Komplexität von NIS2 und DORA bremst Unternehmen

Bei der Umsetzung von NIS2 hakt es in den Unternehmen: Hohe Komplexität der Regeln und großer Aufwand bei Einführung bremsen die NIS2-Projekte, stellt die Studie „Cybersicherheit & Digitale Resilienz 2026“ fest. Die Studie wurde von CIO, CSO und COMPUTERWOCHE initiiert und gemeinsam mit den Partnern plusserver, baramundi und T-Systems umgesetzt.

Sie untersucht, wie Unternehmen in der DACH-Region mit den steigenden Anforderungen an Cyberresilienz umgehen. Im Zentrum stehen die europäischen Regelwerke NIS2 und DORA, die Managementverantwortung, Risikosteuerung und Resilienz verbindlich einfordern. Das zentrale Ergebnis: Die Umsetzung von NIS2 leidet unter dem hohen Aufwand, 47 Prozent der Unternehmen bewerten die Einführung als schwierig oder sehr schwierig.

Zum Zeitpunkt der Erhebung erfüllten erst 34 Prozent die Vorgaben vollständig. Weitere 33 Prozent haben noch nicht jede formale Vorgabe umgesetzt, gehen aber in einzelnen Bereichen sogar über die Mindestanforderungen hinaus, 16 Prozent planen die vollständige Erfüllung bis Ende 2025, knapp neun Prozent erst im Laufe von 2026. Fast fünf Prozent sehen keine Möglichkeit, NIS2 bis Ende 2026 vollständig umzusetzen.

Operative Hürden und OT als Bremsen

Als größte Hürden gelten mit jeweils rund 39 Prozent der Nennungen der hohe Anpassungsaufwand für Prozesse und Richtlinien sowie die Komplexität der Anforderungen. Ein Drittel nennt unklare regulatorische Vorgaben und Integrationsprobleme in bestehende IT-Systeme. Ressourcenmangel spielt mit knapp 20 Prozent ebenfalls eine Rolle. Die Zahlen zeigen, dass NIS2 strategisch akzeptiert ist, operativ aber Reibungsverluste erzeugt.

Besondere Herausforderungen ergeben sich im Bereich der Operational Technology. 70 Prozent der betroffenen Unternehmen müssen NIS2 auch im OT-Umfeld umsetzen. 48 Prozent nennen veraltete oder proprietäre OT-Systeme ohne moderne Sicherheitsfunktionen als zentrales Problem. 47 Prozent berichten von Integrationsschwierigkeiten. Hinzu kommen fehlendes IT- und OT-Know-how sowie Abhängigkeiten von Herstellern. Die Regulierung trifft damit auf historisch gewachsene Produktionsumgebungen, die nur schwer an neue Sicherheitsanforderungen angepasst werden können.

DORA zeigt ein ähnliches Bild. Obwohl die Verordnung seit Januar 2025 gilt, geben nur 27 Prozent der betroffenen Unternehmen an, die Anforderungen vollständig erfüllt zu haben. Die Verzögerung liegt auch hier an Komplexität und organisatorischer Belastung: 44 Prozent der Unternehmen empfinden die DORA-Umsetzung als schwierig oder sehr schwierig.

Strukturelle Defizite bei der Governance

Die strukturellen Hemmnisse von NIS2 und DORA ähneln sich. Beide Regelwerke verlangen technische Maßnahmen und eine nachweisbare Governance sowie klare Verantwortlichkeiten. Gleichzeitig zeigen sich kulturelle Brüche. Security- und Risk-Verantwortliche bewerten NIS2 häufig anders als IT-Leitungen. Während nur 14 Prozent der Security-Verantwortlichen meinen, NIS2 bringe nichts wesentlich Neues, sind es in der IT-Leitung 23 Prozent.

Die Unterschiede deuten auf divergierende Perspektiven zwischen Governance- und Betriebsverantwortung hin. Im Risikomanagement besteht weiterer Nachholbedarf. Zwar sehen sich 84 Prozent der Unternehmen mindestens auf Stufe zwei eines Reifegradmodells. Doch nur 44 Prozent befassen sich bereits mit IT- und IT-Sicherheitsrisiken im Risikomanagement. 45 Prozent planen dies erst künftig. Angesichts der klaren Anforderungen von NIS2 und DORA entsteht hier ein strukturelles Defizit.

Geschrieben mit KI-Unterstützung.

Bild:  DC Studio / Freepik