Diesen Artikel teilen:

10. Okt 2023

|

Business

Für viele ist die Implementierung von NIS2 noch ein sehr langer Weg

Journalist: Katja Deutsch

|

Foto: sigmund/unsplash

Die EU hat mit der Einführung der "Network and Information Security 2"-Richtlinie (NIS2) neue Sicherheitsanforderungen für Unternehmen in der Fertigungsindustrie geschaffen. Zum ersten Mal werden nicht nur kritische Infrastrukturen, sondern auch die Industrie selbst von den neuen Vorschriften zur Cybersicherheit erfasst, bei Nichteinhaltung können Strafen von bis zu zehn Millionen Euro verhängt werden. Joel Stradling, Research Director bei IDC European Security practice, weiß, worauf Unternehmen bei der Umsetzung achten müssen.

Herr Stradling, NIS2 ist in aller Munde. Wie beurteilen Sie das neue Gesetz für mehr Cybersicherheit?

Ich denke, dass NIS2 den Unternehmen einen sehr guten Rahmen für mehr Cybersicherheit bietet. Ich glaube aber auch, dass die Umsetzung dieses Rahmens viel Zeit und Ressourcen in Anspruch nehmen wird. Das Problem ist, dass die Sicherheitsteams bereits jetzt stark überlastet sind, so dass viele Unternehmen wahrscheinlich nach externer Unterstützung suchen müssen.

Es kann sein, dass sie sich ziemlich anstrengen müssen, um NIS2 wirklich an allen erforderlichen Stellen zu implementieren, aber es wird ihnen einen viel besseren und effektiveren Schutz gegen Cyber-Angriffe bieten.

Sicherheit muss entlang der gesamten Lieferkette gewährleistet sein. Unternehmen müssen sich daher von ihren Zulieferern und Handelspartnern vertraglich bestätigen lassen, dass diese die Vorgaben von NIS2 einhalten.

Mehrere zehntausend kleinere Unternehmen, die nicht unter die bisher geltenden KRITIS-Regelungen fallen, sind ab Oktober nächsten Jahres ebenfalls verpflichtet, ihre Cyber-Abwehr NIS2-fähig zu machen.

Viele von ihnen haben bisher nicht einmal eine eigene Cyber-Sicherheitsstrategie.

Das heißt, sie müssen jetzt dringend damit beginnen, eine solche Strategie zu entwickeln und umzusetzen.

Tun sie das nicht, werden sie bald nicht mehr Teil ihres Marktes und ihres Ökosystems sein und wahrscheinlich Schwierigkeiten haben, weiterhin Geschäftspartner für eine Zusammenarbeit zu finden. Das Problem ist, dass jedes Land zusätzliche Sicherheitsanforderungen stellen kann. Auch außerhalb von Europa gibt es (wieder andere) Cybersicherheitsvorschriften, die Unternehmen einhalten müssen.

 

Wo können kleine Unternehmen Unterstützung bekommen?

Das ist immer eine Frage des verfügbaren Budgets. Wenn Unternehmen kein Budget haben, haben sie ein ernsthaftes Problem. Andererseits muss zum Schutz des Endkunden jeder einzelne Teil des Ökosystems, an dem die Unternehmen beteiligt sind, einen sehr guten Sicherheitsstatus haben. Man darf einfach keine Kunden- oder Partnerdaten auf einem unsicheren System speichern, weil sie dann von Kriminellen gestohlen und missbraucht werden könnten.

Das muss man in seinen Businessplänen berücksichtigen und der Vorstand und der CEO eines Unternehmens müssen das verstehen und Verantwortung für diese Themen übernehmen. Cybersecurity ist eben nicht nur ein Kostenfaktor, sondern existenziell für die Zukunftsfähigkeit eines Unternehmens.

Unternehmen können sich von Beratern, aber auch von Sicherheitsdienstleistern unterstützen lassen. Vielleicht kann man einige Punkte intern mit eigener Expertise erledigen und lagert nur die sehr komplizierten und komplexen Punkte aus? Es wird auf jeden Fall eine große Herausforderung für viele sein.

 

Was müssen Unternehmen jetzt tun, um die hohen Strafen bei Nichteinhaltung zu vermeiden?

Ich denke, der erste Schritt ist, alle Anwendungen zu verstehen. Dazu braucht man Informationen von allen beteiligten Sicherheitsakteuren. Dann braucht man Zertifikate aus allen involvierten Ländern, von den Verantwortlichen aller neuralgischen Prozesse. Diese müssen die Dringlichkeit der Compliance-Anforderungen verinnerlichen und alle Komponenten des umfassenden Regelwerks Schritt für Schritt durchgehen. Oft sind es erst die finanziellen Auswirkungen, die die Verantwortlichen aufhorchen lassen.

