Tag IT-Informationssicherheit

Feiertage wie der 1. Mai stehen vor der Tür – doch Risiken machen keinen Urlaub.

Besonders Betreiber kritischer Infrastrukturen wissen: Ein Zwischenfall am Feiertag kann verheerende Folgen haben. Der Stromausfall am 28. April diesen Jahres Südeuropa zeigt, wie plötzlich massive Störungen eintreten können. Gerade an Feiertagen ist schnelles Handeln bei reduzierter Personalstärke entscheidend. Unternehmen müssen ihr IT-Risikomanagement (https://securam-consulting.com/risikomanagement/) auf den Prüfstand stellen und ihre Resilienz stärken.
Feiertage als Risikofaktor
Reduzierte Teams, eingeschränkte Reaktionsfähigkeit und gezielte Cyberangriffe machen Feiertage zu Hochrisiko-Zeiten. Eine Studie des Digitalverbandes BitKom zeigt: 86% der Unternehmen erleben Angriffe an Feiertagen oder Wochenenden. Gleichzeitig wird das Sicherheitspersonal oft halbiert. Natürliche Risiken wie Stürme oder Blackouts verschärfen die Lage. Der Stromausfall in Spanien und Portugal – verursacht durch ein seltenes Phänomen oder möglicherweise Cyberangriffe – verdeutlicht: Auch mit Redundanzen bleibt Wachsamkeit essenziell.

KRITIS-Betreiber unter Druck
Unternehmen im Bereich kritischer Infrastrukturen tragen besondere Verantwortung. Ihr Ausfall hat gravierende Folgen für Gesellschaft und Wirtschaft. Zwei Bedrohungen dominieren:
Stromausfälle: Hochspannungsnetze reagieren empfindlich auf physische und digitale Angriffe. Betreiber brauchen belastbare Backup-Strukturen und einsatzbereite Krisenteams.
Cyberattacken: Feiertage sind ideale Zeitpunkte für Hackerangriffe auf kritische Systeme. Ohne 24/7-Monitoring und eingespielte Incident-Response-Pläne riskieren Unternehmen schwere Schäden.

Am 28. April 2025 kam es zu einem der schwersten Stromausfälle in der Geschichte der Iberischen Halbinsel. Binnen Sekunden brachen in Spanien und Portugal große Teile der Stromversorgung zusammen. Laut Angaben des spanischen Netzbetreibers REE (Red Electrica de Espaoa) wurden zeitweise mehr als 60 % der erzeugten Energie vom Netz genommen – eine immense Belastung für die Infrastruktur.

Erste Analysen deuten auf ein seltenes meteorologisches Phänomen hin: sogenannte induzierte atmosphärische Schwingungen, ausgelöst durch extreme Temperaturschwankungen, könnten Störungen in Hochspannungsleitungen verursacht haben.
Parallel gab es Spekulationen über Cyberangriffe. Behörden schlossen diese Möglichkeit nicht vollständig aus, konnten sie jedoch bis heute nicht bestätigen.
Technische Defekte, etwa im Bereich der Netzsynchronisation oder Schutzmechanismen, könnten als begünstigende Faktoren eine Rolle gespielt haben.

Die Folgen sind verheerend!
Massive Ausfälle im gesamten öffentlichen Leben: U-Bahnen, Ampeln, Eisenbahnverkehr (über 30.000 evakuierte Fahrgäste) und Telekommunikation waren betroffen.
Erste Schätzungen gehen von Milliardenschäden aus – u.a. durch Produktionsstopps, Versorgungsunterbrechungen und logistische Probleme. Panikkäufe und kurzfristige Versorgungsengpässe in betroffenen Regionen.
Nationale und europäische Behörden aktivierten Notfallpläne; die Wiederherstellung der Stromversorgung verlief schrittweise innerhalb weniger Stunden.

Wie sieht es in Deutschland aus? Kann es hierzulande zu einem vergleichbaren Blackout kommen?
Laut Bundesnetzagentur ist ein vergleichbarer Blackout in Deutschland unwahrscheinlich aufgrund redundanter Netzstrukturen und sogenannter schwarzstartfähiger Kraftwerke. Dennoch zeigt der Vorfall: Extremwetter, technische Versagen oder koordinierte Cyberangriffe können auch in hochentwickelten Netzen zu großflächigen Ausfällen führen. Besonders kritisch: Feiertage und Wochenenden verstärken die Verwundbarkeit, da weniger Fachpersonal sofort verfügbar ist.

Betreiber kritischer Infrastrukturen stehen vor besonderen Herausforderungen. Ihre Dienste – etwa Strom, Wasser, Gesundheitsversorgung, Telekommunikation – müssen möglichst ausfallsicher funktionieren, auch wenn die Belegschaft am Feiertag klein ist. Dennoch zeigt die Realität Schwachstellen: In Notfallprozeduren fehlen Feiertagsszenarien. Viele Notfallpläne setzen implizit voraus, dass genug Personal sofort verfügbar ist – was an Feiertagen nicht der Fall ist.

Zwei Bedrohungsszenarien sind besonders gefürchtet:
Großflächiger Stromausfall: Neben technischen Pannen steigt die Gefahr gezielter Angriffe auf Stromnetze. Sicherheitsbehörden untersuchen aktuell, ob hinter dem Südeuropa-Blackout ein Hackerangriff steckte. Für Energieversorger und Netzbetreiber heißt das: Sie brauchen belastbare Notfallmechanismen, um im Ernstfall auch mit kleinem Team handlungsfähig zu sein.

Cyberattacke auf kritische Systeme: Ob Krankenhaus oder Verkehrsleitzentrale – ein gezielter Cyberangriff kann im Feiertagsbetrieb durchrutschen und großen Schaden anrichten. An Feiertagen könnten solche Angriffe unentdeckt bleiben, bis es zu spät ist. Deshalb brauchen Betreiber 24/7-Monitoring, automatisierte Alarme und eingespielte Notfallteams, die auch am 1. Mai mobilisiert werden können.
Fazit für kritische Infrastruktur: An Feiertagen verschärft sich das Risiko, dass ein einzelner Vorfall schnell zur Krise eskaliert. Deshalb ist ein proaktives IT-Risikomanagement unerlässlich.

