NIS-2-Umsetzung und Cyberresilienz kritischer Infrastrukturen

Die zunehmende Digitalisierung und Vernetzung kritischer Infrastrukturen vergrößert die Angriffsfläche für koordinierte Cyberbedrohungen im europäischen Raum erheblich [1]. Vor diesem Hintergrund markiert die NIS-2-Richtlinie der Europäischen Union eine fundamentale regulatorische Neuausrichtung, die strenge Anforderungen an das Risikomanagement sowie verbindliche Meldepflichten für wesentliche und wichtige Einrichtungen festschreibt [1], [6]. Kritische Sektoren wie der Verkehrssektor und die Schieneninfrastruktur stehen vor der komplexen Aufgabe, heterogene Betriebsarchitekturen und vernetzte Feldgeräte mit diesen erweiterten Rechtsnormen in Einklang zu bringen [2], [3].

Trotz der normativen Harmonisierungsabsichten der Richtlinie treten bei der operativen Transformation tiefgreifende strukturelle Spannungsfelder auf [3]. Insbesondere die ausgeprägte Reifegraddiskrepanz zwischen klassischen IT-Systemen und industrieller Betriebstechnologie (Operational Technology, OT) stellt Betreiber vor erhebliche Hindernisse [3], [7]. Hinzu kommen komplexe Lieferkettenabhängigkeiten sowie eine fragmentierte Governance-Landschaft, welche den vorgeschriebenen zeitnahen Informationsaustausch und die einheitliche Vorfallserfassung erschweren [2], [3]. Die praktische Ausgestaltung von Cyberresilienz erfordert daher Ansätze, die über rein formale Konformitätsnachweise hinausgehen und dynamische Risikobewertungen ermöglichen [7].

Das Ziel der vorliegenden Dissertation besteht in der systematischen Untersuchung der sektoralen Implementierungsmechanismen der NIS-2-Richtlinie und der Bestimmung von Determinanten nachhaltiger Cyberresilienz in kritischen Infrastrukturen. Auf der Grundlage qualitativer Dokumentenanalysen regulatorischer Vorgaben und technischer ENISA-Leitlinien sowie der komparativen Auswertung sektorspezifischer Implementierungskonzepte wird analysiert, wie regulatorische Pflichten in robuste operationelle Sicherheitsarchitekturen überführt werden können [3], [4]. Die Arbeit leistet einen wesentlichen wissenschaftlichen Beitrag zur Schließung der Lücke zwischen europäischer Cybersicherheitsregulierung und deren technischer Operationalisierung in komplexen soziotechnischen Infrastruktursystemen [5], [8].