 

Wo sehen Sie mögliche Schwierigkeiten bei der Umsetzung?

Eine große mögliche Herausforderung ist der Einsatz veralteter Technik.

Wenn man 50 oder sogar 80 verschiedene alte Sicherheitssysteme auf den neuesten Stand der Technik bringen muss, hat man einen langen Weg vor sich. Diese Systeme sind noch nicht integriert und die fehlende Integration mit anderen Systemen, die fehlende Sichtbarkeit über alle Assets, sowie fehlende Sicherheitskontrollen und Identitätsprüfungen machen den Security Footprint sehr schwer sichtbar. Die Komplexität von veralteten Systemen und die fehlende Integration mit anderen Systemen sind daher die größten Herausforderungen.

Unternehmen, die sich bereits mit den Anforderungen der KRITIS-Gesetzgebung auseinandersetzen mussten, haben nun den Vorteil, auf ein grundlegendes Sicherheits-Framework zurückgreifen zu können. Diejenigen, die in dieser Hinsicht noch nichts unternommen haben, müssen sich jetzt auf den Weg machen und haben viel Arbeit vor sich.

 

Wie kann die Sicherheit in der Lieferkette gewährleistet werden und wo sehen Sie Fallstricke?

Das ist in der Tat sehr schwierig. Die Empfehlung, die wir bei IDC geben, ist, sich die Einhaltung vertraglich zusichern zu lassen – durch Lieferanten, Transporteure oder spezielle Partner, die die Einhaltung bei den jeweiligen Beteiligten überwachen. Wir müssen den Zero-Trust-Ansatz auf moderne Sicherheitstechniken übertragen, Tech Respondering im Normalbetrieb implementieren, Sandbox-Umgebungen schaffen. Der Trick dabei ist, dass alle Daten im Netzwerkverkehr innerhalb des Transitlandes bleiben. Es gibt Forschungsunternehmen, Online-Plattformen und Entwicklungsplattformen, auf denen Programmierer innerhalb dieser Plattformen Codes entwickeln, die es böswilligen Akteuren erheblich erschweren, auf die Chats zuzugreifen.

Leider gibt es sehr viele Möglichkeiten für den ersten Angriff. Daher ist NIS2 absolut gerechtfertigt.

27. Jun 2025

|

Wirtschaft

Nachhaltig, transparent und partnerschaftlich – Im Interview mit Barbara Frenkel, Vorstandsmitglied Porsche AG

