Die in den letzten Jahren für Europas größte Institutionen erlassenen Vorschriften zur Cybersicherheit üben Druck auf Tausende kleinerer Unternehmen aus, ihre eigenen digitalen Sicherheitsvorkehrungen zu verstärken.
Da neue Vorschriften wie NIS2 und DORA in den verschiedenen Branchen ihre Wirkung entfalten, müssen selbst kleinere Zulieferer ihre Anstrengungen verstärken, um Aufträge und Kunden zu behalten. Dies führt zu einer Art „Trickle-down-Sicherheit“, bei der der Compliance-Druck an der Spitze die Widerstandsfähigkeit der gesamten Wirtschaft stärkt.
Dies berichten Cybersicherheitsexperten und Branchenanalysten als Beobachtung in der gesamten EU und im Vereinigten Königreich – einer Region, der es trotz interner Rivalitäten und bürokratischer Reibereien in den letzten Jahren gelungen ist, eine Vielzahl internationaler Vorschriften und Rahmenwerke zu verabschieden, um die Cybersicherheitsprotokolle grenzüberschreitend zu vereinheitlichen.
Zwar mag jedes neue Gesetz oder jeder neue Standard seine Mängel und eine ganze Reihe von Kritikern haben –zwei Drittel der Cybersicherheitsexperten nennen laut dem Weltwirtschaftsforum das wachsende Volumen und die zunehmende Komplexität der Vorschriften als großes Hindernis für die Einhaltung der Vorschriften –, doch steht diese Gesetzgebung in krassem Gegensatz zu den eher verhaltenen Bemühungen der (im Großen und Ganzen) regulierungsfeindlichen USA Und wie dieser neue „Trickle-down“-Trend zeigt, profitieren Unternehmen, die über die Komplexität und hinausblicken und der IT-Compliance Priorität einräumen, langfristig davon.
Beobachter im Bereich der Cybersicherheit verweisen auf Vorschriften, die auf kritische Sektoren abzielen und in den letzten Jahren erlassen wurden, wie beispielsweise…
- NIS2 – Mit dem Schwerpunkt auf der Sicherung wesentlicher Dienste und kritischer Infrastrukturen in den EU-Mitgliedstaaten wurde diese Neufassung der Richtlinie über Netz- und Informationssicherheit (NIS) im Jahr 2023 verabschiedet und im Jahr 2024 in nationales Recht umgesetzt..
- DORA – Das Gesetz zur Stärkung der Widerstandsfähigkeit digitaler Betriebsabläufe (Digital Operations Resilience Act), das darauf abzielt, die Widerstandsfähigkeit von Finanzinstituten zu stärken, trat im Jahr 2023 in Kraft..
- Das KI-Gesetz der EU – Das weltweit erste Gesetz zur Regulierung künstlicher Intelligenz wurde im Jahr 2024 verabschiedet.
- DSGVO – Die Datenschutz-Grundverordnung, die als weltweit strengstes Datenschutzgesetz gilt, trat im Jahr 2018 in Kraft.
- Britischer Gesetzentwurf zu Cybersicherheit und Widerstandsfähigkeit – Ein Rahmenwerk, das darauf abzielt, die Unterstützung für kritische nationale Infrastrukturen zu modernisieren und die Überwachung von Risiken in der Lieferkette zu verstärken; der Entwurf durchläuft derzeit das britische Parlament und wird voraussichtlich im Laufe des Jahres 2026 verabschiedet werden..
…die alle bereits begonnen haben, subtile (und manchmal auch nicht ganz so subtile) Auswirkungen auf die gesamte Cyber-Lieferkette auszuüben.
Die Auswirkungen erreichen eine kritische Masse und reichen weit über Europa hinaus: Auch US-amerikanische und andere Nicht-EU-Unternehmen sind verpflichtet, diese Vorschriften zu berücksichtigen, wenn sie auf dem europäischen Markt tätig sind.
„Es handelt sich nicht nur um einen Top-down-Prozess; die Auswirkungen breiten sich über die gesamte Lieferkette aus“, sagt Marc Vael, Vorsitzender der belgischen Sektion der CISO-Community der European Cyber Security Organisation (ECSO), dem größten unabhängigen öffentlich-privaten Verband für Chief Information Security Officers ( ) in Europa. „Nicht nur Dritte“, fügt er hinzu, „sondern auch Vierte und Fünfte.“
Druckpunkte: Wenn die Vorschriften zur Cybersicherheit strenger werden
Jede der neuen Vorschriften bringt ihren ganz eigenen Druck mit sich.
