Wenn NIS2 und DORA kein Compliance-Programm mehr sind, sondern eine Verwaltungsgestaltung der digitalen Widerstandsfähigkeit.

Die europäische regulatorische Agenda im Bereich Cybersecurity hat sich in den letzten Jahren von normativen Richtungen hin zu durchsetzbaren unternehmerischen Verantwortlichkeiten verschoben. Die NIS2-Richtlinie und die DORA-Verordnung passen in dieselbe Logik: Digitale Störungen und Cybervorfälle werden nicht länger als außergewöhnliche IT-Ereignisse behandelt, sondern als strukturelle Geschäftsrisiken, die Governance, Architekturentscheidungen und operative Kontrolle durchdringen müssen.

Für Sie als CISO oder Cybersecurity-Executive ist die Implikation klar: Sicherheit ist nicht länger primär ein Bereich technischer Optimierung. Es wird zu einer Disziplin der nachweisbaren Kontrolle, wobei die Beweislast, die Entscheidungsfindung und die Haftung explizit in der Governance verankert werden.

Die Kernverschiebung: von Fähigkeit zu Verantwortung

NIS2: Governance als Pflicht, nicht als Best Practice

NIS2 schreibt nicht nur Maßnahmen vor; es macht Governance explizit. Artikel 20 verpflichtet die Managementorgane - das Vorstandsgremium oder das Leitungsorgan, abhängig von der nationalen Umsetzung - dazu, Maßnahmen zum Management von Cyberrisiken zu genehmigen, die Umsetzung zu überwachen und haftbar gemacht zu werden bei Verstößen. Darüber hinaus gilt eine ausdrückliche Schulungsverpflichtung für die Mitglieder des Managementorgans.

Für Sie bedeutet dies, dass es nicht ausreicht, wenn Ihre Organisation Sicherheitsteams hat, Werkzeuge implementiert oder Richtlinien veröffentlicht. Die Aufsichtsbehörde erwartet, dass Cyberrisiken auf Verwaltungsebene als eine separate Risikoklasse behandelt werden mit:

• formeller Genehmigung der gewählten Kontrollmaßnahmen;
• Überwachung der Durchführung und Wirksamkeit;
• nachweislichem Verständnis auf der Verwaltungsebene durch Schulungen;
• nachweislicher Nachverfolgung, wenn die Kontrolle versagt.

DORA: Operative Resilienz als überwachtbares System

DORA ist rechtlich grundlegend anders als NIS2: es ist eine unmittelbar anwendbare EU-Verordnung für den Finanzsektor, mit einem expliziten Fokus auf ICT-Risiken und operative digitale Widerstandsfähigkeit. Der Rahmen umfasst unter anderem ICT-Risikomanagement, Vorfallberichterstattung, Resilienztests und Aufsicht über Dritte. DORA ist seit dem 17. Januar 2025 anwendbar.

Während NIS2 oft als Cybersecurity-Compliance gelesen wird, zwingt DORA Sie, Ihre digitale Widerstandsfähigkeit als ein End-to-End-Kontrollsystem zu betrachten: von Governance bis zur Erkennung, von der Wiederherstellung bis zur Lieferkette, mit formellen Aufsichtslogiken.

Was operationale Verantwortung bedeutet

Bestuurlijke verantwoordelijkheid wordt in veel organisaties historisch ingevuld als het aanstellen van een CISO en het vaststellen van een beleidskader. Toezichtrechtelijke verantwoordelijkheid vraagt echter iets anders: bestuurlijke traceerbaarheid.

U moet als organisatie kunnen aantonen:

Welke risico’s u bestuurlijk erkent: van dreigingslandschap naar bedrijfsblootstelling;
Welke beheersmaatregelen u hebt gekozen en waarom;
Welk restrisico u accepteert en op welk niveau;
Hoe u controleert dat beheersmaatregelen effectief werken;
Hoe u bijstuurt bij afwijkingen binnen de governancecyclus.

Die traceerbaarheid is geen documentatieproject. Ze vereist een besturingsmodel waarin cyberrisico's dezelfde discipline krijgen als financiële, juridische of kredietrisico's, met duidelijke verantwoordelijken, risicobereidheid, kernrisico-indicatoren (KRI’s) en prestatie-indicatoren (KPI’s), escalatiepaden en formele besluitvormingsmomenten.

