[datensicherheit.de, 11.12.2025] Seit dem 6. Dezember 2025 gilt die NIS-2-Richtinie nun offiziell – ohne jegliche Übergangsfristen. Am 13. November 2025 war das Maßnahmenpaket final im Bundestag beschlossen worden. Diese Verabschiedung und das Inkrafttreten stellten nun „einen Wendepunkt für den deutschen Mittelstand“ dar. Alexander Ingelheim, CEO und Mitgründer von Proliance, kommentiert: „Endlich erhalten Unternehmen Rechtssicherheit, während die Cybersicherheit entscheidend gestärkt wird. Denn: Die Vorgabe verpflichtet deutlich mehr Unternehmen und Branchen zur Einhaltung einheitlicher europäischer Sicherheitsstandards und schreibt strengere Vorgaben für die IT-Sicherheit vor.“

Foto: Proliance

Alexander Ingelheim: Gerade für den Mittelstand wird NIS-2 dazu führen, die Cyberresilienz deutlich zu stärken!

NIS-2 gilt für Unternehmen ab 50 Mitarbeitern oder zehn Millionen Euro Jahresumsatz

Zudem erweitere NIS-2 die Meldepflichten bei Sicherheitsvorfällen und verschärfe die Sanktionen bei Verstößen. Darüber hinaus solle die Zusammenarbeit der EU-Mitgliedstaaten bei der Abwehr von Cyberangriffen gestärkt werden.

• „NIS-2 gilt für Unternehmen ab 50 Mitarbeitern oder zehn Millionen Euro Jahresumsatz. Somit sind je nach Schätzung etwa 30.000 bis 40.000 deutsche Betriebe aus 18 festgelegten Sektoren ganz konkret betroffen. Bedenkt man die Wertschöpfungsketten, könnte sich laut dem Institut der deutschen Wirtschaft (IW) für über 200.000 weitere Firmen eine indirekte Verpflichtung ergeben.“

Der Zeitpunkt zum Handeln sei also gekommen: „Doch was können Betriebe tun, um so schnell wie möglich ,compliant’ zu werden?“ Ingelheim gibt eine Übersicht der wichtigsten ersten Schritte, welche Unternehmen nun dringend angehen sollten.

Proliance-Empfehlungen für erste Handlungsschritte zur Einhaltung der NIS-2-Richtlinie:

• Durchführung einer Risikobewertung
  Von NI-2 betroffene Firmen müssten jetzt ihre Netz- und Informationssysteme auf Schwachstellen und Bedrohungen hin analysieren sowie die bestehenden Risiken klassifizieren und bewerten.
• Implementierung eines Sicherheitsplans
  Basierend auf den Ergebnissen dieser Analyse sollte ein Sicherheitsplan entwickelt werden, welcher spezifische NIS-2-Maßnahmen zur Risikominimierung enthält. Dazu gehörten Technische und Organisatorische Maßnahmen (TOM) zur Sicherheit, genauso wie die Schaffung von Sicherheitsprotokollen, regelmäßige Überprüfung und Aktualisierung der Systeme sowie kontinuierliche Mitarbeiterschulungen.
• Etablierung von Meldeverfahren
  Ein nächster Schritt bestehe darin, sicherzugehen, dass transparente und effiziente Meldeverfahren für den Fall eines Vorfalls bestehen. Dadurch würden Vorfälle schneller erkannt, gemeldet und Maßnahmen zur Eindämmung eingeleitet.
• Zusammenarbeit mit Behörden und anderen Betrieben
  Unternehmen seien gut beraten, enge Beziehungen zu den zuständigen Behörden sowie anderen Einrichtungen in ihrer Branche aufzubauen und zu pflegen. Der Austausch – zum Beispiel bezüglich bewährter Verfahren und Prozesse – helfe das allgemeine Cybersicherheitslevel zu steigern.
• Regelmäßige Prüfung und Anpassung aller NIS-2-Maßnahmen
  Generell gelte: Die Schaffung einer guten Grundlage in Sachen IT-Sicherheit sei ein fortlaufender Prozess. Langfristig gesehen sollten Betriebe ihre Sicherheitsmaßnahmen regelmäßig überprüfen und an neue Bedrohungsszenarien sowie technologische Entwicklungen anpassen. Dazu gehöre kontinuierliches Monitoring aller Prozesse und die Flexibilität, auf neue Herausforderungen schnell zu reagieren.

Um NIS-2-Maßnahmen konkret umzusetzen, sollte ein spezialisiertes Cybersicherheitsteam zur Verfügung stehen

Ingelheim rät betroffenen Unternehmen: „Um diese Maßnahmen konkret umzusetzen, bietet sich die Etablierung eines spezialisierten Cybersicherheitsteams an, falls noch nicht vorhanden. Dies ist einer der wichtigsten Schritte, um schnell in die Handlung zu kommen.“

• Auch sollten Betriebe über die Einführung eines Informationssicherheits-Managementsystems (ISMS) nach aktuellen Standards wie ISO 27001 oder dem BSI-Grundschutz nachdenken. „Im Idealfall hilft die Lösung bei der systematischen Verwaltung von Sicherheitsrisiken und kontinuierlichen Verbesserung der etablierten Maßnahmen.“

Ingelheim betont: „Dass die Einführung eines Regelwerks wie NIS-2 längst überfällig war, zeigen aktuelle Zahlen aus der Praxis. Während Unternehmen ihren Reifegrad in der Informationssicherheit kurz vor der Abstimmung im Bundestag durchschnittlich mit 4,1 von 5 Punkten bewerteten, meldete fast jedes dritte mindestens einen schwerwiegenden Sicherheitsvorfall in den vergangenen drei Jahren. Diese Selbstwahrnehmung steht hier in eklatantem Widerspruch zur Realität. Für unsere Studie wurden 122 mittelständische Entscheider befragt.“

Es gilt zudem das Haftungsrisiko zu senken, welches im Zuge von NIS-2 auch Einzelpersonen betrifft

Ingelheims Fazit: „Auch wenn die Richtlinie und Ihre Umsetzung zeitweise für Verunsicherung gesorgt hat: Gerade für den Mittelstand wird NIS-2 dazu führen, die Cyberresilienz deutlich zu stärken. Schließlich helfen vorab definierte Notfall- und Wiederanlaufprozesse im Rahmen des ,Business Continuity Managements’ Unternehmen dabei, nach Cyberattacken schnell wieder arbeitsfähig zu werden.“

• Außerdem schütze ein hohes Niveau an Informationssicherheit personenbezogene wie auch vertrauliche Daten und beuge Pannen in im Kontext der Datensicherheit vor. Sogar die Effizienz steige, denn die Umsetzung des Regelwerks schaffe Prozessklarheit, verschlanke Abläufe, mache Risiken sichtbar und somit besser beherrschbar.

„Zuletzt senken Geschäftsführer und Führungskräfte ihr eigenes, ganz persönliches Risiko, denn eine lückenlose Umsetzung vermindert deutlich das Haftungsrisiko, welches im Zuge von NIS-2 auch für sie als Einzelpersonen gilt!“ Mithilfe der oben erwähnten Schritte – idealerweise in Kombination mit einer Lösung, die beim Monitoring und Management von Fallstricken in Sachen Informationssicherheit hilft – erreichten Unternehmen schnell und unkompliziert „Compliance“ im Sinne der NIS-2-Richtlinie.

Weitere Informationen zum Thema:

proliance
Über uns: Professional Compliance aus München mit Leidenschaft für kleine und mittlere Unternehmen

prpliance
Alexander Ingelheim – Co-Founder & CEO

proliance, 2025
Cyberresilienz-Studie 2025: Wo steht der deutsche Mittelstand?

Die Bundesregierung, 08.12.2025
Gesetz in Kraft getreten: Mehr digitale Sicherheit / Die Bundesregierung will neue europäische Sicherheitsstandards für Wirtschaft und Verwaltung in deutsches Recht umsetzen. Ein entsprechendes Gesetz der Bundesregierung ist nun in Kraft getreten. Ein Überblick.

datensicherheit.de, 10.12.2025
NIS-2: Vielen Unternehmen fehlt es an Kapazitäten zur Umsetzung und zum Nachweis / Greg Hansbuer rät im Kontext der NIS-2-Umsetzung zur Nutzung von „Remote Managed Services“ zur professionellen Bereitstellung der Technologie und Verantwortungsübernahme für definierte Betriebsprozesse

datensicherheit.de, 09.12.2025
NIS-2-Umsetzung: 5 Branchen am stärksten betroffen / Die NIS-2-Richtlinie unterscheidet zwischen „wesentlichen“ und „wichtigen“ Einrichtungen

datensicherheit.de, 07.12.2025
NIS-2-Umsetzungsgesetz in Kraft: Verpflichtende Umsetzungsphase lässt keine weiteren Verzögerungen zu / Die NIS-2-Vorgaben gelten nunmehr für viele Organisationen in „wichtigen“ und „kritischen“ Sektoren und reichen deutlich weiter als bisherige KRITIS-Regelungen

datensicherheit.de, 06.12.2025
Cybersicherheitsrecht verschärft: NIS-2-Umsetzungsgesetz ab 6. Dezember 2025 wirksam / Mit Verkündung des „Gesetzes zur Umsetzung der NIS-2-Richtlinie“ und Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung tritt laut BSI „eine umfassende Modernisierung des Cybersicherheitsrechts“ in Kraft

datensicherheit.de, 15.11.2025
NIS-2-Herausforderung: Deutscher Mittelstand im Spannungsfeld zwischen Eigenwahrnehmung und Bedrohungslage / Einerseits bewerten Unternehmen ihren eigenen IT-Sicherheits-Reifegrad als „hoch“, sind jedoch einer hohen Zahl schwerwiegender Vorfälle ausgesetzt

[datensicherheit.de, 09.12.2025] Mit der endgültigen Umsetzung der EU-Richtlinie NIS-2 in Deutschland bedeutet dies für betroffene Unternehmen, dass das Thema Cybersicherheit auf der Prioritätenliste noch einmal einen gewaltigen Sprung nach oben machen muss. Cybersecurity-Experten von Obrela zeigen auf, welche Branchen besonders davon betroffen sind. Eine der gravierendsten Änderungen im NIS-2-Kontext betrifft den deutlich erweiterten Geltungsbereich: Neben klassischen KRITIS-Betreibern rücken nun auch zahlreiche Industrie-, Technologie- und Dienstleistungsbranchen in den Fokus – insgesamt wird demnach eine Größenordnung von rund 30.000 Unternehmen in Deutschland erfasst.