Ein wirkungsvolles Risikomanagement stützt sich auf bewährte Kernprozesse. Die wesentlichen Bausteine sind: Risikoanalyse, Business Impact Analyse, Notfallmanagement (inklusive Notfallplänen), Krisenkommunikation und Wiederherstellungsstrategien. Jeder dieser Schritte muss sorgfältig geplant, umgesetzt und regelmäßig aktualisiert werden – erst recht im Hinblick auf Feiertags-Szenarien.

Gefahren systematisch erkennen und bewerten:
Am Anfang steht die Risikoanalyse. Sie beantwortet die Fragen: Welche Risiken bestehen für unser Unternehmen? Wie wahrscheinlich sind sie und welches Schadenspotenzial tragen sie? Dabei werden alle erdenklichen Bedrohungen erfasst – von Naturkatastrophen über technische Ausfälle bis hin zu Cyberangriffen oder menschlichem Versagen. Für kritische Infrastrukturen gehören dazu z.B. Stromausfälle, Hackerangriffe auf Steuerungssysteme, Sabotage, Pandemie-bedingter Personalausfall oder Lieferengpässe bei wichtigen Ressourcen.
Eine detaillierte Risikoanalyse bildet die Grundlage für alle weiteren Schritte im Notfallmanagement. Sie schafft Klarheit darüber, gegen welche Szenarien vorrangig Vorkehrungen getroffen werden müssen. Beispiel: Die Analyse könnte ergeben, dass ein Cyberangriff mit Ransomware wegen früherer Vorfälle hoch wahrscheinlich ist und das Risiko „Datenverschlüsselung & IT-Ausfall“ das gesamte Unternehmen lahmlegen könnte – kritischer als etwa das Risiko „Blitzeinschlag im Rechenzentrum“, weil letzteres durch Überspannungsschutz gemindert ist.

Was steht bei einem Ausfall auf dem Spiel?
Nicht jedes identifizierte Risiko ist gleichermaßen kritisch. Hier kommt die Business Impact Analyse (https://securam-consulting.com/business-continuity-management-bcm-beratung/)(BIA) ins Spiel. Die BIA untersucht systematisch, welche Prozesse und Ressourcen für das Unternehmen wirklich essenziell sind und welche Folgen deren Ausfall hätte. Kritische Geschäftsprozesse – also solche, die direkt die Geschäftsziele ermöglichen – werden identifiziert. BIA beantwortet zum Beispiel: Welche Abteilungen oder IT-Systeme müssen innerhalb von Stunden wieder funktionieren, weil sonst enorme Schäden drohen? Welche können auch mal ein, zwei Tage stillstehen, ohne dass gleich die Existenz auf dem Spiel steht?

Eine effektive BIA bewertet verschiedene Schadensszenarien und den zeitlichen Verlauf der Auswirkungen Es wird analysiert, dass nicht nur ein Prozess wichtig ist, sondern wie lange sein Ausfall tolerierbar wäre (Recovery Time Objective, RTO) und welche Mengen an Datenverlust maximal verkraftbar sind (Recovery Point Objective, RPO).
Gerade für kritische Infrastrukturen gilt: Die wichtigsten Prozesse müssen unter allen Umständen aufrechterhalten oder schnellstmöglich wiederhergestellt werden. Die BIA hilft, diese Prozesse zu benennen und quantifizieren – z.B. der Betrieb einer Leitstelle, eines Klinik-OPs oder einer Netzwerkknotenstation. Sie zeigt auch die Verflechtungen auf, etwa dass ein Ausfall der IT auch Produktion und Logistik lahmlegt und somit ein eigentlich lokal wirkendes Ereignis (Serverausfall im Rechenzentrum) globale Lieferketten ins Stolpern bringen kann.

Notfallmanagement bedeutet, sich proaktiv auf den Umgang mit möglichen Krisen vorzubereiten, um im Ernstfall handlungsfähig zu sein. Im Kern umfasst es zwei Aspekte: Notfallvorsorge (präventive Maßnahmen, um Notfälle zu vermeiden oder abzumildern) und Notfallplanung (konkrete Handlungsanweisungen, wenn der Notfall tatsächlich eintritt). Das Ergebnis sind typischerweise zwei zentrale Dokumente: ein Notfallvorsorgekonzept und ein Notfallhandbuch.

Entwicklung von Notfallplänen: Basierend auf den Erkenntnissen aus Risikoanalyse und BIA werden detaillierte Notfallpläne erstellt. Darin wird festgelegt, wer im Krisenfall was zu tun hat. Klare Anweisungen und Zuständigkeiten für verschiedene Notfallszenarien müssen definiert sein. Für jedes priorisierte Risiko gibt es einen Aktionsplan: z.B. „Was tun bei komplettem Stromausfall?“ oder „Verfahren bei Cyber-Erpressung/Ransomware“. Ein guter Notfallplan enthält konkrete Maßnahmen: etwa Evakuierungspläne (bei Gebäudebrand), Umschalten auf Backup-Systeme (bei IT-Ausfall), alternative Kommunikationswege (wenn Telefon/Internet tot sind) etc.

Regelmäßige Tests und Übungen: Kein Plan überlebt den ersten Kontakt mit der Realität, wenn er nicht erprobt wurde. Darum müssen Notfallpläne regelmäßig getestet und geübt werden. Mitarbeiter – auch jene, die an Feiertagen vielleicht im Rufbereitschafts-Team sind – sollten ihre Rollen und Verantwortlichkeiten in Krisen genau kennen. Übungen decken Lücken auf und schärfen das Bewusstsein. Ein Test des Notfallplans vor einem langen Feiertagswochenende kann zeigen, ob die Alarmierungsketten auch funktionieren.

Krisenkommunikation – intern und extern den Überblick bewahren:
Eine oft unterschätzte Disziplin des Risikomanagements ist die Krisenkommunikation. Sie entscheidet mit darüber, ob ein Unternehmen eine Krise halbwegs unbeschadet meistert – oder ob zusätzlich zum eigentlichen Vorfall auch noch Chaos in Information und Reputation entsteht. Eine robuste Kommunikationsstrategie ist daher essenziell.

Wiederherstellungsstrategien – Rückkehr zum Normalbetrieb beschleunigen:
Ist die akute Phase überstanden, muss das Unternehmen so schnell wie möglich wieder in den Normalbetrieb kommen. Hier greifen die Wiederherstellungsstrategien, oft auch als Disaster-Recovery-Planung bezeichnet. Dabei handelt es sich um konkrete Ansätze und Maßnahmen, um ausgefallene Systeme, Daten und Prozesse wiederherzustellen.