**Warum bekommt die Beschaffung oft so wenig Aufmerksamkeit – obwohl so viel von ihr abhängt?** Weil Beschaffung meist im Hintergrund läuft – und erst dann in den Blickpunkt rückt, wenn etwas fehlt. Das kennt jeder aus dem Alltag: Fehlt beim Kochen eine Zutat oder beim Möbelaufbau eine Schraube, steht meist alles still. Im industriellen Maßstab kann das bedeuten: keine Teile, kein Auto. Unsere Lieferketten sind heute hochgradig komplex, global und auf Effizienz ausgelegt. Fällt ein einziges Teil aus, sei es durch eine Naturkatastrophe, einen Cyberangriff oder geopolitische Spannungen, kann dies die Produktion gefährden. Deshalb denken wir bei Porsche Beschaffung heute anders: vorausschauender, vernetzter und deutlich resilienter. **Welche Strategie verfolgen Sie, um Lieferketten auch in Krisenzeiten stabil und widerstandsfähig zu halten?** Entscheidend ist die Transparenz in der gesamten Lieferkette – also über unsere direkten Lieferanten hinaus. Uns interessiert: Wer sind die Partner dahinter? Wo haben sie ihre Standorte und welchen Risiken sind sie ausgesetzt? Dabei simulieren wir beispielsweise Wetterereignisse oder Cyberattacken. Wir bewerten globale Rohstoffverfügbarkeiten und identifizieren Single-Source-Situationen. Über allem steht die Frage: Wo könnte ein möglicher Ausfall besonders kritisch für uns sein? **Und welche konkreten Maßnahmen ergreifen Sie, um Risiken zu minimieren?** Hier braucht es ein ganzes Maßnahmenbündel. Als vergleichsweise kleiner Hersteller können wir nicht überall auf eine Zwei-Lieferanten-Strategie setzen. Stattdessen überlegen wir uns etwa, wo wir bei kritischen Materialien gezielt Lagerbestände in Werksnähe aufbauen. Oder wir beauftragen zusätzliche Werkzeugsätze, die bei Bedarf schnell aktiviert werden können. **Wie wählen Sie Lieferanten aus, welche Kriterien sind dabei besonders wichtig?** Die Auswahl unserer Lieferanten ist immer Teamwork. Beschaffung, Entwicklung und Produktion arbeiten eng zusammen. Häufig entwickeln wir die Lösungen gemeinsam mit unseren Lieferanten. Hierbei spielt die technische Bewertung in enger Abstimmung mit unserer Entwicklung eine wichtige Rolle. Die Produktion wiederum achtet sehr stark auf die Logistik. Jeder potenzielle Partner durchläuft ein umfassendes Auditverfahren. Dabei geht es um Qualitäts- und Machbarkeitsaudits. Aber auch um eine umfassende Risikoanalyse. Ein fester Bestandteil bei der Auswahl sind zudem Kriterien bei der Nachhaltigkeit. Also rechtliche, ethische und ökologische Standards. >Viele unserer Fahrzeuge sind stark individualisiert – das erfordert flexible, anpassungsfähige Partner. Viele Mittelständler aus Deutschland bieten genau diese Qualität. **Wie wichtig ist Ihnen die Einbindung mittelständischer Lieferanten in Ihrer Lieferkette?** Viele unserer Fahrzeuge sind stark individualisiert – das erfordert flexible, anpassungsfähige Partner. Viele Mittelständler aus Deutschland bieten genau diese Qualität. Vor allem, wenn sie sich in unmittelbarer Werksnähe befinden. Vorteile sind kurze Wege und schnelle Reaktionszeiten. Als in Deutschland verwurzeltes Unternehmen ist uns zudem daran gelegen, die heimische und europäische Lieferkette zu stärken. **Sie haben die Nachhaltigkeit bereits angesprochen. Nochmals konkret: Wie integrieren Sie diese Kriterien in den Beschaffungsprozess?** Wie gesagt, wir denken hier ganzheitlich und in drei Dimensionen: ökologisch, sozial und ethisch. Im ökologischen Bereich legen wir besonderen Wert auf den CO₂-Fußabdruck in der Lieferkette. Hier entscheiden der Energiemix, die verwendeten Rohstoffe und der Anteil an recyceltem Material. Auch der Wasserverbrauch wird immer wichtiger. Soziale und ethische Aspekte sind ebenfalls von Bedeutung. Wir erwarten, dass internationale Arbeitsstandards eingehalten und faire Löhne gezahlt werden. **Wie haben Sie Einkaufprozesse bzw. das Lieferantenmanagement erfolgreich verbessert?** Rund 80 Prozent der Wertschöpfung entsteht bei uns in der Lieferkette. Entsprechend hoch ist die Bedeutung eines effizienten und partnerschaftlich ausgerichteten Lieferantenmanagements. Deshalb setzen wir bewusst früh an: Bereits in der Entwicklungsphase binden wir Lieferanten eng in unsere Prozesse ein. Gemeinsam können wir Kosten optimieren, die Umsetzung garantieren und verlässliche Qualität reproduzieren. Über diesen engen Austausch entstehen belastbare Partnerschaften – von Anfang an. **Wie reagieren Sie auf regionale Marktanforderungen?** Angesichts fragmentierter Märkte gewinnt die regionale Verankerung an Bedeu-tung. In China arbeiten wir beispielsweise gezielt mit starken lokalen Partnern zusammen. Mit dem Ziel, marktgerechte Lösungen zu entwickeln – etwa beim Infotainment. Auch regulatorische Anforderungen erfordern spezifische Lösungen, das Aufspüren innovativer Technologien und innovativer Partner. Immer mehr handelt es sich dabei auch um Start-ups aus branchenfremden Bereichen, etwa beim autonomen Fahren, der Konnektivität oder Software. >Bereits in der Entwicklungsphase binden wir Lieferanten eng in unsere Prozesse ein. Gemeinsam können wir Kosten optimieren, die Umsetzung garantieren und verlässliche Qualität reproduzieren. ## Infos zur Person Barbara Frenkel: Als Kind wollte sie Astronautin werden. Heute leitet Barbara Frenkel das Vorstandsressort Beschaffung der Porsche AG. Frenkel war die erste Frau im Vorstand des Sportwagenherstellers. Sie blickt auf eine mehr als 20-jährige Managementkarriere bei Porsche zurück. Zuvor war sie bei verschiedenen Automobilzulieferern tätig. Barbara Frenkel (62) scheidet zum 19. August 2025 auf eigenen Wunsch aus dem Porsche-Vorstand aus und übergibt ihre Verantwortung an Joachim Schar-nagl (49), der ihre Nachfolge antritt. Privat genießt sie Ausfahrten mit ihrem Oldtimer, einem 911 G-Modell. Sie ist begeisterte Taucherin und unternimmt gerne Ausflüge mit ihrem Hund in die Natur.