5 Sektoren trifft NIS-2 deutlich härter als den Rest – aufgrund ihrer Strukturen, Abhängigkeiten und operativen Kritikalität

Die NIS-2-Richtlinie unterscheidet zwischen „wesentlichen“ und „wichtigen“ Einrichtungen. Als „wesentlich“ gelten Organisationen, deren Ausfall die Grundversorgung oder die öffentliche Sicherheit unmittelbar gefährdet.

• „Wichtig“ sind dagegen Unternehmen, deren Ausfall kritisch, aber nicht sofort versorgungsrelevant ist – etwa Medizintechnik- und Elektronik-Anbieter oder Maschinenbauer, Lebensmittelproduzenten und auch Forschungseinrichtungen.

Entscheidend sei jedoch weniger die Frage, ob ein Unternehmen unter NIS-2 fällt, „sondern wie stark es die neuen Vorgaben spürt“. Branchen mit verteilten OT-Systemen, tiefen Dienstleisterketten oder hohen Versorgungsrisiken stünden nun vor besonders hohem Aufwand. In der Umsetzung zeige sich: Fünf Sektoren treffe es deutlich härter als den Rest – aufgrund ihrer Strukturen, Abhängigkeiten und operativen Kritikalität.

Fünf Sektoren, welche NIS-2 laut Obrela besonders gefordert sind:

1. Energieversorgung (Strom, Gas, Wasser, Fernwärme)
   Der Energiesektor sei durch die „Energiewende“ einer der am stärksten digitalisierten OT-Sektoren in Deutschland. Smart-Meter-Gateways, automatisierte Laststeuerung, digitale Netzleittechnik und Tausende dezentral angebundene Erzeuger träfen dort auf jahrzehntealte OT-Anlagen.
   Dieser Mix schaffe eine Angriffsfläche, welche Cyberkriminelle gezielt ausnutzten: „Laut ,Digital Universe Report H1 2025′ von Obrela entfallen 27 Prozent der Sicherheitsvorfälle auf externe Angriffe.“
   Dass der Druck steige, zeige sich u.a. bei Stadtwerken: In fast jedem Landkreis betrieben kleine Energie- und Wasserbetriebe Netze mit knappen Teams, begrenzten Budgets und zunehmend digital verteilten Anlagen – von der Ladeinfrastruktur bis zu den Photovoltaikfeldern. Sie müssten nun dieselben NIS-2-Pflichten erfüllen wie Großversorger, verfügten aber kaum über die Ressourcen, um ihre OT- und IT-Landschaften vollständig zu überblicken. „Für sie bedeutet NIS-2 vor allem: Transparenz in verteilten OT-Netzen schaffen und Bedrohungen erkennen, bevor Leitstellen, Versorgungsnetze oder Kundendaten betroffen sind!“
2. Gesundheitssektor (Krankenhäuser und Gesundheitseinrichtungen)
   Finanziell motivierte Ransomware-Gruppen wie „FIN12“ oder „Conti“-nahe Akteure wüssten um den Druck in Kliniken und Gesundheitseinrichtungen. Intensivstationen, OP-Planung und Patientenmanagement seien überwiegend digital organisiert. Das Einschleusen von Malware – 25 Prozent aller Vorfälle – gefährde dort nicht nur Daten, sondern unmittelbar Menschenleben.
   „Wie gefährlich dieser Grad der Vernetzung ist, gerät im hektischen Klinikalltag leicht aus dem Blickfeld: Auf Station greifen mehrere Personen auf ein Gerät zu (Shared Devices), Zugänge werden von der nächsten Schicht übernommen und kritische Situationen verlangen notgedrungen ,Workarounds’.“ Entsprechend hoch sei der Anteil an Verstößen gegen interne Sicherheitsvorgaben – rund 20 Prozent aller Vorfälle.
   Hinzu komme, dass viele Medizingeräte technisch überholt seien. Alte Bildgebungsgeräte wie MRTs oder CTs liefen beispielsweise auf ungepatchten „Windows“-Versionen. Ein Laborgerät hänge in einem separaten VLAN, mit unbekanntem Betriebssystem oder Patchlevel. Viele Kliniken wüssten schlicht nicht, welche Geräte im Netz hängen, welche Softwareversionen laufen, welche Remote-Zugänge existieren und wo veraltete Komponenten stehen. „Für Krankenhäuser bedeutet NIS-2 deshalb vor allem: MedTech-Landschaften transparent machen und privilegierte Zugänge – auch von Herstellern – strikt kontrollieren!“
3. Industrielle Produktion (Fertigung, Maschinen- und Anlagenbau)
   In der fertigenden Industrie seien Stillstände, Lieferunterbrechungen und lange Wiederanlaufzeiten längst reale Szenarien. Sieben Prozent aller beobachteten Vorfälle entfielen auf diesen Sektor – rund 800 Angriffe allein im ersten Halbjahr 2025.
   Die Spannbreite reiche von kompromittierten Bediener-Accounts über Manipulationen an Maschinenabläufen bis zu Eingriffen in Logistikprozesse oder unerlaubten Änderungen an Steuerungssystemen. Die Motive dahinter reichten von finanziellen Interessen bis zu gezielter Betriebsspionage.
   Ein Kernproblem: „Klassische OT wurde nie für das Internet gebaut. Viele Steuerungen laufen seit Jahrzehnten, sind kaum patchbar oder basieren noch auf ,Windows XP Embedded’.“ Gleichzeitig hingen heute IIoT-Sensorik, „Cloud“-Dienste, MES- und ERP-Systeme am selben Netz. Der zweite Schwachpunkt sei die globale Lieferkette: „Hersteller werden selten direkt angegriffen, sondern über Umwege – manipulierte Software-Updates, kompromittierte Logistikpartner oder unsichere Remote-Zugänge von Wartungsfirmen.“ Genau deshalb setze NIS-2 einen besonderen Schwerpunkt auf Lieferkettenkontrollen.
4. Finanzsektor (Banken, Zahlungsdienste, Finanzinfrastrukturen)
   Die Finanzbranche zähle zu den lukrativsten und mit 19 Prozent aller beobachteten Vorfälle auch zu den meist betroffenen Zielen für Cyberangriffe. Allein im ersten Halbjahr 2025 habe Obrela 2.150 Attacken verzeichnet – also rein rechnerisch alle zwei Stunden ein Angriff.
   Besonders auffällig: „32 Prozent der Vorfälle sind sektorspezifisch, also präzise auf Finanzsysteme zugeschnitten. Dazu zählen unautorisierte Zugriffe auf Transaktionsplattformen, Manipulationen in Zahlungs- und Handelsprozessen bis hin zu Web-Injection-Angriffe, die Zugangsketten für späteren Betrug aufbauen.“
   Der Druck entstehe vor allem durch die Architektur der Finanz-IT: Jahrzehntelang gewachsene Kernbankensysteme („COBOL“) träfen auf moderne API-Chains, „Cloud“-Dienste und ausgelagerte Zahlungsprozesse. Host-Systeme, Middleware-Schichten, Kartenabwicklung, „SWIFT“-Anbindungen, Marktinterfaces – all dies hänge über Hunderte Schnittstellen zusammen. „Schon ein einzelner kompromittierter Dienstleister oder eine fehlerhafte API reicht, um in hochkritische Systeme vorzudringen.“ NIS-2 adressiere genau diese Schwachstellen: „Dienstleister und ,Cloud’-Anbieter strikt auditieren, privilegierte Zugänge härten, maschinenbasierte Identitäten absichern und Zahlungsströme in Echtzeit auf Anomalien prüfen!“
5. Transport (Luftfahrt, Eisenbahnverkehr, Straßenverkehr, Schifffahrt)
   Der Transportsektor gehöre in NIS-2 zu den „wesentlichen Einrichtungen“ – und das aus gutem Grund. Die Abläufe hingen an einem dichten Netz aus Betriebssteuerung, Disposition, Fracht-Tracking und Wartungsprozessen, von denen viele über externe Dienstleister liefen.
   28 Prozent der beobachteten Vorfälle beträfen Malware – „oft dort, wo Systeme nur selten aktualisiert werden – etwa in Routen- oder Ladeplanungssoftware“.
   Besonders anspruchsvoll werde die Umsetzung von NIS-2 durch die Kombination aus stark regulierten Alt-Systemen und einer außergewöhnlich hohen Zahl externer Schnittstellen. Viele zentrale Anwendungen – von Leit- und Dispositionssoftware bis zu Flughafen- oder Cargo-Systemen – unterlägen strengen Zertifizierungen, weshalb Updates nur selten und mit langen Freigabeprozessen möglich seien. „Gleichzeitig stützen sich Bahn-, Airline- und Logistikbetreiber auf ein dichtes Geflecht aus Wartungsfirmen, Abfertigern und technischen Dienstleistern mit direktem Zugriff auf operative Systeme oder Datenflüsse.“ Diese Breite der Integrationen mache selbst kleine Änderungen koordinations- und dokumentationsintensiv.