Ein zentrales Konzept ist die Redundanz: Kritische Komponenten sollten doppelt vorhanden sein, sodass beim Ausfall einer Komponente die andere übernimmt.
Im Falle von Cyberangriffen (Ransomware) etwa ist ein aktuelles, offline verfügbares Backup das Rettungsboot, um verschlüsselte Daten wiederherzustellen. Wiederherstellungsstrategie heißt hier, bereits im Voraus festzulegen, wie oft Backups gemacht werden, wo sie aufbewahrt werden und wie schnell sie im Ernstfall eingespielt werden können.

Für IT-Systeme bedeutet Recovery-Planung auch, Wiederanlaufverfahren zu definieren. Welche Systeme müssen in welcher Reihenfolge hochgefahren werden? Gibt es Abhängigkeiten (z.B. erst die Datenbank, dann die Applikation)? Solche Pläne verhindern hektisches Ausprobieren im Ernstfall. Dokumentation ist hier wichtig – oft kennt der eine Admin die Reihenfolge aus dem Effeff, aber was, wenn er gerade im Urlaub ist?

Externe Spezialisten ins Boot holen: Warum stärkt die Beratung die Resilienz?

Angesichts der komplexen Bedrohungslage und der neuen Richtlinien beispielsweise NIS2 (https://securam-consulting.com/nis-2-network-information-security/)/DORA sollten Unternehmen nicht zögern, externe spezialisierte IT-Beratungsunternehmen wie die Securam Consulting GmbH (https://securam-consulting.com/)hinzuzuziehen. Externe Experten für IT-Risikomanagement und Cybersecurity können aus mehreren Gründen den entscheidenden Unterschied machen:
Spezialisiertes Know-how: Die Experten des Hamburger IT- Beratungsunternehmens bringen aktuelles Fachwissen mit. Sie kennen die neuesten Angriffsmethoden, Sicherheitsstandards und Best Practices branchenübergreifend.

Ein internes Team übersieht womöglich bestimmte Risiken – der Blick von außen deckt blinde Flecken auf. Beispielsweise kann mittels Penetrationstest geprüft werden, ob die Feiertags-Notfallroutine wirklich wasserdicht ist, oder ob etwa ein Hacker dennoch eine kaum überwachte Remote-Schnittstelle finden würde.
Die Securam Consulting (https://securam-consulting.com/it-security-services/)hat jahrzehntelange Erfahrungen aus vielen Krisenszenarien. Die Experten wissen, was in einem echten Ernstfall funktioniert und was nicht. Dieses Erfahrungswissen fließt in die Empfehlungen ein – zum Vorteil des Kunden. Ein externer Krisenmanager, der schon Blackouts oder Ransomware-Fälle begleitet hat, kann zum Beispiel wertvolle Hinweise geben, wie man die Wiederanlaufphase beschleunigt oder mit Behörden effizient kooperiert.

Zum Abschluss einige konkrete Empfehlungen, wie Unternehmen – ob KRITIS oder nicht – ihre Resilienz für Feiertage erhöhen können. Diese praxisnahen Tipps helfen, vorbereitet ins nächste lange Wochenende zu gehen:
Notfallteam und Rufbereitschaft einrichten: Stellen Sie frühzeitig ein Kernteam zusammen, das an Feiertagen im Notfall kontaktiert werden kann. Definieren Sie klare Rufbereitschaften und stellen Sie sicher, dass die Kontakte immer aktualisiert sind.

Feiertags-Szenarien durchspielen: Integrieren Sie Sonderszenarien in Ihre Notfallübungen: Was wäre, wenn ein Vorfall am 1. Mai um 3 Uhr morgens passiert?

Automatisierte Überwachung und Alarme: Nutzen Sie Technologie, um die reduzierte Personaldecke auszugleichen. Implementieren Sie Monitoring-Tools, die ungewöhnliche Vorkommnisse (Netzwerktraffic, Serversignale, physische Sensoren) sofort erkennen und automatisch Alarm schlagen.
Notstrom- und Backup-Systeme testen: Gerade in kritischen Infrastrukturen: Testen Sie kurz vor Feiertagen alle Notstromaggregate, USV-Anlagen und Backup-Leitungen. Vergewissern Sie sich auch, dass wichtige Ersatzteile (Netzwerkkarten, Server, Router) vorhanden sind.

Fazit
Feiertage wie der 1. Mai sind keine Pause für Bedrohungen – sondern ein Härtetest für das Risikomanagement. Unternehmen, die vorbereitet sind, werden Krisen schneller meistern und Resilienz beweisen. Die Securam Consulting unterstützt Unternehmen mit umfassender Beratung bei Risikoanalyse, Notfallplanung, Krisenkommunikation und IT-Sicherheitsstrategien – für eine widerstandsfähige Zukunft.

Die Securam Consulting GmbH ist ein agiles und inhabergeführtes IT-Beratungsunternehmen mit Firmensitz in Hamburg.
Zu den zahlreichen Kunden zählen vor allem Unternehmen aus dem Finanzsektor. Dank der Spezialisierung auf
mittelständische Unternehmen mit kritischen Infrastrukturen ist das IT-Consultingunternehmen allen regulatorischen Vorgaben gewachsen.
Die Komplexität vernetzter Informationssysteme und sich immer schneller entwickelnder Sicherheitsstandards, setzten eine schnelle und
erfolgreiche Einführung einer nachhaltigen Sicherheitsstrategie voraus.