„“ Es handelt sich nicht nur um einen Top-down-Prozess; die Auswirkungen breiten sich kaskadenartig über die gesamte Lieferkette aus. Nicht nur Dritte, sondern auch Vierte und Fünfte.”Marc Vael, Vorsitzender der belgischen Sektion der CISO-Community der European Cyber Security Organisation (ECSO)
NIS2 erweitert die ursprüngliche Richtlinie, um ein breiteres Spektrum wesentlicher und wichtiger Einrichtungen abzudecken. DORA erweitert den Finanzdienstleistungssektor um strenge Anforderungen in den Bereichen „ “ (Meldung von Vorfällen), „ “ (Governance) sowie „ “ (Risiken durch Dritte) . Das KI-Gesetz und die DSGVO gehen noch einen Schritt weiter und sehen zusätzliche Anforderungen an Transparenz und Rechenschaftspflicht vor. Die Nichteinhaltung hat nicht nur Geldstrafen zur Folge. In vielen Fällen können Vorstandsmitglieder persönlich haftbar gemacht werden, und Organisationen riskieren einen echten Reputationsschaden oder Geschäftsverluste.
„In der Praxis stellen viele Unternehmen zunächst die Frage: Erfüllen wir die Mindestanforderungen, um die Vorschriften einzuhalten?“ sagt Edwin van den Heuvel, Leiter des Bereichs ServiceNow-Lösungsarchitektur bei Tanium, einem weltweit führenden Anbieter von Cybersicherheitslösungen (und Herausgeber dieses Magazins). „Sie erhalten von einem großen Beratungsunternehmen einen schriftlichen Prüfbericht und stellen dann fest, dass sie nach wie vor keine Ahnung haben, über welche wichtigen Vermögenswerte sie überhaupt verfügen.“ Wie sich herausstellt, beginnt Cyber-Resilienz mit einer 100-prozentigen Transparenz über die mit Ihrem Netzwerk verbundenen Geräte. Sobald Sie wissen, welche Systeme bei Ihnen im Einsatz sind, können Sie damit beginnen, diese zu schützen.
Sobald Unternehmen die Lücken erkennen, beginnen sie damit, zu erfassen, was miteinander verbunden ist, was von entscheidender Bedeutung ist und was gefährdet ist, wie van den Heuvel feststellt.
Cyber-Vorschriften und die Kettenreaktion der Rechenschaftspflicht
Vorschriften dienen jedoch nicht nur der Förderung interner Prüfungen – sie gestalten auch die Beziehungen nach außen neu.
„Die eigentliche Frage lautet: Wie gehen Lieferanten mit ihren eigenen Subunternehmern um? Bei der Cybersicherheit geht es nicht nur um Ihr eigenes Haus, sondern auch um die Schlüssel, die Sie an alle anderen weitergeben.”Sven Hutse, CISO und Berater des CIO, Birkin&Barre
Regulierte Unternehmen, die selbst unter Druck stehen, stellen zunehmend höhere Anforderungen an ihre Lieferanten. Sie versenden Fragebögen – mal kurze, mal solche mit Hunderten von Fragen – an die E-Mail-Postfächer ihrer Geschäftspartner in allen Wirtschaftsbereichen. Vael schätzt, dass der CISO eines mittelständischen Unternehmens in einem bestimmten Jahr möglicherweise Fragebögen von über 160 Kunden beantworten muss, was insgesamt mehr als 8 000 einzelne Anfragen entspricht. „Das ist überwältigend“, sagt er. „Entweder beantworten Sie einzelne Anfragen, oder Sie veröffentlichen proaktiv Zertifizierungen, Auditberichte oder Dokumente aus dem Trust Center auf Ihrer Website.“
Beobachter wie Vael stellen fest, dass eine solche proaktive Offenlegung von Cybersicherheitsmaßnahmen immer häufiger vorkommt, da der Druck von oben die Partner zu strengeren Sicherheitsvorkehrungen und größerer Transparenz veranlasst.