NIS-2 verlangt durchgängiges Monitoring und schnelle Reaktionsfähigkeit

NIS-2 werde für viele Unternehmen vor allem ein Ressourcenproblem darstellen. „Wir erleben das immer wieder: Viele Organisationen scheitern nicht an der Technik, sondern an fehlender Transparenz, begrenzten Teams und der Vielzahl an Schnittstellen“, kommentiert Stefan Bange, „Managing Director Germany“ bei Obrela.

• Er betont: „NIS-2 verlangt durchgängiges Monitoring und schnelle Reaktionsfähigkeit – Anforderungen, die viele Unternehmen nur mit externen Partnern rund um die Uhr abdecken können.“ Sogenannte Security-as-a-Service-Modelle böten hierzu eine realistische Entlastung. Externe Partner übernähmen dabei Aufgaben wie „Managed Detection and Response“ (MDR), „Managed Risk and Controls“ (MRC), die Pflege zentraler Sicherheitsrichtlinien sowie die Bewertung neuer Schwachstellen.

„So entstehen klare Verantwortlichkeiten, ein durchgängiger Überblick über Risiken und eine Reaktionsfähigkeit, die rund um die Uhr funktioniert. Das sind alles Voraussetzungen, die NIS-2 jetzt verpflichtend macht und viele Organisationen aus eigener Kraft nur schwer erfüllen können“, gibt Bange abschließend zu bedenken.

Weitere Informationen zum Thema:

OBRELA
ÜBER OBRELA

OBRELA, Das Obrela-Bedrohungsanalyse-Team, 03.09.2025
Digitales Universum Bericht H1 2025 Bericht

Linkedin
Stefan Bange: Managing Director DACH @ Obrela Security Industries GmbH

datensicherheit.de, 07.12.2025
NIS-2-Umsetzungsgesetz in Kraft: Verpflichtende Umsetzungsphase lässt keine weiteren Verzögerungen zu / Die NIS-2-Vorgaben gelten nunmehr für viele Organisationen in „wichtigen“ und „kritischen“ Sektoren und reichen deutlich weiter als bisherige KRITIS-Regelungen

datensicherheit.de, 06.12.2025
Cybersicherheitsrecht verschärft: NIS-2-Umsetzungsgesetz ab 6. Dezember 2025 wirksam / Mit Verkündung des „Gesetzes zur Umsetzung der NIS-2-Richtlinie“ und Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung tritt laut BSI „eine umfassende Modernisierung des Cybersicherheitsrechts“ in Kraft

datensicherheit.de, 15.11.2025
NIS-2-Herausforderung: Deutscher Mittelstand im Spannungsfeld zwischen Eigenwahrnehmung und Bedrohungslage / Einerseits bewerten Unternehmen ihren eigenen IT-Sicherheits-Reifegrad als „hoch“, sind jedoch einer hohen Zahl schwerwiegender Vorfälle ausgesetzt

datensicherheit.de, 15.11.2025
NIS-2-Umsetzung überfällig, uneinheitlich und mit begrenzter Wirkungsmächtigkeit / Der Beschluss des Deutschen Bundestages vom 13. November 2025 zur Umsetzung der EU-NIS-2-Richtlinie wird von vielen Kommentatoren begrüßt – aber kritische Anmerkungen bleiben dennoch nicht aus

datensicherheit.de, 13.11.2025
NIS-2-Umsetzung im Bundestag beschlossen / Ambivalente Einschätzung des Digitalverbands Bitkom zur NIS-2-Umsetzung – Rechtssicherheit für Unternehmen erhofft, Neuregelungen für den Einsatz sogenannter Kritischer Komponenten könnten aber Investitionsentscheidungen negativ beeinflussen

[datensicherheit.de, 07.12.2025] Roland Stritt, CRO beim deutschen Hard- und Softwarehersteller FAST LTA, kommentiert den Umstand, dass Bundestag und Bundesrat das NIS-2-Umsetzungsgesetz verabschiedet haben: „Damit startet für rund 30.000 Unternehmen in Deutschland eine verpflichtende Umsetzungsphase, die keine Verzögerungen zulässt!“ Die Vorgaben gelten demnach für viele Organisationen in „wichtigen“ und „kritischen“ Sektoren und reichten deutlich weiter als bisherige KRITIS-Regelungen. „Ob ein Unternehmen betroffen ist, hängt von seiner Rolle und Tätigkeit im jeweiligen Bereich ab“, betont Stritt und erläutert, welche Aufgaben nun auf rund 30.000 Unternehmen warten:

Foto: FAST LTA

Roland Stritt: Die regulatorische Welle nimmt Tempo auf: Für Unternehmen zählt jetzt nicht mehr, ob sie handeln, sondern wie schnell und wie wirksam!

NIS-2-Anforderungen sollen Resilienz der Unternehmen erhöhen und Sicherheit zentraler Dienstleistungen stärken

Unternehmen müssten sich innerhalb von drei Monaten nach den gesetzlichen Vorgaben registrieren. „Die Umsetzungspflichten gelten sofort, es gibt keinen Aufschub und keine Schonfrist!“

• Diese umfassten eine klare „Scope“-Definition, ein wirksames Risikomanagement, feste Meldewege und umfassende Cybersecurity-Maßnahmen.

„Die Anforderungen sollen die Resilienz der Unternehmen erhöhen und die Sicherheit zentraler Dienstleistungen stärken“, so Stritt.

Nach NIS-2 stehen noch weitere Regulierungen an

Parallel liefen weitere regulatorische Prozesse an. Das „KRITIS-Dachgesetz“ befinde sich in Vorbereitung und sehe verschärfte physische und digitale Schutzmaßnahmen vor. Es bringe neue Meldepflichten und eine zusätzliche Aufsicht durch das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK).

• „Im Energiesektor werden neue IT-Sicherheitskataloge der Bundesnetzagentur erwartet. Sie sollen NIS-2 und das KRITIS-Dachgesetz zusammenführen und Nachweispflichten aus dem Energiewirtschaftsgesetz einbinden.“

„Cloud“- und IT-Dienstleister müssten zudem den „EU Implementing Act“ erfüllen. „Die Vorgaben aus § 30 BSIG-E decken diese Anforderungen nicht ab.“ Auch die „KRITIS-Verordnung“ werde überarbeitet. Welche Sektoren und Schwellenwerte künftig gelten, sei aktuell noch offen.

Wegen verspäteter NIS-2-Umsetzung EU-Vertragsverletzungsverfahren gegen Deutschland

„Die EU beobachtet die Entwicklung genau. Wegen der verspäteten Umsetzung läuft ein Vertragsverletzungsverfahren gegen Deutschland“, erläutert Stritt. Andere EU-Mitgliedstaaten warteten auf ein deutsches Gesetz, welches als Orientierung dienen könnte.

• „Die regulatorische Welle nimmt Tempo auf: Für Unternehmen zählt jetzt nicht mehr, ob sie handeln, sondern wie schnell und wie wirksam!“ Cybersecurity und Resilienz seien indes keine reine „Compliance“-Aufgabe. Sie würden zum festen Bestandteil der Geschäftsstrategie und zum Wettbewerbsfaktor.

Stritt gibt abschließend zu bedenken: „Wir empfehlen, die neuen Vorgaben frühzeitig in eine übergreifende Sicherheits- und Datenstrategie einzubetten! Unternehmen, die früh planen, sichern sich klare Vorteile.“

Weitere Informationen zum Thema:

FAST LTA
Hallo. Unsere Produkte und Services helfen unseren mittelständischen Kunden, Datensicherung und Datenmigration zu vereinfachen, rechtliche und regulatorische Risiken zu minimieren, und das langfristige Risiko, Daten zu verlieren, zu verringern.

CRN.DE, Folker Lück, 10.06.2025
Neuer Vertriebschef für Fast LTA / Der On-Premises Enterprise-Storage-Lösungsanbieter Fast LTA GmbH hat Roland Stritt mit Wirkung zum 1. Mai 2025 zum Chief Revenue Officer (CRO) ernannt. Damit verantwortet Roland Stritt künftig die Bereiche Vertrieb und Marketing. Er soll die strategische Ausrichtung im europäischen Markt voranbringen.

datensicherheit.de, 06.12.2025
Cybersicherheitsrecht verschärft: NIS-2-Umsetzungsgesetz ab 6. Dezember 2025 wirksam / Mit Verkündung des „Gesetzes zur Umsetzung der NIS-2-Richtlinie“ und Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung tritt laut BSI „eine umfassende Modernisierung des Cybersicherheitsrechts“ in Kraft

datensicherheit.de, 15.11.2025
NIS-2-Herausforderung: Deutscher Mittelstand im Spannungsfeld zwischen Eigenwahrnehmung und Bedrohungslage / Einerseits bewerten Unternehmen ihren eigenen IT-Sicherheits-Reifegrad als „hoch“, sind jedoch einer hohen Zahl schwerwiegender Vorfälle ausgesetzt

datensicherheit.de, 15.11.2025
NIS-2-Umsetzung überfällig, uneinheitlich und mit begrenzter Wirkungsmächtigkeit / Der Beschluss des Deutschen Bundestages vom 13. November 2025 zur Umsetzung der EU-NIS-2-Richtlinie wird von vielen Kommentatoren begrüßt – aber kritische Anmerkungen bleiben dennoch nicht aus

datensicherheit.de, 13.11.2025
NIS-2-Umsetzung im Bundestag beschlossen / Ambivalente Einschätzung des Digitalverbands Bitkom zur NIS-2-Umsetzung – Rechtssicherheit für Unternehmen erhofft, Neuregelungen für den Einsatz sogenannter Kritischer Komponenten könnten aber Investitionsentscheidungen negativ beeinflussen

datensicherheit.de, 13.11.2025
NIS-2 in Deutschland: Später Start erfordert nun Vertrauen und Klarheit zu schaffen / Die Umsetzung der NIS-2-Richtlinie steht unmittelbar auf der Agenda – die neuen Vorgaben sollen ohne Übergangsfrist gelten

[datensicherheit.de, 15.11.2025] Vielfach wird der Beschluss des Deutschen Bundestages vom 13. November 2025 zur Umsetzung der EU-NIS-2-Richtlinie grundsätzlich begrüßt. Auch Steve Bradford, „Senior Vice President EMEA“ bei SailPoint, sieht darin „einen entscheidenden Schritt für mehr Cybersicherheit und klare Rahmenbedingungen für Unternehmen“ – er moniert indes, dass die Umsetzung in Europa weiterhin uneinheitlich bleibt. Sebastian Gerlach, „Senior Director Policy / Public Sector Enablement EMEA“ bei Palo Alto Networks, erläutert in seinem Kommentar, was die Umsetzung der NIS-2-Richtlinie in nationales Recht nun für Unternehmen bedeutet, wieso NIS-2 nicht die Lösung für alles sein kann und wie die Rolle des Bundesamts für Sicherheit in der Informationstechnik (BSI) fortan einzuordnen ist.

