IT-Sicherheit · Branchen-Briefing

Gibson Dunn berät KKR und NetSPI bei der Fusion von NetSPI mit Synack zur Bildung einer führenden Plattform im Bereich Offensive Cybersecurity. Die Transaktion wird von mehreren Fachabteilungen der Kanzlei begleitet, darunter Corporate, Tax, IP, Data Privacy, Benefits, Antitrust und Government Contracts.

Pistachio hat die Intellectual Property des norwegischen Cyber-Risk-Management-Unternehmens Hugin.io erworben, das sich auf regulatorische Compliance für wachsende Unternehmen spezialisiert. Die Akquisition stärkt Pistachios Produktangebot in einem Kontext steigenden europäischen Regulierungsdrucks durch Rahmenwerke wie NIS2 und DORA, die kleinere Unternehmen zur Formalisierung ihrer Cybersicherheitsprogramme verpflichten. Die Kombination von Human-Risk-Training mit Compliance-Tooling adressiert ressourcenbegrenzte Organisationen im KMU- und Mid-Market-Segment.

Tusker hat Fortress SRM, ein auf Cybersecurity-Services spezialisiertes Unternehmen aus Cleveland, akquiriert. Die Übernahme bringt etwa 50 Cybersecurity-Fachleute zu Tusker und erweitert das Leistungsportfolio um Security Consulting, vCISO-Services, Managed Security, Incident Response und Digital Forensics. Dies ist Tuskers fünfte Akquisition seit 2017 und erste seit der Konsolidierung unter der Tusker-Marke Anfang 2026. Das Unternehmen beschäftigt nun über 400 Mitarbeiter mit regionalen Hubs in sechs Städten und plant weitere geografische Expansionen durch zusätzliche Übernahmen.

NIS2 und der EU AI Act stellen Unternehmen vor erhebliche Herausforderungen bei der regulatorischen Umsetzung. NIS2 gilt für Unternehmen mit mindestens 10 Millionen Euro Jahresumsatz oder 50 Beschäftigten in Sektoren wie Energie, Transport, Finanzen und Gesundheit und erfordert integriertes Cyberrisikomanagement, Meldeprozesse für Vorfälle und stärkere Verantwortung der Leitungsorgane. Zum März 2024 waren jedoch zwei Drittel der betroffenen deutschen Unternehmen noch nicht registriert. Das Zusammenspiel mehrerer Regelwerke – NIS2, AI Act und Datenschutz – führt zu Organisationsproblemen, da IT, Compliance und Risikomanagement oft isoliert voneinander arbeiten. Unternehmen müssen eine bereichsübergreifende Governance-Struktur (GRC) etablieren, die regulatorische Anforderungen mit bestehenden Kontrollen und Risiken systematisch verknüpft, anstatt für jedes Regelwerk separate Projekte zu schaffen. Dies erfordert laufende Überwachungsprozesse, da sich Systeme, Dienstleister und technische Bedrohungen kontinuierlich verändern.