NIS2-Richtlinie: Vorstände haften direkt für Cybersicherheit
Veröffentlicht am: 30.08.2026 um 06:48 Uhr | Redaktion boerse-global.de
Die Umsetzung der europäischen NIS2-Richtlinie sowie der CER-Richtlinie (Critical Entities Resilience) verschärft die Haftungsregeln für die Führungsebene in der maritimen Wirtschaft massiv.
Wie Ende August 2026 bekannt wurde, werden Vorstände von Schifffahrtsunternehmen, Häfen und Terminals künftig direkt für Versäumnisse im Bereich der Cybersicherheit zur Rechenschaft gezogen. Besonders Artikel 20 der NIS2-Richtlinie nimmt das Management in die Pflicht: Führungskräfte müssen Risikomanagementmaßnahmen explizit genehmigen und deren Umsetzung überwachen.
Erweiterter Geltungsbereich im maritimen Sektor
Die neuen Regelungen betreffen einen weiten Teil der Transportinfrastruktur. Laut aktuellen Berichten umfasst der Geltungsbereich der NIS2-Richtlinie nicht nur den See- und Küstenverkehr, sondern auch den Binnenpersonen- sowie Güterverkehr.
Ebenfalls betroffen sind Hafenverwaltungen, Betreiber von Hafenanlagen und Schiffsverkehrsdienste. Eine Analyse der Kanzlei WFW zu den neuen Haftungsregeln verdeutlicht, dass Schifffahrts- und Hafenbetreiber ihre internen Compliance-Strukturen grundlegend anpassen müssen, um den rechtlichen Anforderungen gerecht zu werden.
Die Richtlinie zielt darauf ab, die Widerstandsfähigkeit kritischer Infrastrukturen zu erhöhen. Neben der Vorstandshaftung gehören dazu verpflichtende Audits der Lieferketten, ein dokumentiertes Risikomanagement sowie der Einsatz von Verschlüsselungstechnologien nach dem aktuellen Stand der Technik, wie etwa AES-256 oder TLS 1.3.
Strengere Auflagen für die Lieferkette und IT-Dienstleister
Über den maritimen Sektor hinaus verpflichtet NIS2 rund 29.500 Unternehmen in der EU zur aktiven Steuerung von Lieferkettenrisiken. IT-Dienstleister müssen sich darauf einstellen, detaillierte Auskünfte über ihre Sicherheitsarchitektur zu geben.
In entsprechenden Fragebögen werden Aspekte wie Multifaktor-Authentifizierung (MFA), Zugriffskontrollen, Patchmanagement und Backup-Strategien abgefragt. Zudem ist eine Meldung von Sicherheitsvorfällen innerhalb von 24 Stunden zwingend vorgeschrieben.
Wer die IT-Sicherheit im Unternehmen stärken möchte, ohne sofort massiv investieren zu müssen, findet in diesem Gratis-E-Book wertvolle Lösungsansätze. Erfahren Sie, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen proaktiv erfüllen. IT-Sicherheit stärken ohne teure Investitionen
Insgesamt wird erwartet, dass die Richtlinie den Geltungsbereich auf rund 150.000 zusätzliche Organisationen in Europa ausweitet. Davon sind auch zahlreiche kleine und mittlere Unternehmen (KMU) ab 50 Mitarbeitern betroffen. Diese stehen vor besonderen Herausforderungen, da sie oft nicht über einen eigenen Chief Information Security Officer (CISO) verfügen.
Marktbeobachter weisen zudem darauf hin, dass die nationalen Interpretationen der Richtlinie variieren können, was die Komplexität für grenzüberschreitend tätige Firmen erhöht.
Drittparteien-Risiken als zentrale Bedrohung
Die Relevanz dieser Maßnahmen wird durch aktuelle Sicherheitsdaten untermauert. Dem Verizon DBIR 2026 zufolge betrafen 50 Prozent der untersuchten Sicherheitsvorfälle Drittparteien, was einem Anstieg von 60 Prozent im Vorjahresvergleich entspricht.
Zudem sehen 78 Prozent der CEOs Risiken durch externe Partner als größte Barriere für ihre Sicherheit an. In der Praxis zeigt sich die Geschwindigkeit der Bedrohungen: AWS-Zugangsdaten werden nach einer Exponierung oft bereits innerhalb von 17 Minuten angegriffen.
Angesichts der zunehmenden Bedrohungen durch Cyberangriffe und neue gesetzliche Pflichten ist eine fundierte Vorbereitung für Unternehmer entscheidend. Dieser kostenlose Report klärt darüber auf, welche rechtlichen Risiken auf Firmen zukommen und wie Sie sich wirksam schützen. Gratis-Report zu Cyberrisiken und Rechtsfolgen herunterladen
Experten raten Unternehmen daher zum Aufbau einer einheitlichen Identitätskontrolle, die Anforderungen aus NIS2, DORA und CER bündelt. Statt punktueller jährlicher Überprüfungen fordern die Regulierungsbehörden eine kontinuierliche Überwachung der Risiken.
Strategien zur Umsetzung und regionale Initiativen
Um den neuen Anforderungen gerecht zu werden, bilden sich erste strategische Allianzen. In Irland starteten EY Ireland und CrowdStrike eine Partnerschaft, um Cyber-Resilienz-Dienste mit spezialisierten Plattformlösungen für kritische Sektoren wie Transport, Energie und Gesundheit zu kombinieren.
In den Niederlanden unterstützt der Verband KVGO seine Mitglieder mit einem zertifizierten Stufenmodell bei der Vorbereitung auf die NIS2-Lieferkettenpflichten.
Erfahrungsberichte aus mittelgroßen Unternehmen mit etwa 2000 Workstations zeigen, dass eine schrittweise Einführung der Maßnahmen erfolgversprechender ist als eine abrupte Umstellung. Als wesentliche Erfolgsfaktoren gelten ein detailliertes Asset-Mapping, die Unterstützung durch das Top-Management sowie regelmäßige Schulungen und Tests zur Wiederherstellung von Systemen im Ernstfall.
