„Dieser Verantwortung kann sich das Topmanagement nicht entziehen“

Die gehackten Kühlvitrinen in Frankreich haben einer breiten Öffentlichkeit klargemacht, wie umfassend Cybersicherheit heute organisiert sein muss. Was lehrt uns das im Zusammenhang mit der NIS 2?

Das Beispiel ist hochgradig spannend. Warum? Laut Hersteller jener Kühlvitrinen war die eingesetzte Software bereits „out of life“, sie wurde also nicht mehr gewartet. Das zeigt, warum die kontinuierliche Überprüfung und Aktualisierung von Systemen nicht nur formale Vorgabe ist, sondern auch reale Auswirkungen haben kann. In Zeiten, in denen mit KI Schwachstellen in nie da gewesener Form und Geschwindigkeit aufgedeckt werden, hat das noch mehr Bedeutung. Das ist ein Fehler, der nicht passieren darf. Deswegen ist das Monitoring von IT-Lieferanten und deren Nachweisen ein essenzieller Bestandteil einer smarten Vertragsmanagement-Software. 

Die Supermarktbetreiber können sich hier schwer aus der Verantwortung nehmen?

Mein Verständnis ist, dass hier im Drittparteien-Risikomanagement etwas übersehen worden ist. Entweder hat man die Verträge und die damit verbundenen Fristen nicht richtig gemanagt oder man hat sie gemanagt, aber nicht jeden internen Verantwortlichen in Kenntnis gesetzt. Das Ganze unterstreicht die Notwendigkeit von NIS 2 und schafft bei den Verbraucher:innen ein Bewusstsein dafür, wie relevant dieses Regulativ ist. Bei Lebensmittelversorgungssicherheit sprechen wir ja von Grundversorgung.

Das unterschreiben sicher alle, dennoch sind die Klagen über Überbürokratisierung omnipräsent, und in Österreich gaben bei einer Umfrage im Frühjahr 44 Prozent der Unternehmen an, nicht einmal einschätzen zu können, ob sie von NIS 2 betroffen sind.

Das ist kein nationales Phänomen. In Deutschland, wo das Umsetzungsgesetz bereits Ende 2025 in Kraft trat, hatten sich gerade einmal 10.000 der 30.000 betroffenen Unternehmen rechtzeitig bis zur Frist beim BSI registriert. Dabei ist die Registrierung noch die einfachste der Aufgaben, die mit NIS 2 auf Unternehmen zukommen. Impliziert muss man daraus wohl ableiten, dass es vielerorts wahrscheinlich ein Ressourcenengpass ist, sich mit dieser Thematik auseinanderzusetzen.

Was ist Ihre Wahrnehmung dazu aus Gesprächen mit Entscheidungsträger:innen?

In meiner Wahrnehmung ist es ähnlich wie bei der Einführung von DORA, der Cybersicherheitsverordnung für den Finanzsektor. Es gibt unterschiedliche Umsetzungsgeschwindigkeiten im Markt. Anhand der Prüfungen, die wir als potenzieller Anbieter bei Kunden durchlaufen, sehen wir viele Unternehmen, die schon sehr weit sind. Es gibt allerdings auch jene, bei denen der Aufholbedarf größer ist.

Die EU hat für die NIS 2 Mindeststandards wie Haftung, Bußgelder u. a. definiert. Warum nehmen viele Führungsverantwortliche diese Verantwortung noch nicht wahr? Kalkulieren sie auf Risiko?

Das ist ein zentraler Punkt, dessen sich das Topmanagement bewusst sein muss. Mit dem Konzept der persönlichen Haftung der Führungsebene will die EU die Exekution forcieren. Dieser Verantwortung kann sich das Topmanagement auch nicht mit smart designten Organigrammen entziehen – Stichwort Delegation.

Neben für alle verbindlichen Vorgaben unterscheiden sich die nationalen Auslegungen. Wie gehen Unternehmen vor, die in mehreren EU-Ländern Geschäfte machen? 

Beim Management der IKT-Dienstleister und der Informationssicherheit gibt es aus meiner Sicht keine relevanten Abweichungen. Das Intelligenteste ist sicher, sich das Land mit den strengsten Standards als Maß zu nehmen und diese für alle im Konzern zu verwenden. Bei NIS 2 gibt es beispielsweise im Hinblick auf die Meldepflichten national unterschiedliche Vorgaben. Für international tätige Unternehmen erleichtert das die Umsetzung natürlich nicht und bindet zusätzliche Ressourcen.

Sie haben zahlreiche Unternehmen bei der Einführung von Vertragsmanagementlösungen begleitet, die das Lieferantenmonitoring für die NIS 2 stark erleichtern. Kommt dabei auch KI zum Einsatz?

Es ist nie KI alleine. Wir setzen unterschiedliche digitale Bausteine zusammen, um zu einem starken IT-Lieferanten- und Vertragslebenszyklus zu kommen. Wir bei Fabasoft Contracts nennen das den „IRON-Loop“: Inventarisieren – Risiken bewerten – Operationalisieren – Nachverfolgen. Bleiben wir beim Beispiel der Kühlvitrinen: Verträge müssen zu Beginn umfassend inventarisiert und risikobasiert bewertet werden. Es geht um die Frage: Wo haben wir Gaps? Hat sich vielleicht eine Information zum Fristenauslauf verändert? Wenn, wie in diesem Fall, die Softwarewartung ausgelaufen ist, muss hinterlegt sein, wer im Prozess informiert wird.

Welche Aufgaben kann die KI hier konkret übernehmen?

In diesen Cycle baue ich KI gezielt ein. Sie kann Metadaten extrahieren und Verträge nach bestimmten Vorgaben oder Compliance-Themen automatisiert prüfen. Dann bekomme ich eine Risikoübersicht, auf deren Basis ich agieren kann. Mittlerweile kann auch mit den Verträgen gechattet werden. Oder: Speziell im internationalen Kontext ist es praktisch, Zusammenfassungen in verschiedenen Sprachen zu generieren. Wenn jemand aus der deutschen Holding die Verträge der dänischen Tochtergesellschaft lesen will, kein Problem.

Was berichten Kund:innen Ihnen über Nutzen und Zeitersparnis? 

Ein Kunde hat mir unlängst berichtet, dass sie mit der KI-Vertragsprüfung drei bis vier Stunden bei jedem Vertrag sparen. So etwas freut uns immer sehr. Oder ein anderes Beispiel: Für eine große Versicherung in Deutschland haben wir ein automatisiertes Informationsblatt für den Vorstand entwickelt. Wenn dieser etwas zur Zeichnung erhält, kann er in jenem One-Pager auf einen Blick alle relevanten Inhalte und bereits durchgeführten Prüfungen erfassen und so seine Genehmigung schnell und fundiert erteilen. Die Langfassung zum Nachlesen ist natürlich auch verknüpft. Der Kunde war so happy mit dem Feature, dass er den Go-Live nun unbedingt früher ansetzen wollte.