IT-Sicherheit · Branchen-Briefing

Das Bundeskartellamt hat einen vorläufigen Entscheidungsentwurf zur geplanten Edeka-Übernahme der Tegut-Kette vorgelegt und identifiziert fast 40 regional kritische Markträume, in denen der Zusammenschluss wettbewerbliche Bedenken aufwirft. Die bisherigen Zusagen des Käufers reichen nach Einschätzung der Behörde nicht aus, um diese Bedenken zu beseitigen. Präsident Andreas Mundt betont, dass die endgültige Entscheidung noch aussteht und das Kartellamt die Prüfung ausschließlich nach wettbewerbsrechtlichen Vorgaben vornimmt. Hessens Wirtschaftsminister Kaweh Mansoori fordert dagegen, gesellschaftliche Folgen wie Arbeitsplätze und Nahversorgung stärker in politischen Entscheidungen zu berücksichtigen. Die nächsten Verfahrensschritte werden sich auf die konkrete Ausgestaltung von Zusagen konzentrieren, besonders in den regional fragilen Wettbewerbsräumen, um zu klären, welche Nachbesserungen zur Genehmigungsfähigkeit erforderlich sind.

Die EU-Verordnung Digital Operational Resilience Act (DORA), die im Januar 2025 vollständig in Kraft trat, verpflichtet Banken, Versicherer und Investmentfirmen in der EU zu strikten ICT-Risikomanagement-Frameworks, verpflichtender Incident-Meldung innerhalb von vier Stunden nach Klassifizierung und Drittanbieter-Kontrollen. In den USA haben die SEC-Cybersecurity-Disclosure-Rules von 2023 börsennotierte Finanzfirmen zur Meldung wesentlicher Vorfälle innerhalb von vier Geschäftstagen und zur jährlichen Offenlegung der Cybersecurity-Governance auf Vorstandsebene verpflichtet. Die Gramm-Leach-Bliley-Act-Safeguards-Rule-Änderungen von 2023 erweiterten die Compliance-Anforderungen auf Nicht-Bank-Finanzinstitute. Regulierungsdurchsetzung durch die Bundesaufsichtsbehörden wie das Federal Financial Institutions Examination Council und die New York State Department of Financial Services sowie internationale Anforderungen wie die Payment Card Industry Data Security Standard v4.0 treiben strukturell anhaltende Compliance-Ausgaben in der BFSI-Cybersecurity-Branche. Die Monetary Authority of Singapore, die Reserve Bank of India und die chinesische National Financial Regulatory Administration verstärken Cyber-Audit-Anforderungen und Datenlokalisierungsvorgaben, was zu beschleunigter regulatorischer Durchsetzung und entsprechenden Sicherheitsinvestitionen in Asien-Pazifik führt.