Lieferanten, die nicht mithalten können, laufen Gefahr, aus dem Lieferantennetzwerk ausgeschlossen zu werden. Und damit sind die Erwartungen noch lange nicht erschöpft.
„Die eigentliche Frage lautet: Wie gehen diese Lieferanten mit ihren eigenen Subunternehmern um?“ sagt Sven Hutse, CISO und CIO-Berater bei der Beratungsgesellschaft Birkin&Barre. „Bei der Cybersicherheit geht es nicht nur um Ihr eigenes Haus, sondern auch um die Schlüssel, die Sie allen anderen übergeben.“
Van den Heuvel bestätigt diese Entwicklung: „Sobald Sie als Lieferant die Anforderungen nicht mehr erfüllen, wird Ihnen schlicht mitgeteilt, dass Ihr Vertrag nicht verlängert wird.“ Dieser wirtschaftliche Druck sorgt dafür, dass selbst kleine Anbieter beginnen, Standards zu erfüllen, die ursprünglich für kritische Sektoren vorgesehen waren.
Dieses Bestreben nach Rechenschaftspflicht schafft eine neue Art von digitalem Ökosystem, in dem die Einhaltung von Vorschriften ansteckend wirkt. Da große Unternehmen in den nachgelagerten Bereichen strengere Sicherheitsstandards vorschreiben, beginnen ihre Lieferanten (und die Lieferanten ihrer Lieferanten), sich darauf einzustellen. Der Effekt ähnelt dem, was Epidemiologen als „ “ digitale Herdenimmunität bezeichnen würden.
„In ganz Europa sieht man immer weniger Unternehmen, bei denen die Eingangstür weit offen steht“, sagt Vael. „Vor fünf Jahren fand man immer etwas, das nicht in Ordnung war. „Heute ist das die Ausnahme.“ Er fordert Unternehmen dazu auf, Open-Source-Informationen zu nutzen, um die Ehrlichkeit der Subunternehmer beim Ausfüllen der zuvor erwähnten Fragebögen zu überprüfen.
Lieferantenüberprüfung – von SolarWinds bis hin zu Supermärkten
Vorfälle wie der Cyberangriff vom 2020 auf den Softwareanbieter SolarWinds – ein Sicherheitsvorfall, der die Sicherheit von 18 000 Organisationen gefährdete – zwangen Aufsichtsbehörden und große Unternehmen dazu, die Überprüfung der Lieferkette auszuweiten, was kleinere Unternehmen dazu veranlasste, ihre eigenen Abwehrmaßnahmen zu verstärken. Jeder Verstoß und seine Folgen ziehen das Netz der Erwartungen immer enger.
„Sobald man als Lieferant die Anforderungen nicht mehr erfüllt, heißt es einfach: ‚Wir verlängern Ihren Vertrag nicht.‘“Edwin van den Heuvel, Direktor, ServiceNow-Lösungsarchitekt, Tanium
Und nicht nur Technologieunternehmen sind in Bezug auf ihre Lieferketten anfällig. Van den Heuvel, der in Amsterdam ansässig ist, erinnert sich an einen Vorfall mit der Ransomware „ “ bei einem niederländischen Transportunternehmen, der dazu führte, dass die Käselieferungen an Supermärkte unterbrochen wurden und das niederländische Lebensmittellogistiknetzwerk gestört wurde.
„Wenn in den Niederlanden kein Käse mehr in den Regalen liegt, ist das praktisch ein nationaler Notstand“, scherzt Van den Heuvel. Doch die Lehre daraus, fügt er hinzu, ist ernst zu nehmen: Die Widerstandsfähigkeit hängt mittlerweile ebenso sehr von der Cybersicherheit Ihrer Lieferanten ab wie von Ihrer eigenen.
