Die regulatorischen Anforderungen an die Cybersicherheit und die Betriebskontinuit\u00e4t im maritimen Sektor haben sich versch\u00e4rft. Durch die NIS2-Richtlinie und die CER-Richtlinie der Europ\u00e4ischen Union r\u00fccken Cyberrisiken sowie die Wiederherstellungsf\u00e4higkeit von Systemen unmittelbar in den Fokus der Corporate Governance.<\/p>\n
F\u00fcr Leitungs- und Aufsichtsorgane in der Schifffahrt und im Hafenbetrieb bedeutet dies eine deutliche Ausweitung ihrer Pflichten: Sie m\u00fcssen Risikomanagementma\u00dfnahmen k\u00fcnftig nicht nur genehmigen, sondern deren Umsetzung auch aktiv \u00fcberwachen.<\/p>\n
Erweiterter Geltungsbereich und Governance-Pflichten<\/p>\n
Die NIS2-Richtlinie adressiert weite Teile der maritimen Infrastruktur. Der Geltungsbereich umfasst den Binnen-, See- und K\u00fcstenverkehr ebenso wie Hafenbeh\u00f6rden, Hafenanlagen und Betreiber von Verkehrsleitzentralen (VTS). W\u00e4hrend einzelne Schiffe in der Richtlinie nicht explizit aufgef\u00fchrt werden, unterliegen die Betreibergesellschaften und die kritische Infrastruktur an Land strengen Vorgaben.<\/p>\n
Ein wesentlicher Aspekt der Neuregelung ist die Un\u00fcbertragbarkeit der Verantwortung. Die Auslagerung von sicherheitsrelevanten Aufgaben an externe Dienstleister entbindet die Leitungsorgane laut den Richtlinien nicht von ihrer rechtlichen Verantwortung f\u00fcr die Cybersicherheit.<\/p>\n
Betroffen sind Unternehmen in kritischen Branchen, die mehr als 50 Mitarbeiter besch\u00e4ftigen und einen Jahresumsatz von mehr als 10 Millionen Euro erzielen. Damit zielt die Regulierung auf den gehobenen Mittelstand und Gro\u00dfkonzerne ab.<\/p>\n
Meldepflichten und finanzielle Risiken bei Verst\u00f6\u00dfen<\/p>\n
Die NIS2-Richtlinie f\u00fchrt ein mehrstufiges System f\u00fcr die Meldung von Sicherheitsvorf\u00e4llen ein. Bei einem signifikanten Incident ist innerhalb von 24 Stunden eine Fr\u00fchwarnung an die zust\u00e4ndigen Beh\u00f6rden zu \u00fcbermitteln. Innerhalb von 72 Stunden muss eine erste Bewertung des Vorfalls erfolgen, gefolgt von einem detaillierten Endbericht nach einem Monat.<\/p>\n
Verst\u00f6\u00dfe gegen diese Sorgfalts- und Meldepflichten sind mit erheblichen Sanktionen belegt. Der Rahmen sieht Bu\u00dfgelder von bis zu 10 Millionen Euro oder alternativ bis zu 2 Prozent des weltweiten Jahresumsatzes vor. Diese drakonischen Strafen unterstreichen den Charakter der Cybersicherheit als zentrales Gesch\u00e4ftsrisiko, das \u00fcber die reine IT-Abteilung hinausgeht.<\/p>\n
Implementierung im internationalen Vergleich<\/p>\n
Die Umsetzung der EU-Vorgaben ist in den Mitgliedstaaten bereits weit fortgeschritten. Die allgemeine Umsetzungsfrist endete bereits am 17. Oktober 2024. In Deutschland trat die entsprechende Gesetzgebung am 6. Dezember 2025 in Kraft; die Frist f\u00fcr die verpflichtende Registrierung beim Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) endete am 6. M\u00e4rz 2026.<\/p>\n
In den Niederlanden gilt das entsprechende Cyberbeveiligingswet (Cbw) seit dem 15. August 2026. Es verpflichtet Unternehmen zur Registrierung, zur Risikobeherrschung sowie zur Meldung signifikanter Vorf\u00e4lle und betont ebenfalls die administrative Verantwortung der F\u00fchrungsebene.<\/p>\n
