NIS2 und DORA: Wen es betrifft und was zu tun ist

NIS2 ist die EU-Richtlinie zur Sicherheit von Netz- und Informationssystemen, die den Kreis der Unternehmen mit Sicherheitspflichten erweitert hat. DORA ist die Verordnung zur digitalen operationalen Resilienz des Finanzsektors. Beide gelten in der EU und betreffen ukrainische Unternehmen, die Leistungen für europäische Kunden erbringen.

NIS2: Wer darunterfällt

• Mittlere und große Unternehmen in Energie, Verkehr, Gesundheit, digitaler Infrastruktur, Fertigung, Lebensmittel, Forschung und weiteren Sektoren.
• Lieferanten dieser Unternehmen über vertragliche Anforderungen.
• Die Geschäftsführung haftet persönlich für die Genehmigung der Maßnahmen.

DORA: Wer darunterfällt

• Banken, Versicherer, Zahlungsinstitute, Krypto-Anbieter, Investmentfirmen.
• Ihre IKT-Dienstleister, einschließlich Cloud und Softwareentwickler.

Was beide verlangen

• Risikomanagement und dokumentierte Richtlinien.
• Meldung von Vorfällen in kurzen Fristen (NIS2: erste Meldung binnen 24 Stunden).
• Regelmäßige Tests, bei DORA einschließlich bedrohungsbasierter Pentests für große Institute.
• Kontrolle von Lieferanten und Lieferkette.

Womit anfangen

Eine Gap-Analyse: wo Sie jetzt gegenüber den Anforderungen stehen. Dann ein Plan über 6 bis 12 Monate mit Prioritäten, Richtlinien, die tatsächlich gelebt werden, und ein erster Pentest als Nachweis.