Für Organisationen, die als systemrelevant oder wichtig eingestuft werden, beschränkt sich die Einhaltung der Vorschriften nicht mehr allein auf das Vorhandensein dokumentierter Cybersicherheitsrichtlinien; vielmehr müssen sie nachweisen können, dass sie über die tatsächliche Fähigkeit verfügen, einem Vorfall standzuhalten, darauf zu reagieren und sich davon zu erholen.
Die EU-Richtlinie NIS2 tritt in eine Phase strengerer Durchsetzung ein, da die Verantwortung von der Europäischen Kommission auf die nationalen Aufsichtsbehörden übergeht. Aufgrund von Verzögerungen bei der Umsetzung der Richtlinie in nationales Recht müssen Organisationen, die als kritische oder systemrelevante Einrichtungen eingestuft sind, künftig mehr tun, als nur ihre Cybersicherheitsrichtlinien zu dokumentieren. Sie müssen ihre Fähigkeit nachweisen, Cybersicherheitsvorfälle zu verhindern, zu bewältigen und sich davon zu erholen. Im Mai 2025 erhöhte die Europäische Kommission den Druck, indem sie begründete Stellungnahmen an 19 Mitgliedstaaten richtete, die NIS2 noch nicht vollständig umgesetzt hatten. Dies brachte sie näher an die Gefahr einer Klage vor dem Gerichtshof der Europäischen Union.
Da sich die nationalen Vorschriften stetig weiterentwickeln, müssen Unternehmen mit verstärkter Aufsicht durch Registrierungspflichten, Audits, Compliance-Prüfungen und mögliche Strafen rechnen. Eine der wichtigsten Konsequenzen der NIS2-Richtlinie ist, dass Cyberresilienz und Wiederherstellungsfähigkeiten zu zentralen Compliance-Anforderungen werden. Die Richtlinie schreibt umfassende Risikomanagementmaßnahmen vor, darunter Notfallpläne, Datensicherung, Disaster Recovery, Krisenmanagement, Lieferkettensicherheit, Zugriffskontrollen, Verschlüsselung und die Meldung von Sicherheitsvorfällen. Unternehmen müssen nachweisen können, dass sie kritische Systeme wiederherstellen und den Betrieb auch während großflächiger Cyberangriffe aufrechterhalten können.
Die Bedrohung durch Ransomware
Diese Anforderung kommt zu einem Zeitpunkt, an dem Ransomware weiterhin eine der größten Bedrohungen für die Geschäftskontinuität darstellt. Laut dem Veeam-Bericht „Ransomware Trends 2025“ waren 69 % der befragten Unternehmen mindestens einmal von einem Ransomware-Angriff betroffen. Diese Zahl bestätigt, dass die Stärkung der Abwehrmaßnahmen die Notwendigkeit einer robusten Wiederherstellungsstrategie nicht ersetzt.
Angreifer zielen zunehmend gezielt auf Backup-Umgebungen ab, um die Datenwiederherstellung zu verhindern und den Druck auf die Opfer zu erhöhen. Wenn Backups verändert, gelöscht oder verschlüsselt werden können, sind Unternehmen nicht nur Betriebsunterbrechungen, sondern auch Verstößen gegen gesetzliche Bestimmungen ausgesetzt.
Die Bedeutung der Unveränderlichkeit
In diesem Zusammenhang betont Object First die Wichtigkeit von Backup-Speicher mit absoluter Unveränderlichkeit als wesentlichen Bestandteil jeder Resilienzstrategie. Das Unternehmen weist jedoch darauf hin, dass nicht alle als unveränderlich beworbenen Backup-Speicherlösungen denselben Schutz bieten. Einer der wichtigsten Unterschiede besteht darin, dass bei absoluter Unveränderlichkeit selbst privilegierte Administratoren (oder Angreifer, die Zugriff auf die Speicherumgebung erlangt haben) die Backup-Daten nach dem Schreiben weder verändern noch löschen können.
Für die von der Richtlinie betroffenen Organisationen wird es 2026 vorrangig darum gehen, von rein formalen Vorbereitungen zur konkreten Demonstration ihrer tatsächlichen Reaktionsfähigkeit überzugehen. Notfallpläne oder Datensicherungsrichtlinien allein genügen dann nicht mehr. Aufsichtsbehörden, Kunden und Partner werden zunehmend Nachweise dafür fordern, dass Organisationen ihre Daten wiederherstellen, ihren Betrieb aufrechterhalten und ihre Reaktion im Falle eines Vorfalls dokumentieren können.
Aussagen
Daniel Fried, SVP, Worldwide Sales bei Object First
: „Mit NIS2 sind Resilienz und Wiederherstellungsfunktionen nicht mehr nur bewährte technische Verfahren, sondern messbare Compliance-Anforderungen. Unternehmen müssen nachweisen, dass ihre kritischen Systeme und Daten nach einem Cyberangriff wiederhergestellt werden können, um so Geschäftskontinuität und operative Stabilität zu gewährleisten. Dies legt größeren Wert auf die Integrität von Backups, da nachgewiesen werden muss, dass die Wiederherstellungsdaten während eines Angriffs nicht von Angreifern verändert, verschlüsselt oder gelöscht werden können.“