Foto: SailPoint

Steve Bradford betont: Europa darf sich nicht auf seinen bisherigen Erfolgen ausruhen!

Zuwachs an Rechtssicherheit: EU-NIS-2-Richtlinie endlich in nationales deutsches Gesetz überführt

„Damit wird die EU-NIS-2-Richtlinie endlich in nationales Gesetz überführt und sorgt für mehr Rechtssicherheit sowie verbindliche Fristen für deutsche Unternehmen“, unterstreicht Bradford. Trotz dieses Fortschritts bleibe aber die Umsetzung in Europa weiterhin uneinheitlich – mit Deutschland haben demnach nun erst 16 von 27 EU-Mitgliedstaaten die Vorgaben vollständig umgesetzt.

• „Das zeigt: Europa darf sich nicht auf seinen bisherigen Erfolgen ausruhen! ,Compliance’ muss eine kontinuierliche, strategische Priorität bleiben, denn die Bedrohungslage entwickelt sich stetig weiter.“

Vor allem KI-gesteuerte Angriffe verschärften die Risiken, insbesondere für Unternehmen mit veralteten Systemen und komplexen Lieferketten. 2024 seien Insider-Bedrohungen für fast die Hälfte aller Sicherheitsvorfälle in der Region „Europa, Naher Osten und Afrika“ (EMEA) verantwortlich gewesen. „Die in diesem Jahr aktualisierten technischen Leitlinien der NIS-2 zum Identitäts- und Zugriffsmanagement verdeutlichen, wie sehr Unternehmen zunehmend ausgeklügelten Angriffsmethoden ausgesetzt sind“, so Bradford.

Empfehlung: KI-gestützte Identitätssicherheitsplattformen

Diese Entwicklung werde auch durch den unlängst veröffentlichten Lagebericht des BSI bestätigt: „Mit einem Rekordschaden von 202 Milliarden Euro durch Cyberangriffe zählt Deutschland zu den Top-Zielen von Cyberkriminellen. Die Zahlen machen deutlich, dass Unternehmen Cybersicherheit als Kernaufgabe begreifen müssen.“

• Dennoch setzten viele Organisationen weiterhin auf manuelle Prozesse und riskierten dadurch gefährliche Sicherheitslücken. Bradford stellt klar: „Die Modernisierung der Zugriffskontrollen ist daher unerlässlich!“

KI-gestützte Identitätssicherheitsplattformen böten Echtzeit-Transparenz und eine zentrale, prüfbare Datenquelle – und machten „Compliance“ zu einem strategischen Vorteil. Mit der Verabschiedung des NIS-2-Gesetzes und den aktuellen Erkenntnissen aus dem BSI-Lagebericht sei jetzt der richtige Zeitpunkt, die eigenen Schutzmaßnahmen zu überprüfen, Schwachstellen zu schließen und neuen Bedrohungen einen Schritt voraus zu sein.

Etliche potenzielle Opfer Cyberkrimineller fallen eben nicht unter NIS-2

Auch Gerlach sieht in der Verabschiedung des NIS-2-Umsetzungsgesetzes im Bundestag für den Schutz der Kritischen Infrastruktur (KRITIS) in Deutschland einen „enorm wichtiger Schritt“. Dennoch moniert er: Die Bundesregierung habe „wertvolle Zeit verstreichen lassen“ – und er warnt grundsätzlich: „Cyberangreifer warten nicht auf gesetzliche Vorgaben!“ Es sei indes gut zu sehen, dass jetzt auch alle nachgeordneten Bundesbehörden in den Anwendungsbereich des NIS-2-Umsetzungsgesetzes kämen.

• Der aktuelle BSI-Lagebericht zeige aber, dass viele Organisationen, welche besonders im Visier von Angreifern sind, weder unter NIS-2 fielen noch sich ihrer Attraktivität als Ziel bewusst seien. „Politische Institutionen wie Parteien, Kommunen und mittelständische Unternehmen geraten zunehmend ins Fadenkreuz von Cyberkriminellen“, berichtet Gerlach.

Während NIS-2 über 30.000 Unternehmen zu höheren Standards verpflichte, bleibe eine gefährliche Lücke: „Zwischen regulatorischen Mindestanforderungen und tatsächlichem Schutz klafft ein Abgrund!“

NIS-2-Umsetzung stärkt zumindest Handlungsfähigkeit Deutschlands im Bereich der Cybersicherheit

Angreifer interessierten sich nicht für „Compliance“-Deadlines: „Sie suchen Schwachstellen und finden sie dort, wo Unternehmen Sicherheit als Pflichtübung statt als strategische Priorität betrachten!“ Daher sei das Secure-by-Design-Konzept unverzichtbar, „bei der Sicherheit von Anfang an in alle Prozess- und Systemarchitekturen integriert wird“.

• Aus Sicht von Palo Alto Networks ist die Ansiedlung des Bundes-CISO beim BSI ein sinnvoller Schritt. Damit werde die strategische Verantwortung für Cybersicherheit auf Bundesebene dort verankert, wo das tiefgehende technische Fachwissen und die operative Erfahrung bereits vorhanden seien.

Diese Entscheidung stärke die Handlungsfähigkeit Deutschlands im Bereich der Cybersicherheit und fördere eine enge Verzahnung von Strategie, Regulierung und technischer Umsetzung – „ein wichtiger Schritt, um die Resilienz staatlicher Behörden gegenüber Cyberbedrohungen nachhaltig zu erhöhen“, betont Gerlach abschließend.

Weitere Informationen zum Thema:

SailPoint
Das Herzstück der Unternehmenssicherheit ist die Identität / Eine einheitliche Identitätssicherheitsplattform zur Verwaltung und zum Schutz aller Unternehmensidentitäten

SailPoint
WARUM WIR? / Das Führungsteam von SailPoint

paloalto NETWORKS
Get to know: Sebastian Gerlach / Senior director, EMEA policy, Palo Alto Networks

paloalto NETWORKS
Blog

Deutscher Bundestag, 13.11.2025
Inneres / Gesetz zur Informations­sicherheit in der Bundes­verwaltung beschlossen

Bundesamt für Sicherheit in der Informationstechnik
Die Lage der IT-Sicherheit in Deutschland 2025 / Berichtszeitraum: 01.07.2024 – 30.06.2025 / Einleitung

Bundesamt für Sicherheit in der Informationstechnik
Die Lage der IT-Sicherheit in Deutschland 2025 / Berichtszeitraum: 01.07.2024 – 30.06.2025 / 05 Resilienz

datensicherheit.de, 15.11.2025
NIS-2-Herausforderung: Deutscher Mittelstand im Spannungsfeld zwischen Eigenwahrnehmung und Bedrohungslage / Einerseits bewerten Unternehmen ihren eigenen IT-Sicherheits-Reifegrad als „hoch“, sind jedoch einer hohen Zahl schwerwiegender Vorfälle ausgesetzt

datensicherheit.de, 13.11.2025
NIS-2-Umsetzung im Bundestag beschlossen /Ambivalente Einschätzung des Digitalverbands Bitkom zur NIS-2-Umsetzung – Rechtssicherheit für Unternehmen erhofft, Neuregelungen für den Einsatz sogenannter Kritischer Komponenten könnten aber Investitionsentscheidungen negativ beeinflussen

datensicherheit.de, 13.11.2025
NIS-2 in Deutschland: Später Start erfordert nun Vertrauen und Klarheit zu schaffen / Die Umsetzung der NIS-2-Richtlinie steht unmittelbar auf der Agenda – die neuen Vorgaben sollen ohne Übergangsfrist gelten

datensicherheit.de, 18.10.2025
Umsetzung der NIS-2-Richtlinie: Verschleppung der Cybersicherheitsreform kritisiert / Die EU war lange Vorreiter bei Cybersicherheitsgesetzen – doch NIS-2 gilt als Richtlinie und nicht als direkt geltende Verordnung, wodurch ein „Flickenteppich“ nationaler Lösungen droht

datensicherheit.de, 16.10.2025
NIS-2: Genug Vorlauf – eco fordert nun Präzision / Der eco begrüßt sehr wohl die intensive politische Diskussion um die NIS-2-Richtlinie, betont aber, dass es nun an der Zeit ist, Rechtssicherheit zu schaffen

datensicherheit.de, 13.09.2025
Bitkom betont herausragende Bedeutung des KRITIS-Dachgesetzes für Deutschland / Die Umsetzungsfrist für das „KRITIS-Dachgesetz“ ist bereits am 18. Oktober 2024 verstrichen – gegen Deutschland läuft bereits ein „Vertragsverletzungsverfahren“ der EU-Kommission

datensicherheit.de, 01.08.2025
DSGVO und NIS-2 können und sollten Hand in Hand gehen / Wer sich bereits datenschutzkonform gemäß DSGVO aufgestellt hat, dem fällt auch die Cyberresilienz im NIS-2-Kontext leichter

datensicherheit.de, 01.08.2025
NIS-2-Regierungsentwurf: Claudia Plattner würdigt großen Schritt auf dem Weg zur Cybernation / Mit dem am 30. Juli 2025 vorgelegten Regierungsentwurf des Gesetzes zur Umsetzung der NIS-2-Richtlinie soll das deutsche IT-Sicherheitsrecht umfassend modernisiert werden

[datensicherheit.de, 13.11.2025] Mit der Verabschiedung des Gesetzes zur Umsetzung der EU-Richtlinie NIS-2 am 13. November 2025 durch den Bundestag wird nach Ansicht des Digitalverbands Bitkom die Cybersicherheit in Deutschland gestärkt und mehr Rechtssicherheit für Unternehmen geschaffen. Zugleich könnten die Neuregelungen für den Einsatz sogenannter Kritischer Komponenten erhebliche Auswirkungen auf die Investitionsentscheidungen von Unternehmen und damit die Digitalisierung in Deutschland haben.