Firmenkontakt
Securam-Consulting GmbH
Nadine Eibel
Neue ABC Straße 8
20354 Hamburg
+49 40-298 4553-0

Home

Pressekontakt
Securam-Consulting GmbH
Anette Hollenbach
Neue ABC Straße 8
20354 Hamburg
+49 40-298 4553-21

Home

Maximaler Handlungsdruck bei Evaluierung und Umsetzung

Die Securam Consulting GmbH begleitet Unternehmen bei der NIS-2 Umsetzung

Viele Firmen und Organisationen sind weiterhin mit Unsicherheiten konfrontiert, insbesondere hinsichtlich der Meldewege und Prozessabläufe im Falle eines Cyberangriffs. Aktuell erfolgt die Meldung eines Sicherheitsvorfalles nach vorheriger Registrierung über das Melde- und Informationsportal des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Vier Meldestellen stehen zur Auswahl:
1. Meldestelle Allianz für Cybersicherheit
2. Meldestelle Bund (§ 4 BSIG)
3. Meldestelle Cyber-Sicherheitsnetzwerk
4. Meldestelle KRITIS
Für meldepflichtige Betreiber einer kritischen Infrastruktur, Anbieter digitaler Dienste, Telekommunikationsunternehmen oder weitere meldepflichtige Unternehmen existieren jedoch andere Meldewege. Hier kann die Meldung eines Cyberangriffs nur telefonisch oder per E-Mail erfolgen.
Entscheidend ist jedoch, dass mit der Einführung der NIS2-Richtlinie bis Mitte dieses Jahres klar definierte Prozesse mit konkreten Vorgaben zu Inhalten, Fristen und Abläufen etabliert werden, die als verbindliche Grundlage für eine Meldung gelten.

Die erweiterte NIS2-Richtlinie betrifft deutlich mehr Unternehmen als ihre Vorgänger:
Neue Kriterien für Unternehmensgröße, Zahl der Mitarbeitenden und Umsatz erweitern den Kreis der betroffenen Firmen erheblich. Damit steigt auch die Verantwortung, die Sicherheitsstandards auf ein neues Level zu heben.

Die Anforderungen reichen von der 24/7-Überwachung der IT-Systeme über automatisierte Reaktionen auf Sicherheitsvorfälle bis zu regelmäßigen Meldungen an die zuständige Behörde. Doch der Schutz geht weit über IT-Sicherheit hinaus – auch physische und personenbezogene Sicherheitsaspekte müssen in das Gesamtkonzept integriert werden.

Eine Umfrage von Veeam Software Group GmbH ergab, dass sich zwar 70 Prozent der befragten Firmen gut auf die neue EU-Richtlinie vorbereitet fühlen, jedoch nur 37 Prozent tatsächlich konform mit NIS2 (https://securam-consulting.com/nis-2-network-information-security/) sind. Veraltete Technologien sind das Haupthindernis auf dem Weg zur NIS2-Compliance, gefolgt von fehlendem Budget und organisatorischen Silos.
Zudem berichteten 87 Prozent der Teilnehmer von mindestens einem Sicherheitsvorfall im vergangenen Jahr, der durch NIS2-Maßnahmen vermeidbar gewesen wäre. Diese Diskrepanz zwischen Selbstwahrnehmung und Realität verdeutlicht den Handlungsbedarf in deutschen Unternehmen.

Denn nur 23 Prozent der befragten Sicherheitsexperten haben fortgeschrittene Backup-Verfahren implementiert. In Zeiten zunehmender Ransomware-Attacken und Betriebsausfälle durch Malware-Infektionen stellt das Fehlen robuster Backup- und Recovery-Maßnahmen eine ernsthafte Bedrohung dar – im schlimmsten Fall kann es die Existenz eines Unternehmens gefährden.

Die Securam Consulting GmbH (https://securam-consulting.com/ueber-uns-securam/)unterstützt und berät gezielt bei der Implementierung effektiver Backup- und Recovery-Strategien, die nicht nur den Anforderungen der NIS2-Richtlinie entsprechen, sondern auch einen zuverlässigen Schutz vor Cyberangriffen gewährleisten. Durch den Einsatz unveränderlicher Backups und Notfallwiederherstellungspläne sorgt das Hamburger IT-Consultingunternehmen dafür, dass Firmen und Organisationen auch im Ernstfall handlungsfähig bleiben und Datenverluste minimiert werden.

Die Bitkom-Studie „Wirtschaftsschutz 2024“ wiederum zeigt eine alarmierende Zunahme von Cyberangriffen auf deutsche Unternehmen im Jahr 2024. Demnach waren in den vergangenen zwölf Monaten 81% der Unternehmen von Diebstahl, Industriespionage oder Sabotage betroffen, was einen Anstieg gegenüber den 72% im Vorjahr darstellt. Der dadurch entstandene finanzielle Schaden beläuft sich auf 266,6 Milliarden Euro, ein Plus von etwa 29% im Vergleich zum Vorjahr.
Besonders besorgniserregend ist, dass 65% der Unternehmen ihre Existenz durch Cyberangriffe bedroht sehen, während es im Vorjahr noch 52% waren. Nur 53% der Befragten glauben, gut auf solche Angriffe vorbereitet zu sein.

Besonders KRITIS-Unternehmen und Zulieferer stehen vor wachsenden Herausforderungen. Der Zeitdruck ist hoch, denn in wenigen Monaten greifen die Anforderungen der NIS-2 Richtlinie. Die Implementierung notwendiger Systeme, wie eines Informationssicherheits-Managementsystems (ISMS) (https://securam-consulting.com/it-compliance-governance/), kann bis zu einem Jahr in Anspruch nehmen.

Zusätzlich erschwert die zunehmende Komplexität moderner IT-Infrastrukturen die Umsetzung, während begrenzte Kapazitäten oft den Fokus auf das Tagesgeschäft lenken. Neben hohen Strafen von bis zu 10 Millionen Euro oder zwei Prozent des Jahresumsatzes fordert die NIS2-Richtlinie sowohl technische Maßnahmen als auch die Entwicklung klar definierter Strukturen und Prozesse
Die Geschäftsführung muss nachweisen, dass angemessene Schutzmaßnahmen getroffen wurden. Fehlen diese, drohen persönliche Haftungsansprüche.

Ein durchdachtes, strukturiertes Vorgehen ist der Schlüssel, um sich langfristig vorzubereiten und regulatorischen Anforderungen gerecht zu werden.

Ausgangspunkt – Gap-Analyse als strategischer Startpunkt:
Eine fundierte Bestandsaufnahme ist essenziell. Unternehmen müssen ihren aktuellen Sicherheitsstatus detailliert erfassen, um gezielte Maßnahmen ableiten zu können. In der Praxis gestaltet sich dies jedoch oft als Herausforderung, da vielfach die notwendige Transparenz in der IT-Landschaft fehlt.
NIS2 fordert zudem, dass nicht nur IT-Sicherheitsrisiken berücksichtigt werden, sondern auch physische und personenbezogene Sicherheitsrisiken in das Konzept einfließen. Begrenzte Ressourcen und fehlende strategische Priorisierung führen häufig dazu, dass essenzielle Prozesse vernachlässigt werden.

