehörden zu verstehen, sondern unterstützt auch CISOs, IT-Leiter:innen und Risikofachleute dabei, langfristige Widerstandsfähigkeit und digitales Vertrauen aufzubauen. Die vergleichende Analyse von DORA und NIS2 in Kombination mit praktischen Empfehlungen macht das Whitepaper zu einem wichtigen Referenzpunkt für die Navigation durch die sich entwickelnde Cyber-Regulierungslandschaft in Europa. Es dient sowohl Unternehmen als auch deren Technologiepartnern und Lieferanten als Leitfaden.

Das Whitepaper „Resilience and Security in Critical Sectors: Navigating NIS2 and DORA Requirements“ ist kostenfrei erhältlich. Weitere Publikationen, die für für Finanzinstitute nützlich, sind das ISACA IT Risk Framework, der IT Risk Professional's Guide und der IT Risk Fundamentals Study Guide. Zusätzliche risikobezogene IT-Ressourcen sind hier abrufbar. 
Seit über 55 Jahren unterstützt ISACA seine weltweite Gemeinschaft von mehr als 185.000 Mitgliedern mit dem Wissen, den Fähigkeiten, der Ausbildung und dem Netzwerk, das sie benötigen, um in Bereichen wie Informationssicherheit, Governance, Assurance, Datenschutz, Risikomanagement und neue Technologien erfolgreich zu sein.

Datenschutzbedrohungen

Datenschutzschulung: Ein Drittel der Unternehmen versäumt Aktualisierung