Von der Regulierung zur Umsetzung: Was Unternehmen für mehr Cyberresilienz brauchen

Neue europäische Cybersicherheitsvorgaben, KI-gestützte Angriffe und wachsende Abhängigkeiten von digitalen Infrastrukturen stellen Unternehmen vor große Herausforderungen. Entscheidend ist dabei nicht allein, Bedrohungen zu erkennen und regulatorische Anforderungen zu erfüllen, sondern auch im Ernstfall handlungsfähig zu bleiben. Wie das gelingt, diskutierten Expertinnen und Experten aus Wirtschaft, Politik und Behörden bei den Internet Security Days @ it-sa 2026, die eco - Verband der Internetwirtschaft e. V. am 28. Oktober erstmals im Rahmen der it-sa Expo&Congress in Nürnberg veranstaltete.

Regulierung muss in der Praxis wirksam werden
Mit NIS2, DORA und dem Cyber Resilience Act steigen die Anforderungen an Risikomanagement, Meldeprozesse und sichere digitale Produkte. Cybersicherheit wird damit zunehmend zum Faktor für Wettbewerbsfähigkeit und Marktzugang. Gleichzeitig müssen Unternehmen neue Pflichten umsetzen, ohne dass überlappende Vorgaben und zusätzliche Bürokratie Ressourcen binden, die für konkrete Sicherheitsmaßnahmen benötigt werden.

Wie der Übergang zur praktischen Umsetzung aussehen kann, zeigte die Eröffnungskeynote von Hans de Vries, Chief Cybersecurity and Operational Officer der europäischen Cybersicherheitsagentur ENISA. Der Cyber Resilience Act steht für einen grundlegenden Wandel in der Produktsicherheit: Hersteller müssen Sicherheit bereits bei der Entwicklung berücksichtigen und über den gesamten Produktlebenszyklus Verantwortung übernehmen. ENISA unterstützt die Umsetzung unter anderem mit technischen Handlungsempfehlungen, Hilfestellungen für mittelständische Unternehmen und einer europäischen Meldeplattform für Sicherheitslücken.

Digitale Souveränität entscheidet sich in der Praxis
Leistungsfähige Telekommunikationsnetze, Rechenzentren, Cloud-Plattformen und redundante Glasfaserverbindungen bilden das Fundament für die Verfügbarkeit kritischer digitaler Dienste. Doch die zunehmende Vernetzung schafft auch neue Abhängigkeiten und Konzentrationsrisiken.

Dabei müssen Betreiber zwischen Leistungsfähigkeit, Sicherheit und Wirtschaftlichkeit abwägen. Zentrale Infrastrukturstandorte ermöglichen eine effiziente Bündelung von Kapazitäten, können aber zugleich Ausfallrisiken konzentrieren. Eine stärkere geografische Verteilung wiederum erhöht unter Umständen Kosten, Latenzen und Betriebsaufwand.

Digitale Souveränität bedeutet daher mehr als die Frage nach Standort oder Eigentum. Entscheidend ist, ob Unternehmen ihre Abhängigkeiten kennen, die Kontrolle über Daten und Prozesse behalten und bei Bedarf zwischen Anbietern wechseln können. Entsprechende Angebote gewinnen auf der it-sa 2026 an Sichtbarkeit. Ob sie sich durchsetzen, hängt auch von ihrer Wettbewerbsfähigkeit und der Integration in bestehende Infrastrukturen ab.

Nicht aus dem Blick geraten darf zudem die Vorbereitung auf leistungsfähige Quantencomputer. Da Angreifer bereits heute verschlüsselte Daten sammeln können, um sie möglicherweise künftig zu entschlüsseln, müssen Unternehmen frühzeitig ihre kryptografischen Abhängigkeiten prüfen und die Migration zu quantensicheren Verfahren vorbereiten.

KI verändert die Cyberabwehr und ihre Risiken
Künstliche Intelligenz verändert die Cybersicherheit auf beiden Seiten. Während Angreifer KI nutzen können, um Schwachstellen schneller aufzuspüren und Angriffe zu automatisieren, eröffnet sie Unternehmen neue Möglichkeiten, Bedrohungen frühzeitig zu erkennen und schneller zu reagieren.

Damit stellt sich die entscheidende Frage, welche Sicherheitsentscheidungen KI-Systeme eigenständig treffen dürfen, und wann muss der Mensch eingreifen können? Gerade in kritischen Internetinfrastrukturen können fehlerhafte Abwehrmaßnahmen erhebliche Folgen haben.

Eine hohe Erkennungsrate allein reicht deshalb nicht aus, um die Wirksamkeit KI-gestützter Sicherheitslösungen zu beurteilen. Ebenso wichtig sind Fehlalarmquoten, nachvollziehbare Entscheidungen und die Möglichkeit, automatisierte Eingriffe zu korrigieren. Unternehmen müssen KI daher in überprüfbare Prozesse und klare Verantwortungsstrukturen einbetten.

Von der Angriffserkennung zur wirksamen Reaktion
Wie wichtig das Zusammenspiel von Technik, Prozessen und Verantwortlichkeiten ist, verdeutlichen auch die Herausforderungen bei der E-Mail-Sicherheit und der Bekämpfung von DNS-Missbrauch.

Bei der E-Mail-Sicherheit liegt das Problem häufig weniger in fehlenden technischen Standards als in ihrer unternehmensweiten Umsetzung. Verfahren wie SPF, DKIM und DMARC können vor gefälschten Absenderidentitäten schützen. Doch unbekannte Drittversender, uneinheitliche Domainkonfigurationen und unklare Zuständigkeiten erschweren eine konsequente Absicherung. Sicherheitsverantwortliche müssen deshalb Transparenz über genutzte Domains und Versanddienste schaffen und zugleich sicherstellen, dass strengere Schutzmaßnahmen legitime Geschäftskommunikation nicht unterbrechen.

Ähnliche Abwägungen stellen sich bei der Bekämpfung von DNS-Missbrauch. Die Erkennung verdächtiger Aktivitäten allein unterbindet noch keinen Angriff. Entscheidend ist, dass belastbare Sicherheitsinformationen schnell die richtigen Akteure erreichen. Registrare, Registries und Hostingprovider verfügen dabei über unterschiedliche Eingriffsmöglichkeiten. Während eine eigens für Phishing registrierte Domain gegebenenfalls gesperrt werden kann, müssen bei kompromittierten legitimen Domains auch mögliche Auswirkungen auf rechtmäßige Dienste berücksichtigt werden. Wirksame Gegenmaßnahmen erfordern deshalb abgestimmte Eskalationswege und ein gezieltes Eingreifen auf der jeweils richtigen Infrastrukturebene.

Cyberresilienz wird zur strategischen Unternehmensaufgabe
Die unterschiedlichen Perspektiven des Kongresstages verdeutlichen eine gemeinsame Herausforderung: Cyberresilienz entsteht durch das Zusammenspiel von Regulierung, Technologie, widerstandsfähigen Infrastrukturen und organisatorischer Verantwortung. Unternehmen müssen ihre Abhängigkeiten verstehen, Sicherheitsmaßnahmen wirksam umsetzen und auch im Ernstfall koordiniert reagieren können.
Damit wird Cybersicherheit zunehmend zur Voraussetzung für digitale Wettbewerbsfähigkeit und Wertschöpfung. Für Unternehmen und Politik kommt es deshalb darauf an, den Übergang von regulatorischen Vorgaben zu tatsächlicher Cyberresilienz zu gestalten - mit praxistauglichen Regeln, Investitionen in sichere Infrastrukturen und einer engen Zusammenarbeit innerhalb der Internetwirtschaft.