Diese Kernfragen helfen Unternehmen, Schwachstellen zu identifizieren und Handlungsbedarf abzuleiten:

– Patchmanagement: Sind alle Systeme auf dem aktuellen Stand? Gibt es eine strukturierte
Vorgehensweise zur Implementierung ausstehender Updates ohne Betriebsunterbrechung?

– Legacy-Systeme und Abhängigkeiten: Gibt es veraltete IT-Systeme, die keine Sicherheitsupdates mehr
erhalten? Falls ja, wie wird durch weitergehende Maßnahmen die Sicherheit gewährleistet oder ist der
Einsatz eines Legacy-Systems bereits geplant?

– Sensible Daten und Zugriff: Wo werden kritische und sensible Daten gespeichert (sowohl digital als auch
physisch)? Sind Zugriffsrechte klar geregelt und dokumentiert?

– Zulieferer und Partner: Partner haben Zugriff auf unternehmenskritische IT-Infrastrukturen und Daten?
Wie werden diese Zugänge kontrolliert verwaltet?

– Notfallmanagement: Gibt es Notfallpläne, die klare Zuständigkeiten und Abläufe auch außerhalb der
regulären Arbeitszeiten abdecken?

– Prozesse und Dokumentation: Welche Sicherheitsprozesse sind dokumentiert und wie wird deren
kontinuierliche Aktualisierung sichergestellt?

Eine fundierte Gap-Analyse ist nur der Anfang: Unternehmen benötigen eine langfristige Sicherheitsstrategie. Internationale Standards wie ISO 27001 bieten dabei wertvolle Orientierung. Diese Norm definiert die Anforderungen an ein ISMS, das als strukturiertes Rahmenwerk dient, um technische und organisatorische Sicherheitsmaßnahmen effizient umzusetzen und kontinuierlich zu verbessern.

Technologische Wegbereiter für NIS2-Compliance:
Nach der Gap-Analyse ist der nächste Schritt der Aufbau einer soliden technischen Infrastruktur zur Einhaltung der NIS2-Richtlinie (https://securam-consulting.com/nis-2-network-information-security/). Einzellösungen reichen nicht aus, um die komplexen Anforderungen zu erfüllen. Vielmehr rückt der Einsatz eines Security Operations Centers (SOC) in den Fokus. Ein SOC spielt eine entscheidende Rolle in der Echtzeit-Analyse sicherheitsrelevanter Daten, der frühzeitigen Erkennung von Bedrohungen sowie der Automatisierung von Reaktionsmechanismen.

Organisatorische Integration – Prozesse und Krisenmanagement:
Die technologischen Maßnahmen entfalten ihre voll Wirkung durch eine nahtlose Integration in bestehende Prozesse. Ein Informationssicherheits-Managementsystem (ISMS) bildet dabei das zentrale Fundament: Es schafft eine einheitliche Sicherheitsstrategie, ermöglicht eine messbare Erfolgskontrolle und steigert die Anpassungsfähigkeit an neue Sicherheitsanforderungen.
Krisenmanagement als Schlüsselfaktor

Notfallpläne müssen nicht nur existieren, sondern aktiv in die Unternehmensprozesse eingebunden werden. Simulationsübungen und Tabletop-Trainings ermöglichen eine praxisnahe Überprüfung und Optimierung dieser Pläne. Die Schulung der Mitarbeitenden in Sicherheitsfragen ist ebenso essenziell, um das Sicherheitsbewusstsein und die Handlungskompetenz zu stärken.

Ein effektives Sicherheitsmanagement ist eine abteilungsübergreifende Aufgabe, die vom Management gesteuert und von allen relevanten Fachbereichen unterstützt werden muss. Eine Gap-Analyse ermöglicht eine detaillierte Identifikation von potenziellen Qualifikationslücken und zeigt auf, in welchen Bereichen zusätzlicher Schulungsbedarf bei Mitarbeitenden besteht.
Basierend auf diesen Erkenntnissen empfiehlt die Securam Consulting gezielt maßgeschneiderte Schulungen, um die erforderlichen Kompetenzen zu stärken und die IT-Sicherheitsstrategie (https://securam-consulting.com/it-compliance-governance/) nachhaltig zu optimieren.

Sind deutsche Unternehmen jetzt bereit für NIS2?
Ob Unternehmen tatsächlich NIS2-konform sind, lässt sich erst beantworten, wenn die Richtlinie in Deutschland in nur wenigen Monaten endgültig umgesetzt ist. Doch der Weg dorthin beginnt jetzt – mit einer fundierten Gap-Analyse, die Sicherheitslücken identifiziert und gezielte Maßnahmen ableitet. Ergänzt durch ein ISMS entsteht eine stabile Grundlage, um technische und organisatorische Prozesse automatisch auf NIS2 auszurichten und flexibel auf die endgültigen Anforderungen zu reagieren.

Die Sicherheitsexpertin und Geschäftsführerin der Securam Consulting (https://securam-consulting.com/kontaktaufnahme/), Nadine Eibel, zieht folgendes Fazit:
„NIS2 erfordert mehr als eine einmalige Anpassung. Regelmäßige Überprüfungen, eine starke Sicherheitsstrategie und ein belastbares Krisenmanagement sind essentiell, um Risiken zu minimieren und die Resilienz kontinuierlich zu steigern. Unternehmen müssen jetzt aktiv werden. Sie stärken nicht nur ihre Sicherheitskultur und das Vertrauen ihrer Partner, sondern verschaffen sich auch einen strategischen Vorteil im digitalen Wettbewerb.“

Quellennachweis: Studie Bitkom, Studie Veeam Software Group GmbH
Quellenhinweis: Computer Weekly.com

Die Securam Consulting GmbH ist ein agiles und inhabergeführtes IT-Beratungsunternehmen mit Firmensitz in Hamburg.
Zu den zahlreichen Kunden zählen vor allem Unternehmen aus dem Finanzsektor. Dank der Spezialisierung auf
mittelständische Unternehmen mit kritischen Infrastrukturen ist das IT-Consultingunternehmen allen regulatorischen Vorgaben gewachsen.
Die Komplexität vernetzter Informationssysteme und sich immer schneller entwickelnder Sicherheitsstandards, setzten eine schnelle und
erfolgreiche Einführung einer nachhaltigen Sicherheitsstrategie voraus.

