"Schon wieder neue Regulierung. Als ob wir nichts Besseres zu tun hätten."
Das ist die häufigste Reaktion, die wir hören, wenn NIS2 oder FINMA-Anforderungen auf den Tisch kommen. Verständlich. Noch mehr Papierkram, noch mehr Audits, noch mehr Kosten.
Die Anforderungen, die diese Regulierungen stellen, brauchst du ohnehin. Kritische Prozesse identifizieren. Incident Response vorbereiten. Lieferketten-Risiken managen. Das sind keine Compliance-Übungen, das sind Grundlagen operativer Resilienz.
Die Regulierung gibt dir nur die Struktur und eine externe Deadline.
Der Perspektivwechsel
Alte Perspektive: Compliance = Kosten. Aufwand. Bürokratie. Auditor zufriedenstellen. Abhaken. Vergessen.
Neue Perspektive: Compliance = Checkliste für operative Fähigkeiten, die du sowieso brauchst. Mit dem Bonus: Rechtssicherheit und Wettbewerbsvorteil.
Der Unterschied liegt nicht in den Aktivitäten – die sind oft dieselben. Der Unterschied liegt in der Denkweise.
Wenn du NIS2 als "nervige Pflicht" angehst, bekommst du minimale Compliance und keinen operativen Nutzen. Wenn du NIS2 als "Struktur für Resilienz" angehst, bekommst du beides.
Was NIS2 und FINMA wirklich fordern
Lass uns mal durch die wesentlichen Anforderungen gehen – und schauen, was sie für die operative Resilienz bedeuten.
NIS2: Die wichtigsten Anforderungen
FINMA: Operative Resilienz für Finanzsektor
Schweizer KRITIS-G (ab Oktober 2025)
Wie du Compliance zur Resilienz machst
Hier ist der praktische Teil: Wie mappst du regulatorische Anforderungen auf dein Resilienz-Framework?
Schritt 1: Compliance-Mapping erstellen
Für jede regulatorische Anforderung fragst du:
- Welche Resilienz-Dimension adressiert das?
- Haben wir das bereits abgedeckt?
- Wenn ja: Wo ist der Nachweis?
- Wenn nein: Was müssen wir tun?
Beispiel Compliance-Mapping-Matrix:
Schritt 2: Synergien nutzen
Das Schöne an diesem Ansatz: Viele Anforderungen überlappen sich.
- NIS2 fordert "Identifikation kritischer Dienste"
- FINMA fordert "Kritische Funktionen identifizieren"
- ISO 27001 fordert "Asset Management mit Schutzbedarfsfeststellung"
Das ist dreimal dieselbe Übung. Mit einer guten Business Impact Analyse deckst du alle drei ab.
Statt für jeden Regulator separate Dokumentation zu erstellen, erstellst du ein integriertes Resilienz-Framework und mappst es auf die verschiedenen Anforderungen.
Schritt 3: Nachweis-Struktur aufbauen
Regulierung bedeutet auch: Du musst nachweisen können, was du tust.
Halte die Dokumentation aktuell. Ein veralteter BC-Plan ist bei einer Prüfung schlimmer als keiner, weil er zeigt, dass du das Thema nicht ernst nimmst.
Der Wettbewerbsvorteil
1. Kundenvertrauen
Wenn du einem Enterprise-Kunden zeigen kannst, dass du NIS2-compliant bist und regelmässig BC-Tests durchführst, bist du glaubwürdiger als der Wettbewerber, der das nicht kann. Gerade bei Ausschreibungen im Enterprise-Segment werden Resilience-Nachweise immer häufiger abgefragt.
2. Versicherungskonditionen
Cyber-Versicherungen werden teurer und restriktiver. Versicherer geben bessere Konditionen für Unternehmen mit nachweisbaren Resilience-Massnahmen. Wir haben Fälle gesehen, wo die Prämieneinsparung die Kosten der Resilience-Implementation im ersten Jahr übersteigt.
3. Lieferketten-Qualifikation
Grosse Unternehmen prüfen zunehmend die Cyber-Resilienz ihrer Lieferanten. Wenn du nachweisen kannst, dass du deine Risiken im Griff hast, qualifizierst du dich für Aufträge, die anderen verwehrt bleiben.
4. M&A-Due-Diligence
Bei Unternehmenskauf und -verkauf wird IT-Resilienz geprüft. Unternehmen mit sauberer Compliance-Dokumentation erzielen bessere Bewertungen, weil das Risiko für den Käufer geringer ist.
Die Falle: Compliance um der Compliance willen
Der falsche Ansatz:
- Minimale Dokumentation erstellen, um Audit zu bestehen
- Checklisten abhaken ohne operative Umsetzung
- Separate "Compliance-Dokumente" neben den echten Prozessen
- Einmal erstellen, dann vergessen
Das Ergebnis: Compliance-Kosten ohne operativen Nutzen. Bei echtem Vorfall helfen die Dokumente nicht. Beim nächsten Audit fängst du von vorne an.
Der richtige Ansatz:
- Resilienz-Fähigkeiten aufbauen, die funktionieren
- Compliance-Nachweise als Nebenprodukt dieser Fähigkeiten
- Integrierte Dokumentation, die den echten Prozess abbildet
- Regelmässige Tests und kontinuierliche Verbesserung
Die kurze Version
- Perspektivwechsel: Compliance ist keine Bürokratie, es ist eine Checkliste für das, was du brauchst
- Synergien nutzen: NIS2, FINMA, ISO 27001 fordern oft dasselbe
- Ein Framework, mehrere Nachweise: Integriertes Resilienz-Framework statt separate Compliance-Dokumente
- Wettbewerbsvorteil: Kundenvertrauen, Versicherungskonditionen, Lieferketten-Qualifikation, M&A-Bewertung
- Die Falle vermeiden: Keine Compliance um der Compliance willen, sondern operative Fähigkeiten mit Compliance-Nachweis
Wie weiter?
- Welche Regulierungen gelten für dein Unternehmen? (NIS2? FINMA? KRITIS-G? GDPR?)
- Hast du eine aktuelle Business Impact Analyse?
- Könntest du bei einem Audit morgen nachweisen, was du für Business Continuity tust?
Wenn du bei Frage 2 oder 3 unsicher bist, hast du deinen Startpunkt. Und falls ihr Unterstützung braucht, um Compliance und Resilienz sinnvoll zu integrieren, genau dafür sind wir da.
