NIS-2: Unternehmen sollten DORA-Erfahrungen für sich nutzen

Erkenntnisse aus der DORA-Einführung zeigen auf, dass die größeren Hürden oft bei der Transparenz, der Nachweisfähigkeit und der organisatorischen Umsetzung liegen – und Cyberresilienz eben nicht allein durch technische Sicherheitsmaßnahmen entstehen kann

[datensicherheit.de, 25.07.2026] Mit der Richtlinie NIS-2 verschärft die Europäische Union (EU) bewusst die Anforderungen an Cybersicherheit, Risikomanagement und Lieferkettensicherheit. Für Tausende Unternehmen jedoch rücken damit neue Fragen in den Mittelpunkt, die weit über die klassische IT-Sicherheit hinausgehen: „Welche Dienstleister sind für den Betrieb unverzichtbar? Wo bestehen kritische Abhängigkeiten? Und lassen sich Risiken, Maßnahmen und Verantwortlichkeiten im Prüfungsfall lückenlos nachweisen?“ „Viele Unternehmen betrachten Cyberresilienz zunächst vor allem als technische Aufgabe“, berichtet Robin Schmeisser, Geschäftsführer der Fabasoft Contracts GmbH. Die DORA-Erfahrungen zeigten indes, dass die größeren Hürden oft bei der Transparenz, der Nachweisfähigkeit und der organisatorischen Umsetzung lägen. Cyberresilienz entstehe nun nicht allein durch technische Sicherheitsmaßnahmen – entscheidend seien eben geradeTransparenz über IKT-Dienstleister, klare Verantwortlichkeiten und lückenlos nachweisbare Prozesse. Die von NIS-2 betroffenen Unternehmen sollten deshalb ihre digitalen Abhängigkeiten frühzeitig erfassen.

Robin Schmeisser rät NIS-2-betroffene, Organisationen, die Umsetzung als unternehmensweites „Governance“-Projekt zu verstehen

Aus den Erfahrungen mit DORA lassen sich 5 Lehren für NIS-2-betroffene Unternehmen ableiten

Banken und Versicherungen kennen solche Aufgaben bereits aus dem „Digital Operational Resilience Act“ (DORA) – diese EU-Verordnung verpflichtet Finanzunternehmen seit Anfang 2025 zu umfangreichen Maßnahmen zur Stärkung ihrer digitalen Widerstandsfähigkeit.

• Während DORA aber ausschließlich für den Finanzsektor gilt, nimmt NIS-2 jetzt deutlich mehr Branchen in die Pflicht. Viele Unternehmen betrachteten Cyberresilienz zunächst vor allem als technische Aufgabe.

Schmeisser verweist in seinem Kommentar auf die Erfahrungen mit DORA: Diese zeigten jedoch, dass die größeren Hürden oft bei Transparenz, Nachweisfähigkeit und organisatorischer Umsetzung lägen. Konkret ließen sich fünf Lehren für NIS-2-betroffene Unternehmen ableiten:

Lehre Nr. 1: Sicherheit endet nicht an der Unternehmensgrenze!

Lange habe sich Cybersicherheit vor allem auf die Absicherung der eigenen Systeme und Prozesse konzentriert. Die Erfahrungen aus der Finanzbranche zeigten jedoch, dass Risiken zunehmend außerhalb der eigenen Unternehmensgrenzen entstünden: Laut der österreichischen Finanzmarktaufsicht (FMA) hätten mehr als 50 Prozent der seit Inkrafttreten von DORA gemeldeten Sicherheitsvorfälle ihren Ursprung bei einem IKT-Drittdienstleister.

• Deshalb würden DORA und NIS-2 dem Management von Drittparteien und Lieferkettenrisiken deutlich mehr Bedeutung bei messen als frühere Regelwerke. Für NIS-2-Unternehmen ergibt sich daraus eine klare Lehre: Die eigene Sicherheitsstrategie dürfe nicht an der Unternehmensgrenze enden.

Resilienz erfordere einen ganzheitlichen Blick auf die digitale Wertschöpfungskette – einschließlich „Cloud“-, Software- und IT-Dienstleister. „Die Sicherheit eines Unternehmens hängt heute immer stärker von der Sicherheit seiner Dienstleister ab!“, betont Schmeisser und warnt: „Wer nur die eigenen Systeme betrachtet, übersieht einen wesentlichen Teil des tatsächlichen Risikos.“

Lehre Nr. 2: Kritische Abhängigkeiten erkennen!