Firmenkontakt
Securam-Consulting GmbH
Nadine Eibel
Neue ABC Straße 8
20354 Hamburg
+49 40-298 4553-0

Home

Pressekontakt
Securam-Consulting GmbH
Anette Hollenbach
Neue ABC Straße 8
20354 Hamburg
+49 40-298 4553-0

Home

Verzögerung mit weitreichenden Folgen für Cybersicherheit und Wirtschaft

IT Beratungsunternehmen – Securam Consulting GmbH

Die nationale Umsetzung der EU-Richtlinien NIS2 und CER in Deutschland wird nicht mehr vor der nächsten Bundestagswahl abgeschlossen. Dies führt zu einer anhaltenden Rechtsunsicherheit für Unternehmen und Betreiber kritischer Infrastrukturen, da verbindliche Regelungen zur Cybersicherheit und Resilienz weiterhin fehlen. Zudem droht Deutschland nun ein Vertragsverletzungsverfahren der Europäischen Union, was zu erheblichen finanziellen Sanktionen führen kann.

Hintergrund und Bedeutung der Gesetzgebung:
Die NIS2-Richtlinie wurde von der Europäischen Union verabschiedet, um einheitliche und strengere Cybersicherheitsanforderungen für Unternehmen und Organisationen in Europa zu schaffen. Sie ersetzt die bisherige NIS-Richtlinie und erweitert den Geltungsbereich auf mehr Branchen, während sie gleichzeitig verschärfte Meldepflichten und Sanktionsmechanismen einführt. Die CER-Richtlinie ergänzt diese Vorgaben durch analoge Schutzmaßnahmen für kritische Infrastrukturen.

Deutschland plante die Umsetzung dieser Regelwerke durch zwei miteinander verzahnte Gesetze:
1. Das NIS2-Umsetzungsgesetz, das Anforderungen an IT-Sicherheit (https://securam-consulting.com/ueber-uns/), Meldepflichten und Risikomanagement für Unternehmen regeln sollte.
2. Das KRITIS-Dachgesetz, das umfassende Sicherheitsvorgaben für kritische Infrastrukturen enthielt, um physische und digitale Bedrohungen ganzheitlich zu adressieren.
Da das NIS2-Umsetzungsgesetz nicht verabschiedet wurde, ist auch das KRITIS-Dachgesetz hinfällig, da beide Regelwerke aufeinander aufbauen.

Gescheiterte Verhandlungen und politische Verantwortung:
Trotz intensiver Verhandlungen zwischen den Regierungsparteien SPD, Grünen und FDP nach dem Zerfall der Ampel-Koalition konnte keine Einigung erzielt werden. Ein zentraler Streitpunkt war das geplante Schwachstellenmanagement, das insbesondere von der FDP gefordert wurde. Während die SPD nicht bereit war, einer zweijährigen Übergangsfrist zuzustimmen, bestand die FDP auf maximalen Anpassungen der Regelung.
Die Grünen machten sowohl die Verhandlungspartner als auch Bundesinnenministerin Nancy Faeser (SPD) für das Scheitern verantwortlich. Sie kritisierten, dass die Regierung es versäumt habe, die Umsetzungsgesetze frühzeitig vorzulegen – obwohl die EU-Richtlinien bereits seit über zwei Jahren vorlagen. Die Unionsfraktion signalisierte ihrerseits kein Interesse mehr an weiteren Verhandlungen, da sie insbesondere den NIS2-Entwurf für nicht verhandlungstauglich hielt.

Das Scheitern der Gesetze hat erhebliche Auswirkungen:
Rechtsunsicherheit für Unternehmen: Unternehmen und Betreiber kritischer Infrastrukturen wissen nicht, welche konkreten Cybersicherheitsmaßnahmen (https://securam-consulting.com/business-continuity-management/)sie ergreifen müssen, da die nationalen Vorschriften fehlen.

Verzögerung der EU-Umsetzung und drohendes Vertragsverletzungsverfahren:
Die Frist zur Umsetzung der NIS2-Richtlinie in nationales Recht endete im Oktober 2024. Da Deutschland diese Vorgaben nicht fristgerecht in nationales Recht überführt hat, droht ein Vertragsverletzungsverfahren durch die EU-Kommission.
Fehlende Schutzmechanismen: Ohne klare gesetzliche Vorgaben bleibt das Risikomanagement in Unternehmen fragmentiert, wodurch die Abwehrfähigkeit gegen Cyberangriffe und physische Bedrohungen beeinträchtigt wird.

Vertragsverletzungsverfahren und mögliche Strafen für Deutschland:
Wenn Deutschland die NIS2-Richtlinie weiterhin nicht in nationales Recht umsetzt, wird die Europäische Kommission ein Vertragsverletzungsverfahren gegen Deutschland einleiten.
Dies geschieht in mehreren Stufen:
Förmliche Aufforderung („Letter of Formal Notice“) durch die EU-Kommission
Deutschland erhält eine erste Mahnung mit einer Frist zur Nachbesserung.
Begründete Stellungnahme („Reasoned Opinion“) durch die Kommission
Falls keine ausreichende Reaktion erfolgt, wird eine zweite, formelle Aufforderung erteilt.
Klage vor dem Europäischen Gerichtshof (EuGH)
Bei weiterer Untätigkeit kann die Kommission Klage beim Europäischen Gerichtshof (EuGH) einreichen.
Falls Deutschland verliert, muss die Bundesregierung die Richtlinie unverzüglich umsetzen.

Finanzielle Sanktionen:
Falls Deutschland nach einem EuGH-Urteil weiterhin nicht nachbessert, kann der Gerichtshof Geldstrafen verhängen.