Der „Käse-Vorfall“ ist kein Einzelfall – eine Welle von Cyberangriffen traf in diesem Jahr die „Kühlketten“-Lieferungen von verderblichen Waren in der EU und im Vereinigten Königreich, und Analysten gehen davon aus, dass die USA bald davon betroffen sein könnten. Vorfälle dieser Art verdeutlichen die Anfälligkeit vernetzter Systeme. „Unternehmen möchten sicher sein, sind jedoch in so vielen Bereichen auf andere angewiesen“, sagt Vael. „Das Vertrauen muss in beide Richtungen bestehen, sowohl in Richtung als auch in Richtung .“
Dieses Vertrauen aufrechtzuerhalten, ist kostspielig und ressourcenintensiv. Kleinere Unternehmen laufen Gefahr, ausgeschlossen zu werden – nicht, weil ihnen die Sicherheit gleichgültig ist, sondern weil die Kosten für den Nachweis dieser Sicherheit zu hoch sind. Hutse räumt die Herausforderung ein: „Nicht jedes KMU [kleines bis mittelständisches Unternehmen] verfügt über die Mittel, um eine Zertifizierung nach ISO 27001 zu erlangen“, sagt Hutse und bezieht sich dabei auf eine führende internationale Norm für Managementsysteme zur Informationssicherheit. „Deshalb ist die Einstufung so wichtig – unterschiedliche Prüfungsstufen je nach Art der betroffenen Daten oder des betreffenden Zugriffs.“
Mit anderen Worten: Ohne Verhältnismäßigkeit könnte eine Regulierung kontraproduktiv werden. So greift beispielsweise das KI-Gesetz der EU diesen Gedanken mit seinem risikobasierten Rahmen auf, der die Entwicklung, den Einsatz und die Nutzung von KI-Systemen in Europa regelt. (Die Vorschriften, die schrittweise in Kraft treten, werden bis 2026 umgesetzt.) „Wenn Sie über ein KI-System verfügen, das in irgendeiner Weise Auswirkungen auf Europa hat, müssen Sie sich mit dem EU-KI-Gesetz auseinandersetzen“, erklärte Gretchen Scott, Technologiepartnerin bei Goodwin Law, im vergangenen Jahr in einem Interview mit „ “ mit dem „ Focal Point“ , als das Gesetz vom Europäischen Parlament verabschiedet wurde. Scott, der in London ansässig ist, und andere Rechtsanwälte empfehlen Unternehmen, das Risikoniveau ihrer KI-Systeme anhand der vier in der Verordnung festgelegten Stufen zu bewerten.
Sicherheitsverantwortliche können denselben Ansatz verfolgen, wenn sie ihre Lieferkette unter die Lupe nehmen. Die Einstufung von Lieferanten nach ihrem Risiko, wie Hutse empfiehlt, sorgt dafür, dass das Ökosystem sowohl sicher als auch inklusiv bleibt.
Letztendlich müssen Unternehmen einen Mittelweg zwischen zwei Herausforderungen finden: den Kosten für die Umsetzung von Cybersicherheitsmaßnahmen und den Kosten, die entstehen, wenn ihnen kein Vertrauen entgegengebracht wird. „Entweder geben Sie jetzt Geld aus, oder Sie verlieren später Aufträge“, sagt Vael.
Vorschriften zur Cybersicherheit und die Rolle von Tools
Fortschritte im Bereich der Cybersicherheit, wie beispielsweise das autonome Endpunktmanagement, bei dem Automatisierung mit Endpunktmanagement-Tools kombiniert wird, können Unternehmen dabei helfen, die Kontrolle über die immer größer werdende Angriffsfläche zu behalten. „Man braucht nicht nur ein Inventar“, sagt van den Heuvel, „man braucht ein lebendiges Inventar, das ständig aktualisiert wird.“
„Sie benötigen nicht nur ein Inventar, sondern ein lebendiges Inventar, das kontinuierlich aktualisiert wird.“van den Heuvel
Doch selbst die besten Tools können die älteste Schwachstelle überhaupt nicht verhindern: menschliches Verhalten. Experten fordern Unternehmen nachdrücklich auf, im Rahmen von „ “ fortlaufende Sensibilisierungsmaßnahmen und Schulungen anzubieten, doch viele Unternehmen werden diesen Anforderungen nicht gerecht. „Weniger als die Hälfte der Unternehmen verfügt über strukturierte Schulungsprogramme zum Thema Cybersicherheit“, sagt Hutse. „Und bei über 90 % der erfolgreichen Angriffe spielt menschliches Versagen eine Rolle.“ „Wir wissen das, und dennoch investieren wir nach wie vor zu wenig in die Menschen.“
Van den Heuvel argumentiert, dass die Anforderungen von DORA an die Meldung von Vorfällen diese Denkweise ändern könnten, indem sie Organisationen dazu zwingen, Zusammenarbeit nicht nur zu versprechen, sondern auch in die Praxis umzusetzen: „Unternehmen benötigen einen Prozess, der besagt: Es liegt ein Vorfall vor, wir bewerten die Auswirkungen und melden ihn nach außen.“ „Dadurch ist es möglich, andere Spieler zu warnen.“ Dieser Reflex der Zusammenarbeit, der nun in DORA verankert ist, könnte eine der unauffälligsten, aber wirkungsvollsten Auswirkungen der Verordnung sein.
