NIS-2: Was Betreiber kritischer Ver- und Entsorgungsinfrastrukturen jetzt von DORA lernen sollten

Mit NIS-2 verschärfte die Europäische Union 2024 die Anforderungen an Cybersicherheit, Risikomanagement und Lieferkettensicherheit. Für Betreiber von Wasser-, Abwasser- und Abfallinfrastrukturen rückten damit neue Fragen in den Mittelpunkt: Welche Dienstleister und Systeme sind für die Versorgung unverzichtbar? Wo bestehen kritische Abhängigkeiten? Und lassen sich Risiken, Maßnahmen und Verantwortlichkeiten im Prüfungsfall lückenlos nachweisen?

Banken und Versicherungen kennen diese Aufgaben bereits aus dem „Digital Operational Resilience Act“, kurz DORA. Die EU-Verordnung verpflichtet Finanzunternehmen seit Anfang 2025 zu umfangreichen Maßnahmen zur Stärkung ihrer digitalen Widerstandsfähigkeit. Während DORA ausschließlich für den Finanzsektor gilt, nimmt NIS-2 deutlich mehr Branchen in die Pflicht. „Viele Unternehmen betrachten Cyberresilienz zunächst vor allem als technische Aufgabe“, erklärt Robin Schmeisser, Geschäftsführer der Fabasoft Contracts GmbH. „Die Erfahrungen mit DORA zeigen jedoch, dass die größeren Hürden oft bei Transparenz, Nachweisfähigkeit und organisatorischer Umsetzung liegen.“

Konkret lassen sich fünf Lehren für NIS-2-betroffene Unternehmen ableiten:

1. Sicherheit endet nicht an der Unternehmensgrenze
Lange konzentrierte sich Cybersicherheit vor allem auf die Absicherung der eigenen Systeme und Prozesse. Die Erfahrungen aus der Finanzbranche zeigen jedoch, dass Risiken zunehmend außerhalb der eigenen Unternehmensgrenzen entstehen: Laut der österreichischen Finanzmarktaufsicht (FMA) hatten mehr als 50 Prozent der seit Inkrafttreten von DORA gemeldeten Sicherheitsvorfälle ihren Ursprung bei einem IKT-Drittdienstleister.[1]

Deshalb messen DORA und NIS-2 dem Management von Drittparteien und Lieferkettenrisiken deutlich mehr Bedeutung bei als frühere Regelwerken. Für NIS-2-Unternehmen ergibt sich daraus eine klare Lehre: Die eigene Sicherheitsstrategie darf nicht an der Unternehmensgrenze enden. Resilienz erfordert einen ganzheitlichen Blick auf die gesamte digitale Infrastruktur – einschließlich Leit-, Prozess- und IT-Systemen sowie externer Dienstleister. „Die Sicherheit eines Unternehmens hängt heute immer stärker von der Sicherheit seiner Dienstleister ab“, bemerkt Schmeisser. „Wer nur die eigenen Systeme betrachtet, übersieht einen wesentlichen Teil des tatsächlichen Risikos.“

2. Kritische Abhängigkeiten erkennen
Im Zuge der DORA-Umsetzung mussten sich Finanzunternehmen systematisch mit ihrer tatsächlichen Abhängigkeit von einzelnen IT-Dienstleistern auseinandersetzen. Dabei wurde deutlich, dass zahlreiche Geschäftsprozesse von wenigen Anbietern abhängen, für die es häufig keine belastbaren Ausstiegsstrategien oder -pläne gab.[2]

Auch wenn NIS-2 keine expliziten Exit-Pläne wie DORA fordert, lässt sich daraus eine wichtige Erkenntnis ableiten: Organisationen sollten kritische Abhängigkeiten frühzeitig identifizieren und sich mit möglichen Alternativen auseinandersetzen. Wer seine digitalen Abhängigkeiten kennt, kann Betriebsunterbrechungen vermeiden und die Versorgungssicherheit erhöhen. „Entscheidend ist nicht allein, ob ein Dienstleister heute zuverlässig arbeitet“, erklärt Schmeisser. „Unternehmen müssen auch wissen, welche Folgen ein Ausfall hätte, wie schnell sich eine Alternative aktivieren ließe und welche vertraglichen oder technischen Hürden einem Wechsel entgegenstünden.“

3. Drittdienstleister aktiv steuern
Nach Auswertung der österreichischen Finanzmarktaufsicht (FMA) stellte das IKT-Drittparteienrisikomanagement für viele Finanzunternehmen die größte Herausforderung bei der DORA-Umsetzung dar.[3] Gefordert sind unter anderem Dokumentations- und Berichtspflichten, Risikobewertungen, Due Diligence, die laufende Aktualisierung von Lieferanteninformationen sowie die Anpassung bestehender Verträge. Vor-Ort-Prüfungen der Behörden zeigten lückenhafte Inventare, unvollständige Funktionen und Prozesse, unklare Verantwortlichkeiten sowie mangelnde Datenqualität. Zudem waren IKT-Drittdienstleister häufig nicht ausreichend in die Prozesse eingebunden, und notwendige vertragliche Anpassungen fehlten.[2]