Foto: Bitkom

Dr. Ralf Wintergerst warnt: Unternehmen brauchen verlässliche Rahmenbedingungen, Verbote können erhebliche Auswirkungen auf die Geschäftstätigkeit haben!

NIS-2-Richtlinie soll zur Stärkung der Resilienz und Cybersicherheit in der EU führen

„Die Umsetzung der europäischen NIS-2-Richtlinie war überfällig. Cyberangriffe bedrohen Wirtschaft, Verwaltung und Gesellschaft. Den deutschen Unternehmen ist so zuletzt ein jährlicher Schaden von 202 Milliarden Euro entstanden“, kommentiert der Bitkom-Präsident, Dr. Ralf Wintergerst.

• Ziel der NIS-2-Richtlinie sei die Stärkung von Resilienz und Cybersicherheit in den Mitgliedstaaten. Dafür sei unter anderem die Definition Kritischer Infrastruktur (KRITIS) erweitert und damit eine Vielzahl von Unternehmen zu besonderen Sicherheitsvorkehrungen verpflichtet worden.

Als „äußerst positiv“ bewertet Bitkom, dass im nun verabschiedeten Gesetz nachgelagerte Bundesbehörden in den Anwendungsbereich von NIS-2 einbezogen werden. Besonders in sensiblen Bereichen der Bundesverwaltung könnten Sicherheitslücken erhebliche finanzielle Schäden verursachen und das Vertrauen in demokratische Institutionen beschädigen.

Konsequent und richtig, dass auch Bundesbehörden NIS-2 genügen müssen

„Eine wirksame und glaubwürdige Cybersicherheitsarchitektur setzt voraus, dass der Staat selbst höchste Sicherheitsstandards einhält!“, betont Wintergerst. Es sei nur konsequent und richtig, dass Bundesbehörden künftig denselben Anforderungen beim Risikomanagement unterlägen wie regulierte Unternehmen.

• Dagegen seien die zuletzt in das Gesetzgebungsverfahren eingebrachten Neuregelungen zu sogenannten Kritischen Komponenten eher schädlich. Vorgesehen sei nun, dass das Bundesinnenministerium (BMI) in Abstimmung mit anderen Ressorts Kritische Komponenten definiere und künftig auch eigenständig deren Einsatz untersagen könne.

„Unternehmen brauchen verlässliche Rahmenbedingungen, Verbote können erhebliche Auswirkungen auf die Geschäftstätigkeit haben. Vor solch wichtigen Entscheidungen müssen die Betroffenen unbedingt vorab konsultiert werden“, unterstreicht Wintergerst.

Bitkom-Forderung, „KRITIS-Dachgesetz“ an „NIS-2-Umsetzungsgesetz“ anzupassen und zeitnah umzusetzen

Die Definition Kritischer Komponenten sollte nach Ansicht des Bitkom auch künftig auf Grundlage technischer Kriterien durch die Bundesnetzagentur (BNetzA) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) erfolgen.

• Um Deutschland vor Cyberangriffen zu schützen und einen ganzheitlichen Ansatz für digitale Sicherheit zu schaffen, sollten Unternehmen bei der praktischen Umsetzung der NIS-2-Anforderungen durch das BSI unterstützt werden.

Zudem müsse nun auch das „KRITIS-Dachgesetz“ an das „NIS-2-Umsetzungsgesetz“ angepasst und zeitnah umgesetzt werden.

Weitere Informationen zum Thema:

bitkom
Über uns

bitkom
Dr. Ralf Wintergerst – Präsident Bitkom / Vorsitzender der Geschäftsführung & Group CEO Giesecke+Devrient GmbH

datensicherheit.de, 13.11.2025
NIS-2 in Deutschland: Später Start erfordert nun Vertrauen und Klarheit zu schaffen / Die Umsetzung der NIS-2-Richtlinie steht unmittelbar auf der Agenda – die neuen Vorgaben sollen ohne Übergangsfrist gelten

datensicherheit.de, 18.10.2025
Umsetzung der NIS-2-Richtlinie: Verschleppung der Cybersicherheitsreform kritisiert / Die EU war lange Vorreiter bei Cybersicherheitsgesetzen – doch NIS-2 gilt als Richtlinie und nicht als direkt geltende Verordnung, wodurch ein „Flickenteppich“ nationaler Lösungen droht

datensicherheit.de, 16.10.2025
NIS-2: Genug Vorlauf – eco fordert nun Präzision / Der eco begrüßt sehr wohl die intensive politische Diskussion um die NIS-2-Richtlinie, betont aber, dass es nun an der Zeit ist, Rechtssicherheit zu schaffen

datensicherheit.de, 13.09.2025
Bitkom betont herausragende Bedeutung des KRITIS-Dachgesetzes für Deutschland / Die Umsetzungsfrist für das „KRITIS-Dachgesetz“ ist bereits am 18. Oktober 2024 verstrichen – gegen Deutschland läuft bereits ein „Vertragsverletzungsverfahren“ der EU-Kommission

datensicherheit.de, 01.08.2025
DSGVO und NIS-2 können und sollten Hand in Hand gehen / Wer sich bereits datenschutzkonform gemäß DSGVO aufgestellt hat, dem fällt auch die Cyberresilienz im NIS-2-Kontext leichter

datensicherheit.de, 01.08.2025
NIS-2-Regierungsentwurf: Claudia Plattner würdigt großen Schritt auf dem Weg zur Cybernation / Mit dem am 30. Juli 2025 vorgelegten Regierungsentwurf des Gesetzes zur Umsetzung der NIS-2-Richtlinie soll das deutsche IT-Sicherheitsrecht umfassend modernisiert werden

[datensicherheit.de, 12.11.2025] Laut dem aktuellen Jahresbericht des Bundesamtes für Sicherheit in der Informationstechnik (BSI) für den Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025 können Fortschritte bei der Cybersicherheit in Deutschland gemeldet werden – immer mehr Betreiber Kritischer Infrastrukturen (KRITIS) erfüllten die Mindestanforderungen und internationale Ermittlungen gegen Cyberkriminelle zeigen Wirkung. Dennoch bleibe die Lage angespannt, da die mangelnde Umsetzung von Schutzmaßnahmen dazu führe, dass digitale Systeme angreifbar blieben.

Foto: BMI, Hennig Schacht

Claudia Plattner warnt: Wir haben festgestellt, dass Cyberkriminelle überall dort eindringen, wo es ihnen möglich ist, und erst danach eruieren, welchen Schaden sie anrichten können… 

Bundesinnenminister und BSI-Präsidentin stellten BSI-Jahreslagebericht 2025 zur Cybersicherheit vor

Die KRITIS-Widerstandsfähigkeit nehme zu, indes bleibe Deutschland im Digitalen Raum immer noch verwundbar. Dies betonten Bundesinnenminister Alexander Dobrindt und BSI-Präsidentin Claudia Plattner bei der Vorstellung des BSI-Jahreslageberichts 2025 zur Cybersicherheit.

• Das bedeutet demnach: Viele digitale Systeme, Server und Online-Dienste sind weiterhin unzureichend geschützt und ermöglichen Angreifern, in Netzwerke einzudringen oder Daten zu stehlen.

Webanwendungen seien besonders häufig schlecht geschützt, auch Server oft falsch konfiguriert oder ungeschützt, und bekannte Sicherheitslücken würden oft zu spät oder gar nicht behoben.

Jede aus dem Internet erreichbare Institution oder Person prinzipiell bedroht

Zwischen Juli 2024 und Juni 2025 sei die Zahl der täglich neu entdeckten Schwachstellen um 24 Prozent gestiegen. Ein Grund sei: Mit fortschreitender Digitalisierung entstünden neue internetbasierte Anwendungen und Systeme. Werden diese nicht oder nicht gut genug geschützt, eröffneten sich potenzielle Einstiegspunkte für Cyberangriffe.

• Bundesinnenminister Dobrindt unterstrich: „Digitale Sicherheit ist eine Kernfrage staatlicher Souveränität. Deshalb geben wir unseren Sicherheitsbehörden die Befugnisse, die sie brauchen, um das Land wirksam zu schützen. Mit dem ,Cyberdome’ schaffen wir ein starkes Schild gegen Angriffe aus dem Netz. Der Schutz Deutschlands bleibt eine gemeinsame Aufgabe – von Staat, Wirtschaft und Gesellschaft!“

BSI-Präsidentin Plattner führte aus: „Wir müssen die ,Cybernation Deutschland’ weiterbauen und uns klarmachen: Jede aus dem Internet erreichbare Institution oder Person ist prinzipiell bedroht, Angreifer suchen gezielt nach den verwundbarsten Angriffsflächen. Ganz banal gesagt bedeutet das: ,Die Letzten beißen die Hunde!‘ Wir haben festgestellt, dass Cyberkriminelle überall dort eindringen, wo es ihnen möglich ist, und erst danach eruieren, welchen Schaden sie anrichten können. Nur, wer sich aktiv schützt, erhöht die Chancen, Gefährdungen zu entgehen oder Schadwirkungen zu minimieren!“

Organisierte Ransomware-Erpressergruppen bleiben größte Bedrohung

Finanziell motivierte Cyberangriffe (Cyber Crime) seien im Vergleich zum Vorjahr, 2024, um neun Prozent zurückgegangen. Dies sei unter anderem auf erfolgreiche internationale Ermittlungen unter Beteiligung von BKA und BSI zurückzuführen. Trotzdem blieben professionell organisierte Erpressergruppen, die mit Schadsoftware (Ransomware) arbeiteten, die größte Bedrohung.

