Cybersicherheit: BSI-Registrierung bis 31. Juli für kritische Infrastrukturen

Industrieexperten fordern einen grundlegenden Paradigmenwechsel in der Absicherung kritischer Infrastrukturen. Um den Anforderungen der NIS2-Richtlinie gerecht zu werden, müssen Industrieunternehmen Cyber-Resilienz-Strategien übernehmen, die sich eng an den strengen Standards des Finanzsektors orientieren. Insbesondere die Lehren aus der Verordnung über die digitale operative Resilienz im Finanzsektor (DORA) dienen dabei als Blaupause für die produzierende Wirtschaft.

Strategische Anleihen am Finanzsektor

Die Sicherheit moderner Industrieanlagen endet laut Experten nicht mehr an den eigenen Unternehmensgrenzen. Ein zentraler Befund aus der Finanzwelt unterstreicht diese Notwendigkeit: Nach Angaben der Finanzmarktaufsicht (FMA) stehen mehr als 50 % der DORA-relevanten Vorfälle in direktem Zusammenhang mit Drittdienstleistern für Informations- und Kommunikationstechnik (IKT). Diese Erkenntnis lasse sich unmittelbar auf die Industrie übertragen, wo kritische Abhängigkeiten erkannt und Drittdienstleister aktiv gesteuert werden müssten.

Robin Schmeisser, Geschäftsführer von Fabasoft Contracts, wies darauf hin, dass die NIS2-Richtlinie im Vergleich zu DORA eine deutlich größere Anzahl an Branchen verpflichte. Die Umsetzung werde damit zu einer zentralen Governance-Aufgabe. Unternehmen müssten nachweisbare Compliance-Strukturen schaffen, die eine lückenlose Überwachung der gesamten Lieferkette ermöglichen.

Haftungsrisiken und Managementpflichten

Mit der NIS2-Richtlinie rückt die Cybersicherheit endgültig in die direkte Verantwortung der Geschäftsführung. Laut dem National Cyber Security Centre (NCSC) verlangt die Regulierung von den Leitungsorganen sogenannter wesentlicher und wichtiger Einrichtungen eine aktive „Ownership“ für die Cybersicherheitsstrategie. Das Management ist verpflichtet, Sicherheitsmaßnahmen nicht nur zu genehmigen, sondern deren Umsetzung kontinuierlich zu überwachen und verpflichtende Schulungen zu absolvieren.

Angesichts der neuen gesetzlichen Anforderungen und wachsender Bedrohungen durch KI müssen Unternehmen ihre Sicherheitsstrategie grundlegend überdenken. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und konkreten Cyberrisiken Unternehmer jetzt kennen müssen. Gratis-Report zu neuen Cyberrisiken anfordern

Rockwell Automation warnt in diesem Zusammenhang vor den rechtlichen Konsequenzen. Für den Life-Sciences-Sektor, der als „Essential Entity“ (wesentliche Einrichtung) eingestuft wird, drohen bei Verstößen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Zudem droht dem Management bei grober Fahrlässigkeit die persönliche Haftung. Auch für „Important Entities“ (wichtige Einrichtungen) liegen die Strafen mit bis zu 7 Millionen Euro oder 1,4 % des globalen Umsatzes auf einem Niveau, das Cybersicherheit zur strategischen Priorität im Boardroom macht, wie auch der Justizminister Jim O'Callaghan betonte.

Branchenspezifische Leitlinien und Fristen

Besondere Aufmerksamkeit gilt dem Gesundheitswesen und der digitalen Infrastruktur. Die EU-Cybersicherheitsagentur ENISA veröffentlichte im Juli 2026 spezifische Beschaffungsleitfäden für Krankenhäuser. Hintergrund ist die prekäre Sicherheitslage: Der Gesundheitssektor war laut dem ENISA Threat Landscape Bericht für 8 % der Ransomware-Vorfälle verantwortlich. Dennoch verfügen nur 27 % der Gesundheitsorganisationen über eine dedizierte Abwehr gegen solche Angriffe, während 40 % der Befragten ein mangelndes Sicherheitsbewusstsein beim Nicht-IT-Personal beklagten.

Auch Cloud- und Rechenzentrumsanbieter stehen unter verstärktem Druck. Laut Daten von CrowdStrike stiegen die Einbrüche in Cloud-Systeme im ersten Halbjahr 2025 um 136 % gegenüber dem Vorjahreszeitraum. In Deutschland trat das entsprechende Umsetzungsgesetz (BSIG) bereits im Dezember 2025 in Kraft. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erwartet von betroffenen Unternehmen eine Registrierung bis zum 31. Juli 2026.

Neben der klassischen IT-Sicherheit stellen neue EU-Regulierungen wie der AI Act Unternehmen vor zusätzliche Compliance-Herausforderungen. Ein kostenloser Umsetzungsleitfaden verschafft Ihnen den notwendigen Überblick über Fristen, Pflichten und Risikoklassen der neuen KI-Verordnung. Leitfaden zum EU AI Act kostenlos herunterladen

Operative Anforderungen an die Infrastruktur

Für die praktische Umsetzung empfehlen Fachleute einen risikobasierten Ansatz. Rockwell Automation nennt die grundlegende „Cyber-Hygiene“ als ersten notwendigen Schritt, der Netzsegmentierung, regelmäßiges Patching, Systemhärtung und kontinuierliches Monitoring umfasst. Das NCSC bietet mit dem „Cyber Fundamentals Framework“ (CyFun) ein Werkzeug an, um rechtliche Pflichten in technische Maßnahmen zu übersetzen.

In Frankreich veröffentlichte die Behörde ANSSI bereits im Frühjahr 2026 das Regelwerk „ReCyF“, das 20 konkrete Sicherheitsziele definiert. Davon sind insbesondere Anbieter von Security Operations Centern (SOC) betroffen, da die Richtlinie strikte Vorgaben für die Vorfallerkennung, Überwachung und Meldung macht. Gemäß NIS2 müssen erste Warnmeldungen bei Vorfällen bereits innerhalb von 24 Stunden erfolgen, gefolgt von einer ersten Bewertung nach 72 Stunden und einem Abschlussbericht nach einem Monat. Experten empfehlen hierfür die Erstellung einer sogenannten „Evidence-Map“, um die Einhaltung der Anforderungen der Artikel 20, 21 und 23 der Richtlinie lückenlos nachweisen zu können.

de | wissenschaft | 69865022 |