ENISA

Das richtige ENISA-Dokument für jedes Problem

NIS2 · DORA · CRA · ISO 27001 · Incident Response · Lieferkette · Branchenspezifisch

Vorbemerkung

Diese Leitfadenreihe ist aus einer spezifischen Perspektive heraus geschrieben: der einer General Counsel / Senior Vice President, die über viele Jahre in leitender Inhouse-Funktion in regulierten Unternehmen gearbeitet hat – in der Schweiz und in der EU. Die Autorin verfügt über eine juristische und betriebswirtschaftliche Ausbildung in der Schweiz und in Deutschland sowie über langjährige operative Erfahrung als interne Rechts- und Compliance-Verantwortliche in internationalen Konzernen und KMU-Umfeldern.

Diese Kombination – juristische Tiefe, operatives Management-Know-how und direkte Erfahrung mit den Realitäten von Lieferketten, Vertragsverhandlungen und Aufsichtsbehörden – ist der Grund, warum die Texte so geschrieben sind, wie sie sind: nicht als formale Gesetzeskommentare, sondern als Arbeitsinstrumente. Sie richten sich gleichzeitig an Führungskräfte, die schnell einordnen müssen, was eine Regulierung für ihr Unternehmen bedeutet, und an Fachabteilungen, die wissen müssen, was operativ zu tun ist.

Der interdisziplinäre Ansatz ist bewusst: Digitale Regulierung berührt gleichzeitig IT, Recht, Procurement, Geschäftsführung, HR und Lieferkette. Eine Perspektive, die nur eine dieser Dimensionen kennt, liefert unvollständige Antworten. Die Leitfäden versuchen, alle relevanten Dimensionen gleichzeitig zu adressieren – mit dem Bewusstsein, dass in der Praxis selten ein Team allein zuständig ist und die wirklichen Herausforderungen meistens an den Schnittstellen entstehen.

Die Perspektive «Schweizer KMU im EU-Kontext» ist nicht zufällig. Sie spiegelt langjährige Arbeit an der Schnittstelle zwischen Schweizer Geschäftspraxis und europäischem Regulierungsrahmen: die Erfahrung, was es konkret bedeutet, wenn ein EU-Kundenvertrag plötzlich DORA-Klauseln enthält, wenn ein Procurement-Fragebogen AI-Act-Anforderungen stellt oder wenn ein Lieferant keine NIS2-konformen Sicherheitsnachweise liefern kann. Diese Leitfäden sind aus genau diesen Situationen heraus entstanden – nicht aus dem Lesen von Gesetzestexten, sondern aus der Erfahrung ihrer Auswirkungen.

Vorwort: ENISA – Kostenlose Compliance-Arbeit, die kaum jemand nutzt

ENISA (European Union Agency for Cybersecurity) veröffentlicht jährlich Dutzende von Leitlinien, Frameworks und technischen Standards – kostenlos, auf Englisch, und direkt auf die Umsetzung von NIS2, DORA, CRA und anderen EU-Regulierungen ausgerichtet. Die meisten Schweizer KMU wissen, dass ENISA existiert. Die wenigsten wissen, welches Dokument ihr konkretes Problem löst.

Dieser Leitfaden ist kein allgemeiner ENISA-Überblick. Er ist ein Arbeits-Navigator: Problem beschreiben, richtiges Dokument finden, sofort loslegen. Jeder Abschnitt nennt das relevante ENISA-Dokument, wo Sie es finden, und was es Ihnen konkret nützt.

1. Der ENISA-Navigator: Problem → Dokument

Suchen Sie Ihr konkretes Problem in der linken Spalte. Das empfohlene Dokument und die URL finden Sie rechts. Alle Dokumente sind kostenlos unter enisa.europa.eu verfügbar.

1.1 Einstieg und Grundlagen

1.2 NIS2-Umsetzung

1.3 DORA-Umsetzung

1.4 Cyber Resilience Act (CRA)

1.5 Incident Response

1.6 Spezifische Technologien und Sektoren

2. Wie ENISA-Dokumente in Audits und Kunden-Anfragen wirken

ENISA-Konformität ist kein Selbstzweck. Sie wirkt in konkreten Situationen:

2.1 In NIS2-Audits

NIS2 verlangt 'state of the art'-Sicherheitsmaßnahmen. Nationale Aufsichtsbehörden (BSI, ANSSI, BACS etc.) verwenden ENISA-Leitlinien als Interpretationsgrundlage. Wer ENISA-Standards umsetzt, hat den stärksten verfügbaren Nachweis für regulatorische Konformität.

2.2 In Kunden-Fragebögen

Wenn EU-Kunden Sicherheitsnachweise verlangen, können ENISA-Referenzen die Antwort auf viele Fragen strukturieren:

Frage: 'Wie managen Sie Schwachstellen?' → 'Wir folgen den ENISA Good Practices for Vulnerability Disclosure (CVD).'

Frage: 'Wie klassifizieren Sie Incidents?' → 'Wir verwenden das ENISA-Incident-Klassifikationsschema.'

Frage: 'Wie bewerten Sie Ihre Lieferanten?' → 'Wir nutzen den ENISA Supply Chain Security Bewertungsrahmen.'

2.3 Als Grundlage für das Security Master Document

Das Security Master Document (aus dem ISO-27001-Light-Leitfaden) wird durch ENISA-Referenzen erheblich stärker. Statt 'Wir haben Zugriffskontrollen' können Sie schreiben: 'Unsere Zugriffskontrollen folgen den ENISA Guidelines on Measures under NIS2, Section 4.2, und sind in unserem SoA v2.1 dokumentiert.'

3. ENISA für Schweizer KMU – Besonderheiten

ENISA-Dokumente sind technisch und methodisch universell anwendbar – sie sind nicht auf EU-Unternehmen beschränkt. Schweizer KMU können und sollten sie genauso nutzen wie EU-Unternehmen.

4. Die fünf häufigsten Fehler im Umgang mit ENISA

Fehler 1: ENISA-Dokumente lesen, aber nicht implementieren

Viele KMU laden ENISA-PDFs herunter, lesen sie – und kehren zum Alltag zurück. ENISA-Wert entsteht nur durch Implementierung, nicht durch Kenntnis.

Fehler 2: Veraltete ENISA-Dokumente verwenden

ENISA aktualisiert seine Dokumente regelmässig. Das ETL (Threat Landscape) erscheint jährlich. Wer NIS2-Umsetzung an einem Dokument von 2021 ausrichtet, arbeitet auf veralteter Grundlage.

Fehler 3: ENISA als Ersatz für eigenes Risikomanagement

'Wir folgen ENISA-Standards' ist kein Risikomanagement – es ist ein Referenzrahmen. Eigene Risikoidentifikation, -bewertung und -behandlung sind nicht ersetzbar. ENISA gibt das Framework; Sie füllen es mit Ihren spezifischen Risiken.

Fehler 4: Nur englischsprachige Dokumente als Hürde sehen

Alle relevanten ENISA-Dokumente sind auf Englisch. Das ist für manche KMU eine Hürde. Aber die relevanten Abschnitte sind oft kurz und direkt umsetzbar – und die Investition in das Verständnis zahlt sich bei jedem Kunden-Audit aus.

Fehler 5: ENISA und ISO 27001 als Alternativen sehen

ENISA-Standards und ISO 27001 sind komplementär, nicht konkurrierend. ENISA gibt sektorspezifische und regulierungsspezifische Guidance; ISO 27001 gibt die Managementsystem-Struktur. Das beste Ergebnis entsteht aus beiden zusammen.

5. Was Sie jetzt tun – priorisiert

Kontakt & weitere Informationen