Mit einem Schutzwall um das eigene Netz ist es nicht mehr getan: NIS 2 und DORA verlangen Segmentierung im Inneren, lückenlose Protokollierung und feste Meldefristen. Außerdem nehmen sie die Geschäftsführung persönlich in Haftung.
EU-Regulierung: NIS 2 und DORA erzwingen den Netzwerkumbau
Zwei Regelwerke der Europäischen Union greifen inzwischen direkt in die Netzarchitektur ein: NIS 2 und DORA. Was auf betroffene Unternehmen zukommt und wo die wichtigsten Hebel liegen, erläutert die Nürnberger NCP engineering GmbH in einem Blog-Beitrag.
Geltungsbereich: 18 Sektoren stehen in der Pflicht
18 Wirtschaftssektoren fallen unter NIS 2, von Energie über Gesundheit bis Verkehr. DORA zieht die Grenze hingegen enger und adressiert allein den Finanzsektor – Banken, Rating-Agenturen, Pensionsfonds. Wer zu welchem Regelwerk gehört, klärt die Betroffenheitsprüfung des BSI.
Auch im Rechtscharakter unterscheiden sich die beiden. NIS 2 kam als Richtlinie und brauchte nationale Umsetzung; das deutsche NIS-2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. Registriert haben sich trotzdem längst nicht alle Betroffenen, wie heise online berichtet. DORA dagegen gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten. Keine Umsetzung, keine Übergangsfrist.
Netzwerksegmentierung: Strikte Trennung stoppt Angreifer
Offene Netze hinter einem reinen Perimeter-Schutz genügen den Anforderungen nicht mehr. Segmentierung heißt: Büroarbeitsplätze, Produktionsanlagen und sensible Datenbestände laufen getrennt voneinander. Wer einbricht, sitzt dann in einem Segment fest. Die Seitwärtsbewegung quer durchs Unternehmen – in vielen Vorfällen der eigentliche Schadensmultiplikator – findet nicht statt.
Dazu kommt die Protokollierungspflicht, und zwar lückenlos. Jedes sicherheitsrelevante Ereignis gehört erfasst, im lokalen Netz ebenso wie über VPN-Verbindungen. Automatische Warnmeldungen verkürzen die Zeit bis zur Reaktion. Je früher jemand den Vorfall bemerkt, desto kleiner bleibt der Schaden – banal, aber in der Praxis oft eine Frage von Tagen statt Minuten.
Haftung: Geschäftsführer und Vorstand tragen persönliches Risiko
Persönlich in die Pflicht genommen wird bei NIS 2 und DORA die Unternehmensspitze. Geschäftsführung und Vorstand müssen die Risikomanagementmaßnahmen selbst billigen und haften, wenn sie es nicht tun. Delegieren lässt sich die Arbeit, aber nicht die Verantwortung. Hinzu kommen schriftliche Notfall- und Wiederanlaufpläne für den Betrieb nach einem Zwischenfall.
Warum auch die Lieferkette ins Pflichtenheft rückt, welche Bußgelder bei Verstößen drohen und wie eine bestehende ISO-27001-Zertifizierung die Umsetzung abkürzt, führt der Blog-Beitrag des Nürnberger Anbieters NCP engineering im Detail aus.