Wie geht es weiter?
Nach der Bundestagswahl muss eine neu gebildete Bundesregierung die Umsetzung der NIS2- und CER-Richtlinien erneut aufgreifen. Da der neu gewählte Bundestag nicht einfach auf bereits vorliegende Entwürfe der vorherigen Legislaturperiode zurückgreifen kann, ist eine vollständige Neubearbeitung der Gesetze erforderlich. Dies wird den Umsetzungsprozess weiter verzögern und die rechtliche Unsicherheit verlängern.
Die EU-Kommission hat bereits angedeutet, dass Deutschland mit einem Vertragsverletzungsverfahren rechnen muss, wenn die Umsetzung nicht zeitnah erfolgt. Dies könnte finanzielle Sanktionen nach sich ziehen und den Druck auf die zukünftige Bundesregierung erhöhen, die Verzögerungen rasch zu beheben.

Das endgültige Scheitern der Umsetzungsgesetze stellt einen schwerwiegenden Rückschlag für die Cybersicherheitsstrategie Deutschlands dar. Unternehmen müssen weiterhin ohne klare Vorgaben zur Absicherung ihrer digitalen Infrastrukturen agieren, während der Staat einer möglichen Sanktionierung durch die EU entgegensieht.
Unternehmen, die von der NIS2-Richtlinie betroffen sind, sollten trotz der fehlenden nationalen Umsetzung nicht untätig bleiben. Die EU-Richtlinie ist bereits in Kraft, und Unternehmen sind früher oder später verpflichtet, sich an die neuen Vorgaben anzupassen. Um sich bestmöglich vorzubereiten und Risiken zu minimieren, sollten Unternehmen folgende Maßnahmen ergreifen:

1. NIS2-Anwendbarkeit prüfen (https://securam-consulting.com/nis2-network-information-security/)
Firmen und Organisationen sollten zunächst klären, ob sie unter den Geltungsbereich der NIS2-Richtlinie fallen. Die Richtlinie betrifft:
Essentielle Einrichtungen (größere Unternehmen aus kritischen Sektoren wie Energie, Transport, Finanzwesen, Gesundheitswesen, digitale Infrastruktur).
Wichtige Einrichtungen (mittelgroße Unternehmen aus diesen Sektoren).
Erweiterter Anwendungsbereich: NIS2 (https://securam-consulting.com/nis2-network-information-security/) gilt nicht nur für klassische Kritische Infrastrukturen (KRITIS), sondern auch für viele IT-Dienstleister, Softwareunternehmen, Cloud-Anbieter, Rechenzentren, Chemie- und Lebensmittelunternehmen.
Falls unklar ist, ob das Unternehmen betroffen ist, sollte eine Risikoanalyse und eine Prüfung der gesetzlichen Kriterien erfolgen.

2. Bestehende Sicherheitsmaßnahmen mit NIS2-Anforderungen abgleichen
Auch wenn es noch keine nationale Umsetzung gibt, sind die grundsätzlichen Anforderungen aus der EU-Richtlinie bekannt. Unternehmen können sich bereits darauf vorbereiten, indem sie ihre bestehenden IT-Sicherheitsmaßnahmen und Prozesse überprüfen.

Die Securam Consulting (https://www.securam-consulting.com)berät Sie zu folgenden Themen:
Risikomanagement: Einführung eines ganzheitlichen Cyber-Risikomanagements.
Meldepflichten: Unternehmen müssen Cybersicherheitsvorfälle innerhalb von 24 Stunden an die zuständigen Behörden melden (bisher 72 Stunden).
Notfallpläne & Business Continuity: Unternehmen müssen nachweisen, dass sie Incident-Response-Pläne für Cyberangriffe haben.
Lieferketten-Sicherheit: Auch Zulieferer und Partner müssen überprüft werden – Unternehmen haften für Sicherheitsmängel in ihrer Lieferkette!
Unsere Empfehlung: Durchführung eines internen oder externen NIS2-GAP-Assessments, um Lücken im aktuellen Sicherheitsniveau zu identifizieren.

Fazit: Unternehmen sollten jetzt aktiv werden!
Auch wenn die nationale Umsetzung von NIS2 in Deutschland stockt, sollten betroffene Unternehmen die Zeit nutzen, um sich vorzubereiten. Wer frühzeitig IT-Sicherheitsmaßnahmen verbessert, Meldepflichten berücksichtigt und Governance-Strukturen anpasst, kann sich vor späteren Strafzahlungen und regulatorischem Druck schützen.
Wichtig: Unternehmen, die erst nach der offiziellen Umsetzung reagieren, riskieren hohe Strafen und haben möglicherweise zu wenig Zeit, um die komplexen Anforderungen zu erfüllen. Eine frühzeitige Vorbereitung ist daher essenziell.

Die Expertise der SECURAM Consulting GmbH umfasst ein breites Spektrum an Dienstleistungen, die speziell auf die Bedürfnisse der Kunden zugeschnitten sind. Das Angebot reicht von der Einführung und Optimierung von Informationssicherheitsmanagementsystemen (ISMS) nach ISO27001 und anderen Standards bis hin zur umfassenden Beratung im Bereich Business Continuity Management (BCM), der Business Impact Analyse (BIA) bis hin zum Notfallmanagement. Darüber hinaus unterstützt das Hamburger Beratungshaus bei der Vorbereitung und Umsetzung von Zertifizierungen wie TISAX, NIS2 und DORA.

Firmenkontakt
Securam Consulting GmbH
Nadine Eibel
Neue ABC Straße 8
20354 Hamburg
+49 40-298 4553-0

Home

Pressekontakt
Securam Consulting GmbH
Anette Hollenbach
Neue ABC Straße 8
20354 Hamburg
+49 40-298 4553-21

Home

Der Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) für das Jahr 2024 liefert eine detaillierte Analyse der Cybersicherheitslage in Deutschland. Im Zeitraum vom 1. Juli 2023 bis zum 30. Juni 2024 hat das BSI als zentrale Cybersicherheitsbehörde des Bundes die Entwicklungen im Bereich der IT-Sicherheit umfassend untersucht. Die Ergebnisse machen deutlich, dass insbesondere Unternehmen, darunter kleine und mittelständische Betriebe, ihren Schutz vor Cyberbedrohungen dringend weiter stärken müssen.
Der Lagerbericht des BSI identifiziert drei Hauptzielgruppen von Cyberangriffen:
1. Kleine und mittlere Unternehmen (KMU)
2. IT-Dienstleister
3. Kommunen

KMU´s sind häufig weniger gut abgesichert als Großkonzerne und werden daher verstärkt von Cyberkriminellen ins Visier genommen. Besonders kritisch sind Angriffe auf IT-Dienstleister, da diese in der Regel Zugang zu den Systemen zahlreicher Kunden haben, wodurch ein einzelner erfolgreicher Angriff weitreichende Folgen haben kann.