• Auch staatlich gesteuerte Akteure, welche mit komplexen und langfristigen Attacken politische oder wirtschaftliche Ziele verfolgten, seien zunehmend aktiv. Angesichts globaler Konflikte träten weitere Risiken in den Vordergrund. Besonders im „Cloud“-Bereich, in der Energieversorgung und in der Fahrzeugindustrie bestehe die Gefahr, dass Hersteller oder Anbieter dauerhaft und unkontrolliert Zugriff auf Systeme und Daten behielten.

Während große Betreiber ihre Schutzmaßnahmen zunehmend ausbauten, fehlten Kleineren und Mittleren Unternehmen (KMU) dafür oft die Ressourcen und das Bewusstsein für die eigene Verwundbarkeit. Ähnliche Herausforderungen zeigten sich bei Kommunen, politischen Organisationen, Vereinen und Parteien.

Verbraucher noch immer zu sorglos hinsichtlich ihrer IT-Sicherheit

Auch viele Verbraucher gingen noch zu sorglos mit IT-Sicherheit um. Schutzmaßnahmen wie Passkeys oder starke Passwörter in Kombination mit Zwei-Faktor-Authentisierung (2fA) und regelmäßige Updates müssten Teil einer Verbesserung des Schutzes vor Angriffen werden.

• Hierbei seien insbesondere auch Hersteller und Anbieter in der Verantwortung, ihre Produkte und Dienste standardmäßig mit entsprechenden Schutzmaßnahmen auszustatten.

Zur weiteren Verbesserung der Widerstandsfähigkeit im Cyberbereich werde das Bundesministerium des Innern (BMI) den „Cyberdome“ aufbauen – ein teilautomatisiertes System zur Detektion und Analyse von Angriffen sowie zur Reaktion darauf. Außerdem würden die Cyberabwehrbefugnisse der Sicherheitsbehörden gestärkt, damit schwerwiegende Angriffe aktiv verhindert, abgemildert oder gestoppt werden könnten.

Weitere Informationen zum Thema:

Bundesamt für Sicherheit in der Informationstechnik
Auftrag / Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die Cybersicherheitsbehörde des Bundes und Gestalter einer sicheren Digitalisierung in Deutschland.

Bundesamt für Sicherheit in der Informationstechnik
Die Leitung des BSI / Die Präsidentin – Claudia Plattner

Bundesamt für Sicherheit in der Informationstechnik
Die Lage der IT-Sicherheit in Deutschland 2025 / Berichtszeitraum: 01.07.2024 – 30.06.2025

Bundesamt für Sicherheit in der Informationstechnik
Vision: Wir bauen gemeinsam die Cybernation Deutschland

Die Bundesregierung
Alexander Dobrindt – Bundesminister des Innern

heise online, Martin Holland, 30.06.2025
Kooperation mit Israel: Bundesinnenminister plant „Cyberdome“ für Deutschland / Alexander Dobrindt hat bei einem Besuch in Israel eine engere Zusammenarbeit im Bereich Cyberabwehr und Zivilschutz vereinbart. Er nennt das einen „Cyberdome“.

datensicherheit.de, 12.11.2025
Bitkom-Kommentar zum BSI-Lagebericht 2025: Deutschland eines der Top-Ziele Cyberkrimineller / Durch Cyberangriffe ist der deutschen Wirtschaft laut Bitkom zuletzt ein Rekordschaden von 202 Milliarden Euro entstanden

datensicherheit.de, 04.10.2025
Qilin-Gruppe dominiert: Ransomware-Angriffe auf deutsche Industrie nehmen zu / „Die Ransomware-Lage in Deutschland und Europa bleibt angespannt“, unterstreicht Abdulrahman H. Alamri und verweist auf die „Dragos Industrial Ransomware Analysis Q2 2025“

datensicherheit.de, 02.10.2025
Acronis: Ransomware dominiert Bedrohung im European Cybersecurity Month 2025 / Die Notwendigkeit des „European Cybersecurity Month“ unterstreichen laut Acronis aktuelle eigene Erkenntnisse – in der ersten Jahreshälfte 2025 blieb Ransomware weltweit die dominierende Bedrohung…

datensicherheit.de, 29.08.2025
Sophos: Ransomware setzt Einzelhandel massiv unter Druck – IT-Teams gelangen ans Limit / Anteil der Einzelhandelsunternehmen, welche zur Datenwiederherstellung nach einem Ransomware-Angriff Lösegeld zahlen, im Vergleich zu Vorjahren stark angestiegen

datensicherheit.de, 01.08.2025
NIS-2-Regierungsentwurf: Claudia Plattner würdigt großen Schritt auf dem Weg zur Cybernation / Mit dem am 30. Juli 2025 vorgelegten Regierungsentwurf des Gesetzes zur Umsetzung der NIS-2-Richtlinie soll das deutsche IT-Sicherheitsrecht umfassend modernisiert werden

[datensicherheit.de, 21.10.2025] Kai Thomsen, „Director of Global Incident Response Services“ bei Dragos, greift in seiner aktuellen Stellungnahme ein für Experten der OT-Sicherheit signifikantes „Jubiläum“ auf: „Vor 15 Jahren im Sommer 2010 machte ,Stuxnet’ erstmals der Öffentlichkeit bewusst, dass Cyberangriffe nicht nur digitale Systeme treffen, sondern auch reale, physische Schäden anrichten können.“ Diese Schadsoftware griff Steuerungs- und Automatisierungssysteme an – und legte damit offen, wie verwundbar physische Prozesse in Kritischen Infrastrukturen (KRITIS) sind. Seitdem hätten sich Angriffe auf OT-Systeme deutlich weiterentwickelt.

Foto: Dragos

Kai Thomsen: „Stuxnet“ blieb kein Einzelfall – inzwischen sind mindestens neun Schadprogramme bekannt, die gezielt auf industrielle Steuerungs- und Automatisierungssysteme ausgelegt sind

Dragos-Warnung vor neuen Schadprogrammen und immer engeren Verbindungen zwischen staatlichen Akteuren und kriminellen Gruppen

Thomsen führt aus: „Am 22. Juli 2025 sprach Robert M. Lee, CEO und Mitgründer des OT-Sicherheitsunternehmens Dragos, vor dem US-Kongress:

• Er warnte vor einer wachsenden Zahl von Angreifern, neuen Schadprogrammen und immer engeren Verbindungen zwischen staatlichen Akteuren und kriminellen Gruppen.“

Gleichzeitig habe er aufgezeigt, dass viele Angriffe nicht erfolgreich verliefen, weil Fachwissen und Abwehrmechanismen inzwischen deutlich besser entwickelt seien. Die größte Lücke liege laut Lee nicht in der Technik, sondern in der Umsetzung.

„Stuxnet“ – Dragos fasst zentrale Erkenntnisse zusammen

„Die folgenden sechs Punkte fassen die Lehren zusammen, die sich seit ,Stuxnet’ herausgebildet haben und die heute wichtiger für die OT sind als je zuvor:“

