Die regulatorischen Anforderungen an die Cybersicherheit und die Betriebskontinuität im maritimen Sektor haben sich verschärft. Durch die NIS2-Richtlinie und die CER-Richtlinie der Europäischen Union rücken Cyberrisiken sowie die Wiederherstellungsfähigkeit von Systemen unmittelbar in den Fokus der Corporate Governance.
Für Leitungs- und Aufsichtsorgane in der Schifffahrt und im Hafenbetrieb bedeutet dies eine deutliche Ausweitung ihrer Pflichten: Sie müssen Risikomanagementmaßnahmen künftig nicht nur genehmigen, sondern deren Umsetzung auch aktiv überwachen.
Erweiterter Geltungsbereich und Governance-Pflichten
Die NIS2-Richtlinie adressiert weite Teile der maritimen Infrastruktur. Der Geltungsbereich umfasst den Binnen-, See- und Küstenverkehr ebenso wie Hafenbehörden, Hafenanlagen und Betreiber von Verkehrsleitzentralen (VTS). Während einzelne Schiffe in der Richtlinie nicht explizit aufgeführt werden, unterliegen die Betreibergesellschaften und die kritische Infrastruktur an Land strengen Vorgaben.
Ein wesentlicher Aspekt der Neuregelung ist die Unübertragbarkeit der Verantwortung. Die Auslagerung von sicherheitsrelevanten Aufgaben an externe Dienstleister entbindet die Leitungsorgane laut den Richtlinien nicht von ihrer rechtlichen Verantwortung für die Cybersicherheit.
Betroffen sind Unternehmen in kritischen Branchen, die mehr als 50 Mitarbeiter beschäftigen und einen Jahresumsatz von mehr als 10 Millionen Euro erzielen. Damit zielt die Regulierung auf den gehobenen Mittelstand und Großkonzerne ab.
Meldepflichten und finanzielle Risiken bei Verstößen
Die NIS2-Richtlinie führt ein mehrstufiges System für die Meldung von Sicherheitsvorfällen ein. Bei einem signifikanten Incident ist innerhalb von 24 Stunden eine Frühwarnung an die zuständigen Behörden zu übermitteln. Innerhalb von 72 Stunden muss eine erste Bewertung des Vorfalls erfolgen, gefolgt von einem detaillierten Endbericht nach einem Monat.
Verstöße gegen diese Sorgfalts- und Meldepflichten sind mit erheblichen Sanktionen belegt. Der Rahmen sieht Bußgelder von bis zu 10 Millionen Euro oder alternativ bis zu 2 Prozent des weltweiten Jahresumsatzes vor. Diese drakonischen Strafen unterstreichen den Charakter der Cybersicherheit als zentrales Geschäftsrisiko, das über die reine IT-Abteilung hinausgeht.
Implementierung im internationalen Vergleich
Die Umsetzung der EU-Vorgaben ist in den Mitgliedstaaten bereits weit fortgeschritten. Die allgemeine Umsetzungsfrist endete bereits am 17. Oktober 2024. In Deutschland trat die entsprechende Gesetzgebung am 6. Dezember 2025 in Kraft; die Frist für die verpflichtende Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) endete am 6. März 2026.
In den Niederlanden gilt das entsprechende Cyberbeveiligingswet (Cbw) seit dem 15. August 2026. Es verpflichtet Unternehmen zur Registrierung, zur Risikobeherrschung sowie zur Meldung signifikanter Vorfälle und betont ebenfalls die administrative Verantwortung der Führungsebene.
Im Gegensatz dazu verfolgt Großbritannien mit der „Cyber Security and Resilience Bill“ einen teilweise anderen Ansatz. Während der Entwurf, der im September 2026 im Oberhaus weiter beraten wird, ebenfalls strengere Regeln für die digitale Belastbarkeit vorsieht, verzichtet das britische Modell bislang auf eine persönliche Haftung von Führungskräften, wie sie in der EU-NIS2 vorgesehen ist. Die vollständige Umsetzung der britischen Regelungen wird bis zum Jahr 2028 erwartet.
Herausforderungen in der Lieferkette und im Betrieb
Ein kritischer Punkt bei der Umsetzung bleibt die Sicherung der Lieferketten. NIS2 verpflichtet Unternehmen dazu, Cyberrisiken entlang der gesamten Wertschöpfungskette zu steuern. In der Praxis bedeutet dies, dass Sicherheitsanforderungen über vertragliche Vereinbarungen an Zulieferer weitergegeben werden – auch wenn diese selbst nicht direkt unter den Geltungsbereich der Richtlinie fallen.
Typische Anforderungen umfassen den Einsatz von Multi-Faktor-Authentifizierung (MFA), Patchmanagement, regelmäßige Backup-Tests sowie Zertifizierungen nach Standards wie der ISO 27001.
Branchenexperten weisen zudem darauf hin, dass in Produktionsbetrieben und Hafenanlagen die Betriebstechnik (OT) oft hinter den Sicherheitsstandards der klassischen IT zurückbleibt. Es bestehe die strukturelle Fehlannahme, dass NIS2 als reines IT-Compliance-Projekt behandelt werden könne. Tatsächlich sei jedoch ein kontinuierliches Risikomanagement erforderlich.
Analysen zeigen etwa, dass technische Zugangsdaten (Secrets) nach einer Kompromittierung oft zu lange gültig bleiben, was jährliche Sicherheitstests allein unzureichend mache. Fachleute empfehlen daher eine gemeinsame Identitäts-Governance-Basis für verschiedene regulatorische Anforderungen wie NIS2, CER oder im Finanzbereich DORA.
Hinweis:
Teile dieses Artikels wurden mithilfe Künstlicher Intelligenz erstellt und vor Veröffentlichung redaktionell geprüft. Die auf Börse Express bereitgestellten Informationen stellen keine Anlage- oder Finanzberatung dar und sind nicht als solche gedacht. Die Informationen dienen ausschließlich Informationszwecken. Für individuelle Finanzberatung wenden Sie sich an einen qualifizierten Finanzberater. Börse Express schließt jegliche Regressansprüche aus.