Edition 01

Alle in GRC sind gerade unter NIS 2 begraben. Währenddessen ist ihr Zwilling der, der Regierungen vor einen Richter bringt. CER ist die Hälfte der europäischen Resilienz, die die meisten Sicherheitsteams stillschweigend überspringen, weil sie nicht "Cyber" ist. Es ist der Zaun, der Notstromaggregat, der einzige Lieferant, der Typ, der zwei Jahre nach seinem Ausscheiden immer noch Badge-Zugang hat.

Wenn Sie in einem kritischen Sektor tätig sind, fallen Sie sehr wahrscheinlich unter beide. NIS 2 fragt, ob Sie Angreifer aus Ihren Systemen heraushalten können. CER fragt, ob Sie den Dienst aufrechterhalten können, wenn etwas Physisches schiefgeht. Andere Frage. Andere Kontrollen. Gleiche Haftung im Vorstand. Das ist Terrain operativer Resilienz, nicht nur Informationssicherheit.

Das Signal ist klar. Die Kommission hat aufgehört, Briefe zu schicken, und angefangen, Geldbußen zu fordern. Wenn eine Regierung sanktioniert wird, weil sie zu spät ist, bleibt dieser Druck nicht in einem Ministerium. Er rollt zu den Einrichtungen herunter. Wenn "Resilienz" in Ihrer Firma Antivirus und ein nächtliches Backup bedeutet, lesen Sie das halbe Brief.

Das ist der Moment, in dem DORA Zähne bekommt. Die Regulatoren haben jetzt ein ganzes Jahr Vorfalldaten, und sie haben sie veröffentlicht. Übersetzt: Sie wissen, wie gutes Reporting aussieht, und sie werden anfangen, es mit Ihrem zu vergleichen.

Wenn Sie eine Finanzeinrichtung sind oder ein IKT-Anbieter, der eine versorgt, sind Ihre Vorfallklassifikation und Ihre Reporting-Zeitachse jetzt ein Vorstandsthema. Nicht nur "haben Sie ein Playbook", sondern "produziert Ihr Playbook die Zahlen, die die ESAs gerade veröffentlicht haben, in den Fristen, die sie erwarten".

Das ist die KI-Governance-Lektion des Jahres, und sie ist kostenlos. Meta hat einem KI-Agenten die Macht gegeben, Passwörter zurückzusetzen und Wiederherstellungs-E-Mails zu ändern, ohne menschliches Eingreifen, ohne echte Authentifizierung der Anfrage und ohne sichtbare Audit-Spur für den Kontoinhaber. Das ist genau die Fehlerklasse, die KI-Regulatoren beschreiben.

Das ist genau das, worum es bei ISO 42001 geht. Nicht "ist das Modell verzerrt". Sondern "was kann dieses Ding tatsächlich innerhalb Ihres Perimeters tun, wer sollte es kontrollieren, und woher wissen Sie, wenn es schiefläuft". Wenn Sie KI-Agenten in sensiblen Funktionen einsetzen, braucht Ihr KI-Governance-Ausschuss eine Antwort auf "was kann dieser Agent widerrufen und wie".

Und beachten Sie die Fußnote: MFA blockierte die meisten Account-Übernahmen. Langweilige Kontrollen gewinnen immer noch.

Niemand tritt mehr die Tür ein. Sie werden hereingelassen. Durch einen Lieferanten, eine Bibliothek, einen Auftragnehmer, eine Integration, die Sie vergessen haben, vor drei Jahren angeschlossen zu haben. Deshalb hämmern NIS 2 Artikel 21 und DORA beide auf Drittparteienrisiko. Es ist keine Bürokratie. Es ist die wahrscheinlichste Angriffsroute.

Die konkrete Maßnahme: Setzen Sie Ihre Drittparteien-Kartierung in diesem Quartal neu auf. Kein Vollaudit, nur zwei Fragen pro kritischem Lieferanten. Welche Daten oder welchen Zugriff haben sie. Was passiert, wenn Sie sie morgen abschneiden. Sie werden überrascht sein, wie viele Antworten "weiß ich nicht" sind.

Ein Aufschub ist keine Begnadigung. Die Frist hat sich verschoben. Die Arbeit ist nicht geschrumpft. Wenn Sie bis 2027 warten, um mit Ihrer KI-Inventarisierung und Ihren Risikobewertungen zu beginnen, werden Sie in Panik tun, was Sie jetzt in Ruhe tun könnten. Und Ihre Auditoren werden den Unterschied sehen.

Und die Transparenzregeln treffen weiterhin diesen August, also "wir haben eine Verlängerung bekommen" ist kein Plan. Nutzen Sie die Verlängerung, um das System zu bauen, das den 2. August 2026 ereignisfrei macht, nicht um das Gespräch zu verschieben.