IT-Sicherheit · Branchen-Briefing

Die EU-Cyber-Resilience-Act (CRA) Meldebestimmungen sind seit 11. September 2026 in Kraft und verpflichten Hersteller von Produkten mit digitalen Elementen, die in der EU vermarktet werden, zur Meldung von aktiv ausgebeuteten Schwachstellen innerhalb von 24 Stunden und schweren Sicherheitsvorfällen innerhalb von 72 Stunden über die ENISA-Plattform. Die Meldepflicht gilt auch für ältere Produkte, und Verstöße können mit Bußgeldern bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden. Hersteller müssen sich unmittelbar auf der Single Reporting Platform registrieren, ihre zuständige nationale CSIRT identifizieren, klare Entscheidungsprozesse zur Klassifizierung von Vorfällen etablieren und bestehende Kundenverträge überprüfen, um Konflikte mit den CRA-Meldefristen zu vermeiden. Die umfassenden Produktanforderungen treten erst am 11. Dezember 2027 in Kraft, erfordern aber bereits jetzt Vorbereitung in Bezug auf sichere Standardkonfigurationen, automatische Sicherheitsupdates und Schwachstellenmanagement.

Die DORA-Regulierung (Digital Operational Resilience Act) verpflichtet europäische Finanzinstitute zur Umsetzung umfassender Cybersecurity- und operativer Resilienzmaßnahmen in fünf Säulen: ICT-Risikomanagement, operationale Resilienztests, Incident Management, Drittanbieter-Risikomanagement und Cybersecurity-Informationsaustausch. Die Regulierung mandatiert robuste ICT-Risk-Management-Frameworks, Threat-Led-Penetration-Testing nach dem TIBER-EU-Standard, detaillierte Incident-Response-Protokolle mit Meldepflichten innerhalb von vier Stunden und 72 Stunden sowie standardisierte Vertragsbedingungen für kritische ICT-Dienstleister. Für M&A und Fusionen im Finanzsektor bedeutet dies erhebliche Compliance-Anforderungen: Bei Übernahmen müssen Drittanbieter-Abhängigkeiten neu bewertet werden, insbesondere hinsichtlich Single Points of Failure und Konzentrisiken bei kritischen ICT-Anbietern nach DORA-Artikel 28-30. Die Regulierung schafft Marktkonsolidierungspotenziale für spezialisierte Anbieter von Resilienz-Testing, Third-Party Risk Management und Incident-Response-Managementsystemen, während kleine Finanzinstitute durch Compliance-Kosten unter Druck geraten.

Die Fusion von NetSPI und Synack signalisiert einen branchenweiten Wandel in der Offensive Security: weg von zeitgesteuerten jährlichen Tests hin zu kontinuierlichen Validierungen. Gartner formalisierte diesen Trend 2022 mit dem Framework "Continuous Threat Exposure Management", einem fünfstufigen zyklischen Ansatz (Scoping, Discovery, Prioritization, Validation, Mobilization), der periodische Scans und jährliche Penetrationstests ablöst. Die kombinierte Plattform positioniert sich explizit um kontinuierliche Sicherheitstests und AI-gestützte Coverage mit menschlicher Expertise. Dieser Wandel spiegelt eine grundlegende Marktreaktion wider: Moderne Angriffsflächen ändern sich durch Cloud-Adoption, digitale Supply Chains und Remote Work schneller als jährliche Testzyklen nachvollziehen können. Für Sicherheitsanbieter, die noch primär auf zeitgesteuerte Engagements ausgerichtet sind, entsteht ein struktureller Nachteil, da Käufer ihre Bewertungen zunehmend gegen das Continuous Threat Exposure Management Framework ausrichten. Diese Konsolidierung verstärkt die Erwartungshaltung, dass glaubwürdige Offensive-Security-Anbieter kontinuierliche Validierung als Baseline anbieten müssen.