Im Gegensatz dazu verfolgt Gro\u00dfbritannien mit der \u201eCyber Security and Resilience Bill\u201c einen teilweise anderen Ansatz. W\u00e4hrend der Entwurf, der im September 2026 im Oberhaus weiter beraten wird, ebenfalls strengere Regeln f\u00fcr die digitale Belastbarkeit vorsieht, verzichtet das britische Modell bislang auf eine pers\u00f6nliche Haftung von F\u00fchrungskr\u00e4ften, wie sie in der EU-NIS2 vorgesehen ist. Die vollst\u00e4ndige Umsetzung der britischen Regelungen wird bis zum Jahr 2028 erwartet.<\/p>\n
Herausforderungen in der Lieferkette und im Betrieb<\/p>\n
Ein kritischer Punkt bei der Umsetzung bleibt die Sicherung der Lieferketten. NIS2 verpflichtet Unternehmen dazu, Cyberrisiken entlang der gesamten Wertsch\u00f6pfungskette zu steuern. In der Praxis bedeutet dies, dass Sicherheitsanforderungen \u00fcber vertragliche Vereinbarungen an Zulieferer weitergegeben werden \u2013 auch wenn diese selbst nicht direkt unter den Geltungsbereich der Richtlinie fallen.<\/p>\n
Typische Anforderungen umfassen den Einsatz von Multi-Faktor-Authentifizierung (MFA), Patchmanagement, regelm\u00e4\u00dfige Backup-Tests sowie Zertifizierungen nach Standards wie der ISO 27001.<\/p>\n
Branchenexperten weisen zudem darauf hin, dass in Produktionsbetrieben und Hafenanlagen die Betriebstechnik (OT) oft hinter den Sicherheitsstandards der klassischen IT zur\u00fcckbleibt. Es bestehe die strukturelle Fehlannahme, dass NIS2 als reines IT-Compliance-Projekt behandelt werden k\u00f6nne. Tats\u00e4chlich sei jedoch ein kontinuierliches Risikomanagement erforderlich.<\/p>\n
Analysen zeigen etwa, dass technische Zugangsdaten (Secrets) nach einer Kompromittierung oft zu lange g\u00fcltig bleiben, was j\u00e4hrliche Sicherheitstests allein unzureichend mache. Fachleute empfehlen daher eine gemeinsame Identit\u00e4ts-Governance-Basis f\u00fcr verschiedene regulatorische Anforderungen wie NIS2, CER oder im Finanzbereich DORA.<\/p>\n
\n Hinweis:<\/p>\n
Teile dieses Artikels wurden mithilfe K\u00fcnstlicher Intelligenz erstellt und vor Ver\u00f6ffentlichung redaktionell gepr\u00fcft. Die auf B\u00f6rse Express bereitgestellten Informationen stellen keine Anlage- oder Finanzberatung dar und sind nicht als solche gedacht. Die Informationen dienen ausschlie\u00dflich Informationszwecken. F\u00fcr individuelle Finanzberatung wenden Sie sich an einen qualifizierten Finanzberater. B\u00f6rse Express schlie\u00dft jegliche Regressanspr\u00fcche aus.\n <\/p>\n","protected":false},"excerpt":{"rendered":"Die regulatorischen Anforderungen an die Cybersicherheit und die Betriebskontinuit\u00e4t im maritimen Sektor haben sich versch\u00e4rft. Durch die NIS2-Richtlinie…\n","protected":false},"author":2,"featured_media":364395,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[14],"tags":[46,42,95,90,89,91,94,44,93,92],"class_list":["post-364394","post","type-post","status-publish","format-standard","has-post-thumbnail","category-unternehmen-maerkte","tag-at","tag-austria","tag-business","tag-companies","tag-companies-markets","tag-markets","tag-maerkte","tag-oesterreich","tag-unternehmen","tag-unternehmen-maerkte"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@at\/117183724217142683","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/posts\/364394","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/comments?post=364394"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/posts\/364394\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/media\/364395"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/media?parent=364394"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/categories?post=364394"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/tags?post=364394"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}