1. OT als Rückgrat Kritischer Infrastrukturen
   „Stuxnet“ habe deutlich gemacht, dass Angriffe auf industrielle Steuerungs- und Automatisierungssysteme (ICS/OT) direkte Auswirkungen auf physische Prozesse haben könnten.
   „Während IT-Systeme vor allem die Integrität und Verfügbarkeit von Daten schützen sollen, steht in der OT die sichere und zuverlässige Steuerung industrieller Abläufe im Mittelpunkt.“
   Ein erfolgreicher Angriff könne Maschinen beschädigen, Anlagen stilllegen und im schlimmsten Fall Menschenleben gefährden. Trotzdem fließe der Großteil der Cybersicherheitsbudgets noch immer in IT-Systeme. „Dieses Ungleichgewicht besteht bis heute.“
2. Reale, vielschichtige und weiter zunehmende Bedrohung
   „,Stuxnet’ blieb kein Einzelfall. Inzwischen sind mindestens neun Schadprogramme bekannt, die gezielt auf industrielle Steuerungs- und Automatisierungssysteme ausgelegt sind.“
   Über 25 staatliche und nichtstaatliche Gruppen hätten ihren Fokus auf OT-Umgebungen ausgerichtet. Einige sammelten Informationen, andere störten bereits aktiv die Stromversorgung, Wassersysteme oder die Rüstungsproduktion. Besonders gefährlich sei „PIPEDREAM“. Dieses modulare Angriffstool lasse sich flexibel in verschiedenen Branchen einsetzen und skalieren.
   Auch nichtstaatliche Akteure erlangten inzwischen bislang nur staatlich geförderten Akteuren vorbehaltene Fähigkeiten. Durch weltweite Vernetzung und zunehmende Professionalisierung von Ransomware- und „Hacktivisten“-Gruppen steige das Risiko groß angelegter, koordinierter Angriffe deutlich.
3. Machbare Verteidigung auf Basis stimmiger Grundlagen
   Trotz der komplexen Bedrohungslage zeige sich eine klare Erkenntnis: „Angriffe auf OT-Systeme lassen sich abwehren.“ Analysen belegten, dass bereits fünf grundlegende Schutzmaßnahmen einen Großteil aller Vorfälle verhindern könnten.
   Besonders wichtig sei Sichtbarkeit im Netzwerk. Ohne ein klares Bild von den „Assets“ und Bedrohungen im eigenen System blieben selbst professionelle Angriffe oft über lange Zeit unentdeckt.
   Aus der Praxis gebe es zahlreiche Beispiele. „Selbst kleinere Versorger haben sich erfolgreich gegen hochentwickelte Angriffe behauptet, wenn ihre Sicherheitsstrategien klar definiert und konsequent umgesetzt waren.“
4. Kooperation des öffentlichen und privaten Sektors ein Muss
   Staatliche Stellen, Nachrichtendienste, CERTs und Unternehmen müssten eng zusammenarbeiten, um OT-Systeme wirksam zu schützen.
   „Damit solche Kooperationen Erfolg haben, braucht es klare Zuständigkeiten, abgestimmte Abläufe und ein gemeinsames Verständnis der Bedrohungslage.“ Einzelne Initiativen wie das „Electricity Information Sharing and Analysis Center“ (E-ISAC) gälten als gute Beispiele.
   Viele Partnerschaften blieben jedoch zu unkonkret, schlecht koordiniert oder zu breit angelegt, um Wirkung zu entfalten. Ohne klare Schwerpunkte und gegenseitige Verpflichtung bleibe das Potenzial ungenutzt.
5. Regulierung verständlich und praxisnah
   Die größte Hürde beim Schutz kritischer OT-Infrastrukturen sei nicht der Mangel an Know-how oder technischen Lösungen. „Viel schwerer wiegen unklare, widersprüchliche oder überfrachtete Vorgaben.“
   Betreiber sähen sich häufig mit einer Vielzahl an Regelwerken verschiedener Stellen konfrontiert. Diese seien oft doppelt, unkoordiniert oder nicht auf OT-Systeme zugeschnitten. „Was fehlt, ist eine abgestimmte Regulierung, die von der Industrie mitgestaltet wird, sich an realen Bedrohungen orientiert, klare Ziele vorgibt und dabei genug Spielraum für konkrete, unternehmensspezifische Umsetzungen lässt.“
   Kritische Infrastrukturen ließen sich nur dann wirksam absichern, „wenn auch die vorgelagerten Bereiche zuverlässig geschützt sind“. Die Risiken entstehen laut Thomsen oft nicht erst beim Betreiber, sondern bereits bei den Zulieferern. Ungeprüfte Technik oder unsichere Hersteller könnten ganze Systeme gefährden.
6. Bekannte Maßnahmen harren der Umsetzung
   15 Jahre nach „Stuxnet“ sei klar, dass die Bedrohungslage weiter zunehme. Gleichzeitig stehe heute mehr Wissen über wirksame Schutzmaßnahmen zur Verfügung als je zuvor.
   Der nächste Schritt bestehe darin, dieses Wissen flächendeckend anzuwenden. „Dafür braucht es klare Zuständigkeiten, entschlossenes Handeln und eine Zusammenarbeit, die nicht an Abteilungsgrenzen endet!“, betont Thomsen.
   Dragos bietet nach eigenen Angaben effektive OT-Cybersicherheitstechnologie für industrielle und Kritische Infrastrukturen, um seine globale Mission zu verwirklichen: „Die Zivilisation zu schützen.“ Dragos habe fast zehn Jahre praktische Erfahrung im Umgang mit schwerwiegenden Angriffen auf OT-Netzwerke und kenne die Komplexität und Risiken industrieller Umgebungen. Diese verfügten häufig über ein enormes Ausmaß, stützen sich auf einzigartigen Systemen, unterlägen hohen Anforderungen an die Verfügbarkeit und ließen sich nicht durch Lösungen zur IT- Cybersicherheit schützen.

Weitere Informationen zum Thema:

DRAGOS
Dragos Makes Defense Doable / Build your cybersecurity program with the platform, threat intelligence, and services designed for how OT works

DRAGOS
Kai Thomsen: Director, Global Incident Response Services

datensicherheit.de, 11.11.2014
Stuxnet: Kaspersky Lab identifiziert die ersten fünf Opfer / Neue Analyse: Infizierung über Lieferkette / Erste Attacke nicht via USB-Stick

datensicherheit.de, 28.11.2010
Stuxnet als ernstzunehmende Bedrohung: Infrastrukturbetreiber sollten Gefahr nicht unterschätzen / Norwegischer IT-Security-Spezialist Norman warnt vor künftiger Verbreitung über Laptops oder Mobilgeräte

datensicherheit.de, 18.10.2010
Abwehr von Stuxnet-Angriffen durch Sicherheitszone für die Produktionsabteilung / GeNUA Fernwartungs-Appliance „GeNUBox“ verhindert einseitige Zugriffe von außen

datensicherheit.de, 03.10.2010
ENISA-Chef Dr. Udo Helmbrecht: Stuxnet stellt Paradigmenwechsel dar / Jüngste Attacke sei als „first strike“ gegen kritische Informationsinfrastruktur zu werten

[datensicherheit.de, 13.09.2025] Das Bundeskabinett hat am 10. September 2025 das „KRITIS-Dachgesetz“ beschlossen, mit dem die entsprechende EU-Richtlinie in deutsches Recht überführt werden soll. Unter anderem werde Betreibern Kritischer Infrastruktur (KRITIS) eine Risikobewertung für hybride Bedrohungen vorgeschrieben. Die Umsetzungsfrist dafür ist bereits am 18. Oktober 2024 verstrichen – gegen Deutschland läuft deshalb bereits ein „Vertragsverletzungsverfahren“ der EU-Kommission.

Foto: Bitkom

Dr. Ralf Wintergerst: Entscheidung des Bundeskabinetts ist längst überfällig, denn Deutschland steht beim „KRITIS-Dachgesetz“ unter Zeitdruck!

„KRITIS-Dachgesetz“ mit herausragende Bedeutung für den Schutz Kritischer Infrastrukturen in Deutschland

Der Bitkom-Präsident, Dr. Ralf Wintergerst, kommentiert: „Das ,KRITIS-Dachgesetz’ hat herausragende Bedeutung für den Schutz Kritischer Infrastrukturen in Deutschland.

• Die Entscheidung des Bundeskabinetts ist längst überfällig, denn Deutschland steht beim ,KRITIS-Dachgesetz’ unter Zeitdruck!“

Dies dürfe bei diesem für die Sicherheit so wichtigen Projekt aber keine Entschuldigung für handwerkliche Nachlässigkeiten sein. So gebe es viele Überschneidungen mit der NIS-2-Richtlinie, die derzeit ebenfalls umgesetzt werde.

Kritik: Erhebliche Teile der Bundesverwaltung und Landesverwaltungen vom „KRITIS-Dachgesetz“ ausgenommen

Dabei würden allerdings Begriffe unterschiedlich verwendet und Anforderungen an die Unternehmen unterschiedlich ausgestaltet. „Zusammen mit drohenden Doppelregulierungen für Branchen, die bereits heute spezifischen Sicherheitsanforderungen unterliegen, drohen hier Rechtsunsicherheiten und ein unnötig hoher bürokratischer Aufwand“, warnt Wintergerst.

• Unverständlich sei auch, dass erhebliche Teile der Bundesverwaltung vom Gesetz ausgenommen würden – „und Landesverwaltungen überhaupt nicht berücksichtigt werden“.

Dies bedeute, dass staatliche Behörden und Verwaltungs-Infrastruktur weiterhin physischen und hybriden Risiken ausgesetzt blieben. „Bequemlichkeit und Kosten dürfen nicht dazu führen, dass wir auf ein höheres Sicherheitsniveau im Kernbereich des Staats verzichten!“, stellt Wintergerst klar.

Weitere Informationen zum Thema:

bitkom
Über uns

bitkom
Dr. Ralf Wintergerst / Präsident Bitkom / Vorsitzender der Geschäftsführung & Group CEO Giesecke+Devrient GmbH

bitkom
Stellungnahme: KRITIS-Dachgesetz (2025)

datensicherheit.de, 12.09.2025
Kabinettsbeschluss zum KRITIS-Dachgesetz: eco sieht Eile geboten – aber ohne doppelte Pflichten / Der eco begrüßt das Voranschreiten in geopolitisch angespannten Zeiten, moniert aber fehlende Rechtsverordnung zu Schwellenwerten, drohende Doppelregulierungen sowie unklare Zuständigkeiten

datensicherheit.de, 07.11.2024
KRITIS-Dachgesetz: Bitkom begrüßt Umsetzung und stellt Forderungen auf / Laut Bitkom in Fragen der Sicherheit keine Trendwende – 86 Prozent der KRITIS-Unternehmen in den vergangenen zwölf Monaten von analogen oder digitalen Angriffen betroffen

datensicherheit.de, 05.09.2023
KRITIS-Dachgesetz: eco moniert drohende Doppelregulierung und Rechtsunsicherheiten / KRITIS-DachG soll erstmals bundesweit einheitliche Vorgaben zum physischen Schutz kritischer Anlagen machen

datensicherheit.de, 06.12.2022
KRITIS-Dachgesetz geplant: Sinnvolle Regulierung mit Augenmaß gefordert / Verabschiedung von Eckpunkten für einheitliche Schutzstandards in KRITIS-Unternehmen am 7. Dezember 2022 geplant

[datensicherheit.de, 12.09.2025] Der eco – Verband der Internetwirtschaft e.V. nimmt Stellung zu dem am 10. September 2025 vom Bundeskabinett beschlossen Referentenentwurf für das „KRITIS-Dachgesetz“ (KRITIS DG): Damit sei der Weg für das weitere parlamentarische Verfahren freigemacht. Erstmals würden nun bundesweit einheitliche Vorgaben für den physischen Schutz Kritischer Infrastrukturen (KRITIS) geschaffen und die europäische CER-Richtlinie (Critical Entities Resilience Directive) in deutsches Recht umgesetzt.

