NIS-2-Gesetz: Neue Compliance-Pflichten für Millionen Unternehmen

Die wachsende Vernetzung mit externen IT-Dienstleistern stellt Finanzinstitute und Unternehmen vor massive Herausforderungen im Risikomanagement. Neben KI-Entwicklungen treiben vor allem verschärfte Regularien und prominente Sicherheitsvorfälle den Handlungsdruck.

Neue KI-Lösungen mit Sicherheitsfokus

Anfang Juni kündigten NetApp und Cisco neue, validierte Lösungen für KI-Infrastrukturen an. In Zusammenarbeit mit Nvidia zielen die Systeme auf skalierbare Umgebungen für Edge-Computing und generative KI ab. Die integrierte Sicherheit steht dabei im Vordergrund.

Anzeige: Wer die neuen NIS-2-Pflichten für sein Unternehmen umsetzen muss, findet in diesem kostenlosen Report die wichtigsten Compliance-Hebel – von der Lieferantenprüfung bis zum Bußgeld-Risikomanagement. Jetzt kostenlosen Report anfordern

Das Shared-Responsibility-Modell in der Cloud macht es deutlich: Kunden tragen nicht die Verantwortung für die physische Infrastruktur, bleiben aber für den Schutz ihrer Daten und Anwendungen verantwortlich. Fehlkonfigurationen bei Speicherdiensten oder unsichere Schnittstellen gelten weiterhin als signifikante Schwachstellen.

NIS-2 und MaRisk setzen neue Standards

Das NIS-2-Umsetzungsgesetz ist seit Jahreswechsel 2025/2026 in Kraft. Betroffen sind Unternehmen ab 50 Mitarbeitern oder einem Jahresumsatz von zehn Millionen Euro in kritischen Sektoren wie Energie, Verkehr und Bankenwesen.

Die Richtlinie verpflichtet Organisationen zur Registrierung beim BSI und zur Implementierung umfassender Risikomanagement-Maßnahmen. Ein wesentlicher Punkt: die aktive Steuerung der Lieferkette. Unternehmen müssen ihre Lieferanten nicht nur auswählen, sondern deren Sicherheitsniveau fortlaufend kontrollieren.

Die Finanzbranche bereitet sich parallel auf weitere Anforderungen vor. Für den 24. November 2026 ist eine fachliche Auseinandersetzung mit der 9. MaRisk-Novelle und den EBA-Governance-Leitlinien geplant. Risikoanalyse, Dokumentationspflichten und Präventionsmaßnahmen stehen im Fokus der Aufsicht.

Wenn Dienstleister zur Gefahr werden

Die Relevanz eines funktionierenden Third-Party-Risikomanagements zeigen Vorfälle der vergangenen Monate. Mitte April wurde der Abrechnungsdienstleister Unimed Ziel eines Cyberangriffs. Stammdaten, Diagnosen und Finanzinformationen von zehntausenden Patienten wurden entwendet. Das Uniklinikum Köln war mit rund 30.000 betroffenen Patienten betroffen, das Uniklinikum Freiburg mit etwa 54.000. Die Datenübermittlung wurde vorerst ausgesetzt.

Auch eine Datenpanne beim Dienstleister IMA Diligence Services mit rund 525.000 betroffenen Personen unterstreicht die Risiken. Eine Deloitte-Umfrage aus 2024 zeigte: 97 Prozent der Großunternehmen in der DACH-Region waren von Cybervorfällen betroffen. Hauptakteure: Cyberkriminelle und Cyberterroristen. Die wirtschaftlichen Folgen sind erheblich – neben Reputationsverlusten drohen Umsatzeinbußen und hohe Bußgelder.

Umsetzung hinkt hinterher

Anzeige: Lieferanten-Sicherheitsprüfung nach NIS-2 wird zur Pflicht – doch 97 Prozent der Unternehmen waren bereits von Cybervorfällen betroffen. Dieser Leitfaden zeigt, wie Sie Dienstleister rechtskonform auditen und Ausfallrisiken minimieren. Leitfaden Lieferanten-Audit jetzt sichern

Trotz klarer Risikolage verläuft die Umsetzung regulatorischer Vorgaben in der deutschen Kreditwirtschaft schleppend. Eine Studie zur MiFID II-Bereitschaft von PPI ergab: Institute erreichten im Readiness-Index lediglich 27 Prozent – der Zielwert lag bei 55 Prozent. Fast alle befragten Banken rechnen mit hohem IT-Anpassungsaufwand und steigenden Kosten.

Beratungs- und Prüfungsgesellschaften reagieren und verstärken ihre Kapazitäten. Mazars gab kürzlich mehrere Neuzugänge bekannt: André Prossner als Partner für IT Audit und Regulatory Services, Georg Becker für den Bereich Wirtschaftsprüfung. Beide wechselten von EY.

Spezialisierte Prüfverfahren gewinnen an Bedeutung. Das Schweizer Unternehmen Validato bietet strukturierte Analysen an, um Interessenkonflikte bei Führungskräften DSGVO-konform zu prüfen. Solche Analysen, die auch finanzielle Abhängigkeiten und familiäre Netzwerke einbeziehen, werden vor dem Hintergrund von MiFID II oder den Anforderungen der FINMA zunehmend relevant.

de | wirtschaft | 69490421 |