Im Zuge der DORA-Umsetzung hätten sich Finanzunternehmen systematisch mit ihrer tatsächlichen Abhängigkeit von einzelnen IT-Dienstleistern auseinandersetzen müssen. Dabei sei deutlich geworden, dass zahlreiche Geschäftsprozesse von wenigen Anbietern abhingen, für die es häufig keine belastbaren Ausstiegsstrategien oder -pläne gegeben habe.

• Auch wenn NIS-2 keine expliziten Exit-Pläne wie DORA fordere, lasse sich daraus eine wichtige Erkenntnis ableiten: Organisationen sollten kritische Abhängigkeiten frühzeitig identifizieren und sich mit möglichen Alternativen auseinandersetzen. Wer seine digitale Lieferkette kennt, könne Risiken besser bewerten und im Krisenfall schneller reagieren.

„Entscheidend ist nicht allein, ob ein Dienstleister heute zuverlässig arbeitet“, unterstreicht Schmeisser und führt weiter aus: „Unternehmen müssen auch wissen, welche Folgen ein Ausfall hätte, wie schnell sich eine Alternative aktivieren ließe und welche vertraglichen oder technischen Hürden einem Wechsel entgegenstehen.“

Lehre Nr. 3: Drittdienstleister aktiv steuern!

Nach Auswertung der österreichischen Finanzmarktaufsicht (FMA) stellte das IKT-Drittparteien-Risikomanagement für viele Finanzunternehmen die größte Herausforderung bei der DORA-Umsetzung dar. Gefordert seien u.a. Dokumentations- und Berichtspflichten, Risikobewertungen, „Due Diligence“, die laufende Aktualisierung von Lieferanteninformationen sowie die Anpassung bestehender Verträge.

• Vor-Ort-Prüfungen der Behörden zeigten lückenhafte Inventare, unvollständige Funktionen und Prozesse, unklare Verantwortlichkeiten sowie mangelnde Datenqualität. Zudem seien IKT-Drittdienstleister häufig nicht ausreichend in die Prozesse eingebunden und notwendige vertragliche Anpassungen fehlten.

„Das Management von Drittdienstleistern geht weit über klassische Lieferantenverwaltung hinaus“, erläutert Schmeisser. Er ergänzt: „Es ist eine kontinuierliche ,Governance’-Aufgabe, die belastbare Prozesse und aktuelle Daten voraussetzt.“ NIS-2-pflichtige Unternehmen sollten diesen Aufwand nicht unterschätzen. Die frühzeitige zentrale Erfassung aller relevanten Dienstleister-Informationen sowie der Aufbau strukturierter Prozesse für das Drittparteien-Management könnten späteren Hürden erheblich vorbeugen. KI-gestütztes Vertragsmanagement unterstütze dabei, Verträge effizient auf regulatorische Risiken zu prüfen und erforderliche Anpassungen schneller umzusetzen.

Lehre Nr. 4: „Compliance“ muss nachweisbar sein!

Festgelegte Prozesse allein reichten nicht aus, um regulatorische Anforderungen zu erfüllen. „Viele Finanzinstitute verfügten grundsätzlich über Abläufe für das Auslagerungsmanagement“, so Schmeisser. Er merkt an: „Die Herausforderung bestand jedoch darin, die tatsächliche Durchführung jedes einzelnen Prozessschritts in einer Prüfungssituation belegen zu können.“

• Betroffen gewesen seien etwa Risikoanalysen, Kritikalitätsbewertungen, Freigaben, regelmäßige Kontrollen sowie die Neubewertung bestehender Dienstleister. Die erforderlichen Informationen seien häufig über E-Mails, Tabellen und verschiedene Fachanwendungen verteilt gewesen. Entsprechend schwierig sei es gewesen, Entscheidungen und Prozessschritte lückenlos nachzuvollziehen.

Für die Vorbereitung auf NIS-2 sei es daher essenziell, „Governance“-, Risiko- und Kontrollprozesse von Beginn an transparent und nachvollziehbar zu gestalten. Digitale „Workflows“ könnten Prozessschritte automatisiert steuern, Verantwortlichkeiten eindeutig zuordnen und Tätigkeiten revisionssicher dokumentieren. Audit-Trails und elektronische „Workflow“-Unterschriften ermöglichten es, jederzeit nachzuweisen, „wer wann Bewertungen durchgeführt, Entscheidungen getroffen oder Freigaben erteilt hat“.