De impliciete eis: controleerbaarheid op schaal

NIS2 en DORA impliceren dat uw cyberbeheersing schaalbaar moet zijn over businessunits, productlijnen, cloud- en applicatielandschappen, leveranciersketens en transnationale bedrijfsmodellen. Regulering veronderstelt niet dat u individuele beheersmaatregelen kunt aantonen in één afgebakend domein, maar dat u consistentie kunt bewijzen over de volledige organisatorische en technologische breedte van uw onderneming.

Daarom verschuift de aandacht van losse initiatieven naar systemische inrichting. Een geïsoleerde implementatie van bijvoorbeeld SIEM-tooling is onvoldoende wanneer architectuurprincipes, leveringscontroles, identity governance, logging- en monitoringbaselines en leveranciersgovernance niet coherent op elkaar aansluiten. Controleerbaarheid op schaal betekent dat uw beveiligingsmaatregelen reproduceerbaar, meetbaar en bestuurlijk navolgbaar zijn, ongeacht waar in de organisatie zij worden toegepast.

NIS2 in de praktijk: compliance is een bijproduct van volwassen besturing

NIS2 positioneert cybersecurity risk management als een set maatregelen die door organisaties moet worden geïmplementeerd en beheerd. In de praktijk wordt compliance echter vaak benaderd als einddoel, terwijl het in werkelijkheid het resultaat is van volwassen besturing. Wanneer governance, architectuur en operationele beheersing coherent zijn ingericht, volgt compliance als logisch gevolg.

De typische valkuil: beleid zonder bewijs

In een volwassen organisatie is beleid niet het eindpunt, maar het begin van bewijsvoering. Regulatoire druk maakt het onderscheid zichtbaar tussen papieren naleving en aantoonbare beheersing. Het eerste bestaat uit beleidsdocumenten, procedures en awarenessprogramma’s. Het tweede vereist meetbare beheersmaatregelen, logging, rapportering, testresultaten en structurele verbeterlussen.

De governanceartikelen binnen NIS2 sturen impliciet aan op dit tweede niveau. Bestuurders moeten kunnen toezien en daarvoor is bestuurbare managementinformatie noodzakelijk. Zonder consistente, herleidbare en onderbouwde informatie ontstaat er een kloof tussen formele verantwoordelijkheid en feitelijke controle.

De strategische vraag voor u als CISO

De kernvraag wordt niet of u compliant bent. De kernvraag wordt of u consistent kunt aantonen dat uw cyberrisico's bestuurlijk onder controle staan.

Dat vraagt een andere discipline dan klassiek security program management. U heeft een managementinformatielaag nodig die de technische realiteit vertaalt naar bedrijfsimpact, dekkingsgraad van beheersmaatregelen, effectiviteit en herstelcapaciteit. Pas wanneer blootstelling, effectiviteit van beheersmaatregelen en weerbaarheid in één samenhangend kader worden gepresenteerd, kan het bestuur gefundeerde beslissingen nemen over risicoacceptatie.

DORA: incidentrapportage en toezichtlogica versnellen de volwassenheid of de pijn

DORA formaliseert verwachtingen die toezichthouders al jaren impliciet hanteerden. Door incident reporting, testing en third party oversight expliciet te structureren, wordt operationele digitale weerbaarheid een toezichtbaar systeem. Dit versnelt de organisatorische volwassenheid wanneer governance en uitvoering op elkaar zijn afgestemd, maar legt genadeloos bloot waar structuren onvoldoende robuust zijn.

Incident reporting als stresstest voor uw operating model

Incident reporting is geen administratieve verplichting maar een stresstest van uw operating model. Wanneer zich een ernstig incident voordoet, wordt zichtbaar hoe classificatie, detectie, triage, crisis governance, forensische analyse, communicatie en herstelbesluitvorming in de praktijk functioneren.

Als u tijdens een incident geen consistente tijdslijn, onderbouwde impactanalyse en heldere beslissingsdocumentatie kunt produceren, wijst dat niet alleen op een operationeel tekort maar op een governance tekort. Rapportage dwingt u om uw interne waarheidsmachine structureel op orde te hebben.

Resilience testing als beheersdiscipline

DORA benadrukt resilience testing en third party risk. Testing is echter slechts waardevol wanneer het rechtstreeks verbonden is met architectuurkeuzes, herstelstrategieën en concrete verbeteracties.