„Das Management von Drittdienstleistern geht weit über klassische Lieferantenverwaltung hinaus“, sagt Schmeisser. „Es ist eine kontinuierliche Governance-Aufgabe, die belastbare Prozesse und aktuelle Daten voraussetzt.“ NIS-2-pflichtige Unternehmen sollten diesen Aufwand nicht unterschätzen. Betreiber kritischer Infrastrukturen sind auf zahlreiche externe IT-, Automatisierungs- und Instandhaltungsdienstleister angewiesen. Die frühzeitige zentrale Erfassung aller relevanten Dienstleisterinformationen sowie der Aufbau strukturierter Prozesse für das Drittparteienmanagement können späteren Hürden erheblich vorbeugen. KI-gestütztes Vertragsmanagement unterstützt dabei, Verträge effizient auf regulatorische Risiken zu prüfen und erforderliche Anpassungen schneller umzusetzen.

4. Compliance muss nachweisbar sein
Festgelegte Prozesse allein reichen nicht aus, um regulatorische Anforderungen zu erfüllen. „Viele Finanzinstitute verfügten grundsätzlich über Abläufe für das Auslagerungsmanagement“, sagt Schmeisser. „Die Herausforderung bestand jedoch darin, die tatsächliche Durchführung jedes einzelnen Prozessschritts in einer Prüfungssituation belegen zu können.“ Betroffen waren etwa Risikoanalysen, Kritikalitätsbewertungen, Freigaben, regelmäßige Kontrollen sowie die Neubewertung bestehender Dienstleister. Die erforderlichen Informationen waren häufig über E-Mails, Tabellen und verschiedene Fachanwendungen verteilt. Entsprechend schwierig war es, Entscheidungen und Prozessschritte lückenlos nachzuvollziehen.

Für die Vorbereitung auf NIS-2 ist es daher essenziell, Governance-, Risiko- und Kontrollprozesse von Beginn an transparent und nachvollziehbar zu gestalten. Digitale Workflows können Prozessschritte automatisiert steuern, Verantwortlichkeiten eindeutig zuordnen und Tätigkeiten revisionssicher dokumentieren. Audit-Trails und elektronische Workflow-Unterschriften ermöglichen es, jederzeit nachzuweisen, wer wann Bewertungen durchgeführt, Entscheidungen getroffen oder Freigaben erteilt hat.

5. NIS-2 ist kein IT-Projekt
Sowohl NIS-2 als auch DORA adressieren die Verantwortung der Unternehmensleitung und verlangen einen organisationsweiten Umgang mit Cyberrisiken. Die DORA-Erfahrungen zeigen, dass digitale Resilienz eine Querschnittsdisziplin ist: IT, Lieferantenmanagement, Risikomanagement, Compliance, Einkauf, Fachbereiche und Unternehmensleitung müssen eng zusammenarbeiten.

Im ersten Jahr der DORA-Anwendung zeigte sich jedoch, dass die Führungsebene in vielen Finanzunternehmen nicht ausreichend in die erforderlichen Prozesse eingebunden war. Dadurch wurden notwendige Maßnahmen häufig nicht genehmigt und überwacht.[2]
„NIS-2-betroffene Organisationen sollten die Umsetzung als unternehmensweites Governance-Projekt verstehen“, rät Schmeisser. „Werden alle relevanten Stakeholder frühzeitig eingebunden, Verantwortlichkeiten klar verteilt und die Geschäftsführung aktiv beteiligt, lassen sich Entscheidungen schneller treffen, Maßnahmen konsequenter umsetzen und regulatorische Anforderungen dauerhaft im Unternehmen verankern.“

Schlussfolgerung
Cyberresilienz entsteht nicht allein durch technische Sicherheitsmaßnahmen. Entscheidend sind Transparenz über IKT-Dienstleister, klare Verantwortlichkeiten und lückenlos nachweisbare Prozesse. NIS-2-betroffene Unternehmen sollten deshalb ihre digitalen Abhängigkeiten frühzeitig erfassen, Dienstleister systematisch steuern und Governance-Prozesse revisionssicher dokumentieren. Wer diese Grundlagen schafft, erfüllt nicht nur regulatorische Anforderungen effizienter, sondern stärkt zugleich die Sicherheit und Stabilität kritischer Ver- und Entsorgungsinfrastrukturen.

Quelle: Fabasoft Contracts GmbH

 

Quellen:
[1] KPMG Cybersecurity in Österreich 2026, https://kpmg.com/at/de/media/publications/cybersecurity-studie.html
[2] Digitale Veranstaltung: IT-Aufsicht im Finanzsektor: Das erste Jahr DORA – BaFin
[3] DORA – FMA-Aktivitäten – FMA Österreich, https://www.fma.gv.at/querschnittsthemen/dora/fma-aktivitaeten-zu-dora/

(Erschienen im EU-Recycling Magazin 10/2026, Seite 16, Foto: Fabasoft Contracts GmbH)