Die sich wandelnde Cyberbedrohungslage und die Cybersicherheitsvorschriften der EU

In den letzten zehn Jahren haben Cyberangriffe an Häufigkeit und Komplexität deutlich zugenommen und weltweit wie in der Europäischen Union erhebliche finanzielle Verluste verursacht.

Die jährlichen Kosten der Cyberkriminalität für die Weltwirtschaft werden für 2020 auf 5,5 Billionen Euro geschätzt; das ist doppelt so viel wie 2015[1]. Dieser Aufwärtstrend hält an, und für 2024 wird angenommen, dass die Kosten 9,5 Billionen Dollar erreicht haben könnten. Die sich wandelnde Bedrohungslage zeigt deutlich, dass die entscheidende Frage für Organisationen nicht mehr „Werden wir angegriffen?“ lautet, sondern „Wann werden wir angegriffen?“[2].

Unternehmen in der EU erleiden durch Cyberangriffe erhebliche finanzielle Verluste. So beliefen sich 2023 die durchschnittlichen Kosten eines Cyberangriffs für Unternehmen in Europa je nach Land auf Hunderttausende Euro. Die finanziellen Kosten für Unternehmen entstehen nicht nur durch die Reaktion auf den Vorfall (Incident Response) und die Wiederherstellung der Systeme, also die unmittelbaren Folgen eines Angriffs, sondern langfristig auch durch Reputations- und Kundenverluste. In manchen Fällen können Unternehmen durch solche Angriffe ihr gesamtes Vermögen verlieren.

Der Einsatz künstlicher Intelligenz (KI) hat zudem die Angriffsflächen (Attack Surfaces) vergrößert und Cyberangriffe raffinierter und wirksamer gemacht. Infolgedessen sind auch die Kosten der Cyberabwehr gestiegen.

Vor allem Ransomware-Angriffe hatten sehr erhebliche finanzielle Folgen. 2023 erreichte die durchschnittliche Lösegeldzahlung 1,54 Millionen Dollar, etwa doppelt so viel wie im Vorjahr[3].

Der Cost of a Data Breach Report 2023 von IBM[4] zeigt, dass mehrere europäische Länder zu den zehn am stärksten betroffenen Ländern gehören.

Länder und Regionen mit den höchsten durchschnittlichen Kosten einer Datenpanne (2023):

1. USA: 9,48 Millionen Dollar
2. Naher Osten: 8,07 Millionen Dollar
3. Kanada: 5,13 Millionen Dollar
4. Deutschland: 4,67 Millionen Dollar
5. Japan: 4,52 Millionen Dollar
6. Südkorea: 3,48 Millionen Dollar
7. Vereinigtes Königreich: 4,21 Millionen Dollar
8. Frankreich: 4,08 Millionen Dollar
9. Italien: 3,86 Millionen Dollar
10. Südafrika: 2,79 Millionen Dollar

Darüber hinaus haben Lieferkettenangriffe (Supply Chain Attacks) stark zugenommen. Das Analyseunternehmen Gartner prognostizierte 2022, dass bis 2025 45 % der Organisationen weltweit Angriffe auf ihre Software-Lieferketten erleben würden[5].

Die zunehmenden Cyberangriffe haben für Unternehmen statt der Cybersicherheit den Begriff der Cyberresilienz in den Vordergrund gerückt. Es ist daher für Unternehmen lebenswichtig, die nötigen Vorkehrungen zu treffen, um ihren Betrieb während und nach einem Cyberangriff ohne Unterbrechung fortzuführen. In diesem Rahmen haben auch die Institutionen der Europäischen Union umfassende Cybersicherheitsvorschriften und proaktive Risikomanagementstrategien entwickelt.