Aber auch Cyberangriffe auf Großkonzerne können gravierende wirtschaftliche Folgen haben, wie das Beispiel der VARTA-AG im Februar dieses Jahres zeigt. Der Batteriekonzern wurde Ziel einer Cyberattacke, die dazu führte, dass Teile der IT-Systeme abgeschaltet und vom Internet getrennt werden mussten. Alle 4200 Mitarbeitenden in den weltweit fünf Betriebsstandorten mussten für mehr als 10 Tage freigestellt werden. Dies hatte nicht nur Auswirkungen auf den laufenden Betrieb, sondern auch auf die Produktion. Der Angriff traf das Unternehmen in einer ohnehin schwierigen Phase, da der Konzern in den vergangenen zwei Jahren erhebliche Verluste verzeichnete und sich jetzt aktuell mitten in einem Restrukturierungsprozess befindet. Der wirtschaftliche Schaden wurde bis heute nicht detailliert beschrieben.

Durch die Modernisierung des IT-Sicherheitsrechts und die Umsetzung der NIS-2-Richtlinie (https://securam-consulting.com/nis2-network-information-security/) werden künftig rund 30.000 Unternehmen und Organisationen der Aufsicht des BSI unterstellt.

Die neuen Regelungen bringen zwar eine anfängliche Herausforderung und hohe Investitionen mit sich, haben aber das wichtige Ziel, das allgemeine Sicherheitsniveau in Deutschland deutlich zu erhöhen. Die verschiedenen „Branchen“ des Sektors Staat und Verwaltung sind auf allen Verwaltungsebenen vertreten: beim Bund, in den Ländern und in den Gemeinden. Die Funktionsfähigkeit dieser staatlichen Einrichtungen bildet die Grundlage für das Vertrauen der Bürger in die Leistungsfähigkeit des Staates.

Der Ausfall von Behörden, die für die Gefahrenabwehr verantwortlich sind, wäre besonders kritisch, da er erhebliche Auswirkungen auf die öffentliche Sicherheit und Ordnung hat. Darüber hinaus sind staatliche Einrichtungen häufig auf die Leistungen anderer kritischer Infrastrukturanbieter angewiesen, wie etwa die Strom- und Wasserversorgung oder Telekommunikationsdienste.

Der BSI-Lagebericht weist auf mehrere schwerwiegende Vorfälle hin, die die Notwendigkeit verbesserter Cybersicherheitsmaßnahmen deutlich machen. Am 19. Juli kam es zu einem Vorfall von besonderer Besorgnis. Ausgelöst durch ein fehlgeschlagenes Softwareupdate des Cybersicherheitsanbieters Crowdstrike kam es weltweit zu massiven Ausfällen im IT-Betrieb von Krankenhäusern und des internationalen Luftverkehrs. Experten stuften dieses Fiasko wegen des globalen Ausmaßes als beispiellos ein. Der wirtschaftliche Schaden konnte bis heute nicht ermittelt werden.

Diese Störfälle verdeutlichen, dass kein Unternehmen vollständig vor Cyberbedrohungen geschützt ist, und betonen die kontinuierliche Wachsamkeit sowie gezielte Notwendigkeit in IT-Sicherheitsmaßnahmen zu investieren. Es ist von zentraler Bedeutung, dass Unternehmen Cybersicherheit nicht als bloße Verpflichtung, sondern als integralen Bestandteil ihrer Geschäftsstrategie verstehen.

Cyberangriffe lassen sich auch aus den Berichten des unabhängigen Marktforschungsunternehmen KonBriefing Research im Bereich IT mit Schwerpunkt Governance, Risk Management, Compliance und Cybersicherheit erkennen. Dieses hat 112 Cyberattacken auf kommunale Einrichtungen und Stadtverwaltungen sowie deutsche Unternehmen und Organisationen unterschiedlichster Branchen dokumentiert.

Die Top Cyberattacken lassen sich in der Liste zu 2023/2024 (https://konbriefing.com/de-topics/hackerangriff-deutschland.html?utm_source=chatgpt.com#Res645696)herausgegeben von KonBriefing Research nachlesen.

Eine Stärkung gegenüber Cyberattacken wird unter anderem für Unternehmen durch die Umsetzung der neuen Richtlinien und europäischen Verordnungen herbeigeführt. Unternehmen können so ihre Abwehrfähigkeit gegenüber Cyberangriffen deutlich verbessern.
Zu diesen Richtlinien und Verordnungen gehören:
NIS2-Richtlinie (https://securam-consulting.com/nis2-network-information-security/): Diese fordert von Unternehmen die Umsetzung umfassender Sicherheitsmaßnahmen zur Stärkung der IT-Resilienz.
DORA (https://securam-consulting.com/dora-digital-operational-resilience-act/): Die Verordnung der Europäischen Union soll die digitale Resilienz und Cybersecurity im Finanzsektor nachhaltig stärken und tritt zum 17. Januar 2025 in Kraft. Sorgen Sie für mehr Sicherheit im eigenen Unternehmen – Sie leisten damit auch einen wichtigen Beitrag zur Stabilität der deutschen Wirtschaft und Gesellschaft.

Quellennachweis: BSI, KonBriefing

Die Securam Consulting GmbH ist ein agiles und inhabergeführtes IT-Beratungsunternehmen mit Firmensitz in Hamburg.
Zu den zahlreichen Kunden zählen vor allem Banken, Finanzdienstleister und Versicherungen. Dank der Spezialisierung auf
mittelständische Unternehmen mit kritischen Infrastrukturen ist das IT-Consultingunternehmen allen regulatorischen Vorgaben gewachsen.
Die Komplexität vernetzter Informationssysteme und sich immer schneller entwickelnder Sicherheitsstandards, setzten eine schnelle und
erfolgreiche Einführung einer nachhaltigen Sicherheitsstrategie voraus.

Firmenkontakt
Securam-Consulting GmbH
Nadine Eibel
Neue ABC Straße 8
20354 Hamburg
+49 40-298 4553-0

Home

Pressekontakt
Securam-Consulting GmbH
Anette Hollenbach
Neue ABC Straße 8
20354 Hamburg
+49 40-298 4553-0

Home