Wanneer testing louter wordt uitgevoerd als periodieke oefening zonder doorwerking naar design en besluitvorming, ontstaat ritueel gedrag. Wanneer de resultaten systematisch worden vertaald naar aanpassingen in controls, architectuur en governance, wordt testing een bestuurlijke feedbackloop die de weerbaarheid structureel versterkt.

Third party risk: van contractbeheer naar ketenverantwoordelijkheid

Zowel NIS2 als DORA versterken de focus op afhankelijkheden zoals cloudproviders, managed services, softwareleveranciers, integrators en andere kritieke IT-dienstverleners.

Historisch werd third party risk vaak georganiseerd via contractuele clausules, periodieke assessments en een generiek risicoregister. Regulatoire druk vereist echter een ketenperspectief waarin u precies weet welke leveranciers kritiek zijn voor welke diensten, welke beheersmaatregelen u oplegt, hoe u naleving verifieert, welke exitstrategieën bestaan en hoe incidenten zich door de keten kunnen verspreiden.

Het gaat niet langer om leveranciersbeheer in administratieve zin, maar om ketenverantwoordelijkheid in bestuurlijke zin.

Was das von Ihnen auf Führungsebene verlangt

Regulatorischer Druck verändert Ihre Agenda grundlegend. Der Fokus verschiebt sich von der Bereitstellung von Programmen hin zu organisatorischer Steuerung.

Von Kontrollbesitz zu Kontrollsystemdesign

Nicht jede Kontrollmaßnahme muss innerhalb der Sicherheitsfunktion verankert werden. Was jedoch in Ihrer Verantwortung liegt, ist das Design eines Kontrollsystems, das konsistent, messbar, auditierbar und steuerbar ist.

Dies impliziert, dass Sicherheitsdesignprinzipien in Architektur- und Liefermodellen verankert werden und dass die Governance so gestaltet wird, dass Produkteigentümer, Plattformteams und Risiko- und Compliance-Funktionen innerhalb eines kohärenten Rahmens operieren.

Von technischem Risiko zu Unternehmensrisiko mit expliziter Entscheidungsfindung

Die geschäftliche Verantwortung funktioniert nur, wenn Sie Cyberrisiken in Unternehmensrisiken übersetzen. Das bedeutet, dass Sie Szenarien, Auswirkungen, Abwägungen und Restrisiken in Entscheidungsform präsentieren.

Solange Cyberrisiken als technische Schwachstellen ohne den Kontext von Unternehmensauswirkungen und Risikoakzeptanz präsentiert werden, kann der Vorstand seine Verantwortung nicht effektiv wahrnehmen.

Von Incident Response zu Krisengovernance

Incident Response ist eine operationale Fähigkeit. Krisengovernance ist eine Führungsdisziplin. Unter NIS2 und DORA müssen Sie nachweisen können, wer unter Druck entscheidet, auf Grundlage welcher Informationen und mit welchen Prioritäten.

Drei Fragen, die Sie als Führungskraft klären sollten

Wenn Sie Regulierung nicht als Compliance-Verpflichtung lesen, sondern als Anlass zur strukturellen Reife, bleiben drei Kernfragen offen:

Wo liegt für Ihre Organisation die geschäftliche Grenze des akzeptablen digitalen Risikos?
Welche digitalen Dienste sind aufsichtskritisch und welches minimale Steuerungsniveau wenden Sie dafür an?
Welche Nachweise können Sie unter Druck gegenüber Audit, Aufsichtsbehörde oder Vorstand erbringen, um zu zeigen, dass Sie kontrollieren?

Diese Fragen sind konkret genug, um Entscheidungsfindung zu initiieren, aber grundlegend genug, um nicht in Werkzeugen zu versinken.

Abschließend: Regulierung als beschleunigte Reife

NIS2 und DORA sind keine zusätzliche Arbeit über die Sicherheit hinaus. Sie kodifizieren eine Realität, die bereits bestand: Digitale Abhängigkeiten sind geschäftskritisch und Cybervorfälle sind vorhersehbare Störungen.

Wenn Sie Regulierung nicht als Checkliste betrachten, sondern als Anlass, Ihre digitale Resilienz als steuerbares System mit nachweisbarer Kontrolle im Einklang mit der geschäftlichen Verantwortung neu zu gestalten, verschiebt sich das Gespräch auf die Ebene, wo es hingehört: die geschäftliche Ebene.

Entdecken Sie die Möglichkeiten für Ihr Projekt