Foto: eco

Ulrich Plate: Seine Wirkung wird das „KRITIS-Dachgesetz“ nur dann entfalten, wenn Zuständigkeiten klar geregelt sind und unnötige Doppelarbeit vermieden wird!

eco sieht noch „erhebliche Baustellen“

Der eco begrüßt die „schnelle Gesetzgebung angesichts geopolitischer Turbulenzen und des bereits laufenden Vertragsverletzungsverfahrens der EU“. Allerdings sieht er noch „erhebliche Baustellen“ – so fehlende Rechtsverordnungen, drohende Überschneidungen mit dem „NIS-2-Umsetzungsgesetz“ und unklare Zuständigkeiten zwischen Bund, Ländern sowie den Behörden Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) und Bundesamt für Sicherheit in der Informationstechnik (BSI).

• „Eile ist notwendig, aber es darf nicht zu doppelten Pflichten für Unternehmen kommen!“, unterreicht Ulrich Plate, Leiter der eco-Kompetenzgruppe „Kritische Infrastrukturen“.

Kritisch bewertet der Verband zudem die vorgesehenen Sanktionsmechanismen, welche bislang noch „zu unbestimmt“ seien. Der eco fordert stattdessen ein „transparentes Stufenmodell“, welches zunächst Nachbesserungen ermögliche und erst danach Sanktionen vorsehe.

eco lobt einheitlichen Rahmen für den KRITIS-Schutz

Positiv hebt der Verband hervor, dass mit diesem Gesetz ein „einheitlicher Rahmen für den Schutz Kritischer Infrastrukturen“ geschaffen werde – über die Cybersicherheit hinaus auch gegen physische Gefahren wie Naturkatastrophen, Sabotage oder Terrorismus.

Entscheidend für die weitere Debatte sind laut eco nun folgende drei Punkte:

1. Rechtsverordnung zu kritischen Dienstleistungen und Schwellenwerten,
   damit Unternehmen ihre Pflichten klar einschätzen können.
2. Harmonisierung mit NIS-2,
   um Doppelregulierungen bei Risikoanalysen, Prüfungen und Meldepflichten zu vermeiden.
3. Klare Rollenverteilung zwischen Bund, Ländern, BBK und BSI,
   um Schnittstellenprobleme zu verhindern.

„Das ,KRITIS-Dachgesetz’ ist ein wichtiger Schritt für mehr Resilienz in Deutschland. Seine Wirkung wird aber nur dann entfaltet, wenn Zuständigkeiten klar geregelt sind und unnötige Doppelarbeit vermieden wird!“, so Plates aktuelles Fazit.

Weitere Informationen zum Thema:

eco VERBAND DER INTERNETWIRTSCHAFT
Über uns / eco – Verband der Internetwirtschaft e.V. Wir gestalten das Internet.

eco VERBAND DER INTERNETWIRTSCHAFT
KRITIS / KG-Leiter Ulrich Plate

datensicherheit.de, 07.11.2024
KRITIS-Dachgesetz: Bitkom begrüßt Umsetzung und stellt Forderungen auf / Laut Bitkom in Fragen der Sicherheit keine Trendwende – 86 Prozent der KRITIS-Unternehmen in den vergangenen zwölf Monaten von analogen oder digitalen Angriffen betroffen

datensicherheit.de, 05.09.2023
KRITIS-Dachgesetz: eco moniert drohende Doppelregulierung und Rechtsunsicherheiten / KRITIS-DachG soll erstmals bundesweit einheitliche Vorgaben zum physischen Schutz kritischer Anlagen machen

datensicherheit.de, 06.12.2022
KRITIS-Dachgesetz geplant: Sinnvolle Regulierung mit Augenmaß gefordert / Verabschiedung von Eckpunkten für einheitliche Schutzstandards in KRITIS-Unternehmen am 7. Dezember 2022 geplant

[datensicherheit.de, 09.09.2025] Digitale Souveränität gillt längst mehr als ein Schlagwort nur aus der Politik, denn wer IT-Systeme zuverlässig schützen möchte, muss gesichert wissen, auf welche Technologien rechtlich, technisch und strategisch überhaupt Verlass ist. Im neuen Positionspapier „Made in EU – IT-Sicherheit und digitale Souveränität“ des europäischen IT-Sicherheitsanbieters ESET wird deutlich gemacht, warum die Herkunft von Produkten, Services und Herstellern heute eine zentrale Rolle für Vertrauen spielt. Gleichzeitig soll das Papier aufzeigen, wie europäische Sicherheitslösungen Organisationen helfen könnten, widerstandsfähiger zu werden und ihre digitale Unabhängigkeit zu stärken.

Abbildung: eseT

ESET-Positionspapier: Digitale Souveränität ist längst mehr als ein Schlagwort aus der Politik!

Strategischer Überblick für Entscheider: IT-Sicherheit mehr als nur eine technische Frage

„Das Papier richtet sich an alle, die IT-Sicherheit nicht nur als technische Frage verstehen, sondern auch Herkunft und Vertrauen in den Blick nehmen.“ Angesprochen seien Unternehmen genauso wie Behörden und politische Entscheider.

• „Wer Digitale Souveränität ernst meint, braucht Lösungen, die transparent sind, rechtlich Bestand haben und zugleich langfristig tragfähig bleiben!“

Dabei gelte es den schwierigen Spagat zwischen europäischen Regelwerken wie „NIS-2“, „DORA“ oder „Cyber Resilience Act“ und der praktischen, bezahlbaren Umsetzung zu meistern. Die Kernfrage dabei lautet demnach: „Wie kann Europa seine digitale Unabhängigkeit sichern und dabei trotzdem den Innovationsgeist bewahren?“

Vertrauen kann wachsen, wenn Organisationen die Kontrolle über ihre IT-Systeme zurückgewinnen

„Digitale Souveränität beginnt dort, wo Organisationen die Kontrolle über ihre Systeme zurückgewinnen“, betont Holger Suhl, „Country Manager DACH“ bei ESET. Indes stellt er auch klar: „Vertrauen lässt sich nicht verordnen. Es muss durch Transparenz, nachvollziehbare Technologie und eine klare Herkunftspolitik verdient werden.“

• Das nun vorliegende Positionspapier rücke einen Ansatz in den Fokus, welcher in Europa zunehmend an Bedeutung gewinne: IT-Sicherheit als präventive, systemisch gedachte Aufgabe. Der von ESET verfolgte Weg beginne nicht erst bei der Reaktion auf einen Vorfall, sondern bei der strukturellen Risikominimierung. Sichere Voreinstellungen, kontinuierliche Systemhärtung und ein durchdachtes „Zero Trust“-Modell schafften eine Architektur, „die Angriffe möglichst früh erkennt, bevor sie wirksam werden“.

Unterstützt werde dieser Weg durch automatisierte Analysen, etwa mit dem KI-gestützten „AI Advisor“, sowie durch „Managed Detection and Response“-Dienste, welche rund um die Uhr auf Anomalien reagierten. Wichtig sei dabei nicht nur die Technologie, sondern auch deren Herkunft: „Die Module werden vollständig in Europa entwickelt und betrieben. Damit erfüllen sie nicht nur funktionale Anforderungen, sondern auch zentrale Kriterien für Datenschutz, Transparenz und Kontrollierbarkeit.“

Weitere Informationen zum Thema:

eseT
IT-Sicherheit ist Vertrauenssache / ESET Positionspapier „Made in EU – IT-Sicherheit und Digitale Souveränität“

eseT, Michael Klatte, Juni 2025
POSITIONSPAPIER: Made in EU – IT-Sicherheit und Digitale Souveränität

connect professional, Daniel Dubsky, 04.04.2018
Holger Suhl folgt auf Stefan Thiel bei Eset / Nach mehr als vier Jahren an der Spitze von Eset in der DACH-Region wechselt Stefan Thiel zu Mimecast. Sein Nachfolger wird mit Holger Suhl der frühere Deutschlandchef von Kaspersky.

datensicherheit.de, 21.08.2025
IT-Sicherheit „Made in EU“: Deutsche Unternehmen streben digitale Souveränität an / Laut neuer ESET-Studie beabsichtigen drei Viertel der wechselbereiten Unternehmen künftig europäische IT-Sicherheitslösungen einzusetzen

datensicherheit.de, 16.08.2025
Mehr digitale Souveränität und Resilienz – Cybersicherheit neu gedacht / Die Cybersicherheitslandschaft in Europa verändert sich deutlich: Unternehmen stehen vor einer von zunehmenden Bedrohungen, KI-Durchdringung und wachsendem Bewusstsein für Digitale Souveränität geprägten Zeitenwende

datensicherheit.de, 07.08.2025
Sicheres Vertragsmanagement: Digitale Souveränität als Notwendigkeit / Die US-Abhängigkeit stellt ein erhebliches Risiko für die Datenhoheit, „Compliance“ und Innovationsfähigkeit europäischer Betriebe dar – umso wichtiger ist es, die eigene Digitale Souveränität zu stärken

datensicherheit.de, 07.08.2025
Digitale Souveränität statt Digitaler Naivität – Europas IT-Sicherheitsstrategie auf dem Prüfstand / Der aktuelle EU-Fortschrittsbericht zur „Digitalen Dekade 2030“ zeigt auf, dass vielen EU-Mitgliedstaaten das Verfehlen zentraler Ziele droht – gleichzeitig wächst die Abhängigkeit von nicht-europäischen Anbietern im Bereich der IT-Sicherheit

datensicherheit.de, 21.07.2025
Digitale Souveränität: Europäischer Datenspeicher zur Resilienzstärkung / Datensicherheit im geopolitischen Spannungsfeld – Digitale Souveränität keine theoretische Debatte, sondern strategische Notwendigkeit

datensicherheit.de, 11.07.2025
Cybersicherheit: Deutsche Unternehmen setzen zunehmend auf Digitale Souveränität / Laut einer neuen Studie von HarfangLab messen 81 Prozent der Führungsetagen in deutschen Unternehmen Digitaler Souveränität heute mehr Bedeutung zu als noch vor einem Jahr