Lehre Nr. 5.: NIS-2 ist kein IT-Projekt!

Sowohl NIS-2 als auch DORA adressierten die Verantwortung der Unternehmensleitung und verlangten einen organisationsweiten Umgang mit Cyberrisiken. Die DORA-Erfahrungen zeigten, dass Digitale Resilienz eine Querschnittsdisziplin sei: Lieferantenmanagement, Risikomanagement, „Compliance“, Einkauf, Fachbereiche und Unternehmensleitung müssten eng zusammenarbeiten.

• Im ersten Jahr der DORA-Anwendung habe sich jedoch gezeigt, dass die Führungsebene in vielen Finanzunternehmen nicht ausreichend in die erforderlichen Prozesse eingebunden gewesen sei. Dadurch seien notwendige Maßnahmen häufig nicht genehmigt und überwacht worden.

„NIS-2-betroffene Organisationen sollten die Umsetzung als unternehmensweites ,Governance’-Projekt verstehen!“, empfiehlt Schmeisser. Er gibt abschließend zu bedenken: „Werden alle relevanten Stakeholder frühzeitig eingebunden, Verantwortlichkeiten klar verteilt und die Geschäftsführung aktiv beteiligt, lassen sich Entscheidungen schneller treffen, Maßnahmen konsequenter umsetzen und regulatorische Anforderungen dauerhaft im Unternehmen verankern.“

Fazit zur Übertragung der Lehren aus DORA auf NIS-2:

Cyberresilienz entstehe nicht allein durch technische Sicherheitsmaßnahmen. Entscheidend seien Transparenz über IKT-Dienstleister, klare Verantwortlichkeiten und lückenlos nachweisbare Prozesse.

• NIS-2-betroffene Unternehmen sollten deshalb ihre digitalen Abhängigkeiten frühzeitig erfassen, Dienstleister systematisch steuern und „Governance“-Prozesse revisionssicher dokumentieren.

Wer diese Grundlagen schafft, erfüllt laut Schmeisser nicht nur regulatorische Anforderungen effizienter, sondern stärkt zugleich die eigene Widerstandsfähigkeit gegenüber Cyberrisiken.

Weitere Informationen zum Thema:

Fabasoft
Visionäre Technologie made in Europe / Als österreichischer Innovationsführer und DACH-Marktführer im Bereich elektronischer Akten setzen wir Maßstäbe für digitale Exzellenz.

LinkedIn
Robin Schmeisser

Bafin Bundesanstalt für Finanzdienstleistungsaufsicht, 04.12.2025
IT-Aufsicht im Finanzsektor: Das erste Jahr DORA

FMA
DORA – FMA-Aktivitäten

KPMG, 20.05.2026
Cybersecurity in Österreich 2026 – Die Illusion der Ruhe

datensicherheit.de, 12.07.2026
Eskalation digitaler Angriffe auf die Produktion: NIS-2-Haftungsfalle für den Mittelstand / Die NIS-2-Richtlinie trifft aktuell auf einen leeren Fachkräftemarkt: ISACA beschreibt, warum der Schutz der Fertigung gerade jetzt KMU dazu zwingt, völlig neue Wege zu gehen

datensicherheit.de, 02.07.2026
Die eigentliche Herausforderung beginnt erst jetzt: NIS-2-Registrierung genügt nicht / Nach Beobachtung von Axians sind viele Unternehmen trotz Registrierung nicht in der Lage, die regulatorischen Anforderungen im Ernstfall zu erfüllen

datensicherheit.de, 22.01.2026
DORA: 1. Jahrestag im Kontext Digitaler Operationaler Resilienz / Die DORA-Intention ist ein einheitliches Rahmenwerk für das Management von Drittanbieter-Risiken im Finanzsektor

datensicherheit.de, 31.07.2025
DORA – Europäische Union präzisiert Umgang mit Lieferketten-Risiken / Die Europäische Kommission hat Anfang Juli eine Ergänzung zur Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA) in Form finaler technischer Regulierungsstandards (RTS) veröffentlicht. Damit konkretisiert sie Anforderungen an das Risikomanagement oftmals komplexer IKT-Lieferketten im durch DORA regulierten Bereich. Im Fokus stehen dabei Untervergaben. Der TÜV SÜD fasst die wichtigsten Punkte praxisorientiert zusammen.