Blog

Einordnung zum Veröffentlichungszeitpunkt: DORA ist seit dem 17. Januar 2025 anwendbar. Eine Gap-Analyse im Frühjahr 2026 dient daher der Prüfung und Verbesserung des laufenden Betriebs; sie ist kein Projekt zur Vorbereitung des ursprünglichen Anwendungsbeginns. Quelle DORA-Gap-Analysen haben einen schlechten Ruf, und das nicht ganz zu Unrecht. Viele Organisationen starten mit guter Absicht und landen trotzdem in einem Zustand, der sich anfühlt w

NIS2 wird in vielen Unternehmen gerade mit hohem Tempo umgesetzt. Das ist verständlich: Die Erwartungshaltung ist groß, der Druck ist real, und niemand möchte in eine Situation kommen, in der man im Ernstfall oder in einer Prüfung erklären muss, warum etwas „noch nicht fertig“ ist. Genau hier entsteht aber ein typisches Nebenproblem, das ich in der Praxis immer wieder sehe: Nachweise werden zu früh als „Dokumentationsprojekt“ verstanden. Dann wäc

NIS2 und ISO 27001 begegnen sich in vielen Unternehmen gerade auf eine Weise, die erst einmal „logisch“ wirkt – und dann erstaunlich schnell anstrengend wird: Man hat ein etabliertes ISMS, dazu ein Set an Kontrollen, Richtlinien und Nachweisen. Dann kommt NIS2, und plötzlich entstehen neue Listen, neue Workstreams, neue Maßnahmenpläne, neue Reportings. Alles mit gutem Grund. Und trotzdem bleibt bei vielen Teams am Ende ein Gefühl: Wir machen viel

NIS2 wird in vielen Unternehmen zunächst als „Security-Thema“ einsortiert: IT und Informationssicherheit klären Maßnahmen, Compliance koordiniert, und irgendwann bekommt die Geschäftsleitung ein Update mit Ampeln. Das wirkt vertraut, weil viele Regulierungs- und Auditwellen so gelaufen sind. Der Unterschied bei NIS2 ist jedoch, dass sich die Erwartung an die Geschäftsleitung deutlich verändert – nicht nur als Empfänger von Berichten, sondern als

Einordnung zum Veröffentlichungszeitpunkt: NIS2 gilt bereits im deutschen Umsetzungsrecht: Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Der Schwerpunkt dieses Beitrags liegt deshalb auf der laufenden Wirksamkeit der Sicherheitsorganisation, nicht auf der Vorbereitung eines noch ausstehenden Gesetzes. Quelle NIS2 bringt viele Organisationen in eine vertraute Komfortzone: Anforderungen lesen, Maßnahmen ableiten, Dokumente e

Policy-Sprawl ist eines dieser Probleme, die selten als „Problem“ gestartet sind. Es entsteht fast immer aus guten Gründen. Ein Audit bringt neue Anforderungen, ein Incident erzeugt Druck, ein neuer Dienstleister will klare Regeln, eine Revision fordert Nachweise, eine Aufsicht setzt Schwerpunkte, oder ein interner Standard soll harmonisiert werden. Also schreibt man eine Richtlinie. Und noch eine. Und irgendwann sind es nicht zehn, sondern vierz

„Das Bauchgefühl war bisher gar nicht so schlecht“ – dieser Satz fällt in Vorständen erstaunlich oft, wenn es um Risikoentscheidungen geht. Und ja: Erfahrung, Intuition und Brancheninstinkt sind wertvoll. Aber sie sind nicht reproduzierbar, nicht auditierbar und nicht skalierbar. Spätestens wenn Risiken mit Technologiegeschwindigkeit wachsen, Lieferketten global verästeln, Regulierungen Evidenz verlangen und Budgets knapp sind, kommt die Stunde d

Viele Unternehmen haben ein Risikoregister. Manche haben sogar ein sehr gutes: sauber strukturiert, regelmäßig aktualisiert, mit Kategorien, Bewertungen, Maßnahmen, Verantwortlichen und hübschen Heatmaps. Und trotzdem bleibt im Alltag oft ein irritierender Eindruck: Das Register ist da – aber Entscheidungen passieren woanders. Projekte laufen, Provider werden gewechselt, Releases gehen live, Incidents eskalieren, Budgets werden gekürzt oder umges

GRC – Governance, Risk & Compliance – galt jahrelang als vernünftiger Dreiklang, in der Praxis aber oft als Dreifaltigkeit der Silos. Governance schrieb Richtlinien, Risk malte Heatmaps, Compliance pflegte Ordner – jede Disziplin korrekt im eigenen Kosmos, selten im Gleichklang. Das Ergebnis: viele Aktivitäten, wenig Wirkung. Heute, mit überlappenden Aufsichten (DORA, NIS2, AI Act, CRA, CSRD), komplexen Lieferketten und softwaregetriebener We

Es gibt Jahre, in denen Governance wie ein gepflegter Maschinenraum wirkt: saubere Schaltbilder, klare Zuständigkeiten, geölte Prozesse, Prüfzeichen am richtigen Ort. Und es gibt Jahre, in denen das gleiche Bild plötzlich alt aussieht. 2026 ist so ein Jahr. Die Architektur der Kontrolle – Regeln, Freigaben, Checklisten – bewährt sich weiterhin, aber sie reicht nicht mehr aus, um Organisationen durch eine Welt zu steuern, in der digitale Abhängigk