Die neuen Cybersicherheitsvorschriften der EU: Um Cybersicherheit und digitale Resilienz zu stärken, hat die Europäische Union drei wichtige Regelwerke mit unterschiedlichem Gegenstand und Anwendungsbereich in Kraft gesetzt. Diese sind:

1. NIS2-Richtlinie: Die erweiterte Fassung der 2016 verabschiedeten NIS-Richtlinie (Richtlinie über die Sicherheit von Netz- und Informationssystemen). Sie erfasst weitere Sektoren wie Energie, Gesundheit und Verkehr, entwickelt einen risikobasierten Ansatz und führt strengere Sicherheitsmaßnahmen und Meldepflichten für Vorfälle ein. Zudem soll sie die Cybersicherheitspraxis in den EU-Staaten rechtskonform machen und angleichen sowie die Zusammenarbeit zwischen den EU-Staaten sicherstellen.
2. Gesetz über die digitale operationale Resilienz (DORA): Soll sicherstellen, dass Banken, Versicherungen, Wertpapierfirmen und andere Finanzinstitute IT-bedingten Störungen standhalten und sich davon erholen können. Im Mittelpunkt stehen IKT-Risikomanagement, Meldung von Vorfällen und die Überwachung externer IT-Dienstleister. Durch kontinuierliche Überwachung, regelmäßige Tests und Governance-Maßnahmen soll es die Stabilität der Finanzmärkte erhöhen und den Verbraucherschutz stärken.
3. Cyberresilienzgesetz (CRA): Wurde geschaffen, um sicherzustellen, dass Produkte mit digitalen Elementen während ihres gesamten Lebenszyklus sicher sind. Indem es Hersteller zur Einhaltung von Cybersicherheitsanforderungen verpflichtet, sollen Geräte und Software sicher konzipiert und durch regelmäßige Updates geschützt werden. Die Verordnung soll das Vertrauen der Verbraucher stärken, den EU-Binnenmarkt schützen und die Resilienz des digitalen Ökosystems erhöhen. Aktualisierung (Oktober 2026): DORA gilt seit dem 17. Januar 2025; die Frist zur Umsetzung von NIS2 in nationales Recht lief im Oktober 2024 ab (in Deutschland trat das Umsetzungsgesetz im Dezember 2025 in Kraft); die Meldepflichten des CRA gelten seit dem 11. September 2026, seine Hauptpflichten ab dem 11. Dezember 2027.

Auswirkungen der neuen Vorschriften und voraussichtliche Herausforderungen:

• Wachstum des Cybersicherheitsmarkts: Es ist damit zu rechnen, dass Unternehmen nach Compliance-Lösungen, Risikomanagement-Rahmenwerken und fortschrittlichen Sicherheitstechnologien suchen. Entsprechend wird die Nachfrage nach Cybersicherheitsfirmen in den Bereichen Bedrohungserkennung, Schwachstellenmanagement, Incident Response und Compliance-Automatisierung steigen.
• Steigende Nachfrage nach qualifizierten Cybersicherheitsfachleuten: Der Bedarf an Fachkräften für Cyber-Risikomanagement, Schwachstellenmanagement, sichere Softwareentwicklung und Compliance wird wachsen.
• Steigende Compliance-Kosten: Die Einhaltung wachsender Regulierung und Cybersicherheitsstandards kann vor allem kleine und mittlere Unternehmen (KMU) finanziell stark belasten. Pflichtzertifizierungen, Investitionen in fortschrittliche Infrastruktur und die Einstellung von Fachleuten können die Budgets der Unternehmen strapazieren.
• Die Rolle der Aufsichtsbehörden wird entscheidend: Die nationalen Aufsichtsbehörden der EU-Mitgliedstaaten sorgen für die Umsetzung der Vorgaben vor Ort, beraten Unternehmen und bieten finanzielle Anreize, die die Umsetzung erleichtern. Vor allem für KMU werden technische Unterstützungsprogramme, Zuschüsse und Schulungsinitiativen eine entscheidende Rolle für mehr Cyberresilienz spielen.

Kurz gesagt:

Auch wenn die Umsetzung von NIS2, DORA und CRA erhebliche Anstrengungen und Investitionen erfordert, bringt sie Unternehmen langfristige Vorteile wie mehr Resilienz und eine stärkere Cybersicherheitsinfrastruktur. Als natürliche Folge wächst das Vertrauen von Verbrauchern, Kunden und Partnern, sodass Unternehmen rentabler werden können. Unternehmen, die ihre Investitionen und Maßnahmen in Cybersicherheit und Risikomanagement rechtzeitig und wirksam umsetzen, werden profitieren. Zugleich ist es sehr wichtig, technische Unterstützungsprogramme und Projekte für finanzielle Anreize zu entwickeln, damit vor allem KMU die entstehenden Kosten tragen und ihren Bedarf an Fachpersonal decken können.