Dieses Bewusstsein muss sich bis in die oberste Führungsebene erstrecken. Die Vorstände beginnen, diesem Thema Beachtung zu schenken – nicht nur aufgrund gesetzlicher Vorschriften, sondern auch, weil nun ihre eigene Haftung auf dem Spiel steht. Dennoch betrachten einige Führungskräfte Compliance eher als eine Checkliste denn als einen strategischen Ansatz für das Risikomanagement. „Das eigentliche Ziel besteht nicht nur darin, Kästchen anzukreuzen“, sagt van den Heuvel. „Es geht darum, betrieblich widerstandsfähig zu sein. „Wenn etwas schiefgeht, wie schnell können Sie das Problem erkennen, eindämmen und beheben?“
Und wie schnell können Sie andere darüber informieren? Insbesondere DORA betont die Notwendigkeit einer raschen Meldung an die Aufsichtsbehörden, aber auch an Branchenkollegen. „Wenn Sie betroffen sind, verdienen die anderen in Ihrem Ökosystem eine Warnung“, fügt van den Heuvel hinzu.
Auf dem Weg zu einer sichereren digitalen Wirtschaft
Ähnlich wie im Bereich der Nachhaltigkeit, wo große Unternehmen umweltfreundlichere Praktiken in ihren gesamten Netzwerken vorangetrieben haben, tritt die Cybersicherheit nun in eine Phase ein, in der sich die Verantwortung nach außen ausweitet. Viele Unternehmen warten nicht darauf, dass Gesetze ihnen vorschreiben, was sie zu tun haben. Sie handeln aufgrund des Marktdrucks, des Reputationsrisikos und – ja – des gesunden Menschenverstands.
„: Perfekte Sicherheit gibt es nicht.“ Doch Vorschriften, Prüfungen und der Druck durch Kollegen geben einem zu denken … „Und das Nachdenken ist schon die halbe Miete.“Vael
„Viele Unternehmen ergreifen bereits aus eigener Initiative Maßnahmen“, sagt van den Heuvel. „Dafür braucht man keine Gesetze oder Vorschriften.“ Hutse zieht denselben Vergleich in Bezug auf Nachhaltigkeit – viele Unternehmen begannen bereits lange bevor gesetzliche Vorschriften sie dazu zwangen, ihre Umweltbilanz zu verbessern. Derselbe kulturelle Wandel, so argumentieren sie, vollzieht sich derzeit auch im Bereich der Cybersicherheit.
„Vollkommene Sicherheit gibt es nicht“, räumt Vael ein. „Doch Vorschriften, Prüfungen und Gruppendruck regen zum Nachdenken an: .“ Zu den Themen Datensicherung, Einarbeitung, Schulung, Risiken durch Dritte und Geschäftskontinuität. „Und das Nachdenken ist schon die halbe Miete.“
In diesem neuen Umfeld geht es nicht nur um die Einhaltung von Vorschriften, sondern um Vertrauen. Vertrauen Sie darauf, dass Ihre Lieferanten Sie nicht bloßstellen werden. Verlassen Sie sich darauf, dass Ihre Tools auf dem neuesten Stand sind. Vertrauen Sie darauf, dass Ihre Mitarbeiter kein kompromittiertes Gerät an die Kasse anschließen. Cybersicherheit mag an der Spitze beginnen, doch dort hört sie nicht auf. Es sickert nach unten durch Formulare, Prüfungen, Verträge und Gespräche, bis sich selbst das kleinste Unternehmen in der Kette fragt: Was muss ich schützen, und wie?
Letztendlich muss der Käse geliefert werden. Und in der digitalen Wirtschaft bedeutet dies, dass jeder einen Beitrag dazu leistet, die Sicherheit der Lieferkette zu gewährleisten.
