Mehr als Security: Europas Weg zur digitalen Kontrolle : Wie Unternehmen zwischen Compliance, Souveränität und KI die Grundlage für vertrauenswürdige IT schaffen

Europäische Unternehmen stehen vor einer neuen Realität: Cybersicherheit hat sich von einer rein technischen Disziplin zu einer Managementaufgabe entwickelt. Drei Entwicklungen treiben diesen Wandel maßgeblich voran: regulatorischer Druck, steigende Anforderungen an digitale Souveränität und der Einsatz künstlicher Intelligenz. Gemeinsam formen sie eine Security-Landschaft, in der Governance zur entscheidenden Fähigkeit wird.

Derzeit verändert sich neben der Technologie selbst vor allem der Umgang mit Sicherheit. Cybersecurity wird zunehmend zu einer Frage von Struktur und Steuerung. Unternehmen müssen nachvollziehbar machen können, wie sie Risiken bewerten, Entscheidungen treffen und Anforderungen dauerhaft erfüllen. Einzelne Maßnahmen reichen nicht mehr aus, wenn sie nicht in klare Prozesse und definierte Verantwortlichkeiten eingebettet sind.

IT-Landschaften sind zudem deutlich komplexer geworden. Systeme verzahnen sich, Daten bewegen sich über Grenzen hinweg und Abhängigkeiten nehmen zu. In diesem Umfeld entsteht Sicherheit nicht von selbst. Sie muss geplant, gesteuert und kontinuierlich überprüft werden.

Compliance als strategischer Treiber

Regulatorische Anforderungen greifen heute tiefer in IT-Strukturen ein als je zuvor. Vorgaben wie NIS-2, DORA oder der EU AI Act definieren nicht nur Rahmenbedingungen, sondern beeinflussen Architektur, Prozesse und Technologieentscheidungen.

Rund 79 Prozent der 500 für die Studie „Cybersecurity Agenda 2030“ befragten Unternehmen erwarten, dass gesetzliche Regelwerke bis 2030 starken Einfluss auf zentrale Sicherheitsziele wie Vertraulichkeit und Integrität haben. Auch Investitionen, Governance-Strukturen und Technologieauswahl werden demnach zunehmend durch diese Vorgaben bestimmt.

IT-Security entwickelt sich damit von reaktiver Abwehr zu einer nachweisbaren, auditierbaren Kompetenz. Firmen investieren verstärkt in Lösungen, die sowohl schützen als auch nachvollziehbar machen, wie sie Sicherheit gewährleisten. Gleichzeitig rückt die Fähigkeit in den Vordergrund, Prozesse zu dokumentieren, Entscheidungen zu begründen und Anforderungen jederzeit nachweisen zu können.

Hinzu kommt der Verstärkereffekt von Compliance. Sie wirkt nicht isoliert und treibt vorhandene Herausforderungen zusätzlich an. Organisationen müssen neue Vorgaben umsetzen und zugleich gewachsene IT-Landschaften anpassen. Der Druck wächst damit gleich doppelt.

Kontrolle statt Autarkie

Parallel gewinnt ein zweites Thema stark an Bedeutung: digitale Souveränität. Dabei geht es nicht um vollständige Unabhängigkeit. Im Kern steht die kontrollierte Entscheidungsfähigkeit über Daten, Systeme und Sicherheitsprozesse.

64 Prozent der Unternehmen haben digitale Souveränität bereits in ihrer Security-Strategie verankert, allerdings mit sehr unterschiedlicher Tiefe. Während einige Souveränität bereits konsequent in Architekturentscheidungen integrieren, adressieren andere sie bislang nur punktuell.

Ein zentraler Treiber ist dabei die wachsende Wahrnehmung von Abhängigkeiten als Risiko. Besonders die Nutzung nicht-europäischer Anbieter wird kritischer bewertet. Unternehmen reagieren darauf mit hybriden Modellen: Kritische Sicherheitsfunktionen bleiben gezielt im europäischen Rechtsraum, während globale Plattformen weiterhin Teil der IT-Landschaft sind.

Diese selektive Souveränität ist kein Widerspruch, sondern eine bewusste Auswahl. Nicht jeder Dienst muss im eigenen Rechenzentrum laufen, aber Unternehmen sollten festlegen, wo sie Kontrolle behalten wollen. In sicherheitskritischen Bereichen betrifft das vor allem die Frage, wer Daten verarbeitet, speichert und auswertet.

Mit zunehmendem Reifegrad zeigt sich zudem ein klarer Unterschied: Organisationen mit höher entwickelter Cybersicherheit verankern Souveränität stärker in ihren Entscheidungen. Sie nutzen sie nicht als abstraktes Ziel, vielmehr als konkrete Grundlage für Architektur, Anbieterwahl und Betriebsmodelle.

KI beschleunigt und schafft Risiken

Die dritte Kraft ist der Einsatz von künstlicher Intelligenz in der Cybersecurity. KI ermöglicht schnellere Reaktionen, bessere Angriffserkennung und eine deutliche Entlastung von Security-Teams. 72 Prozent der Unternehmen sehen den größten Nutzen in der gesteigerten Reaktionsgeschwindigkeit auf Sicherheitsvorfälle.

Doch mit neuen Möglichkeiten entstehen auch neue Anforderungen. Maßgebend ist dabei weniger der Einsatz von KI als vielmehr die Fähigkeit, diese Systeme transparent und nachvollziehbar zu steuern. Viele Unternehmen stoßen hier an ihre Grenzen: Nicht einmal die Hälfte verfügt über die notwendigen Governance-Strukturen, um KI-gestützte Entscheidungen auditierbar zu machen.

Dadurch wird deutlich: KI ist kein Selbstläufer. Ohne klare Prozesse, Verantwortlichkeiten und ein belastbares Managementsystem entstehen zusätzliche Risiken  – von mangelnder Nachvollziehbarkeit bis hin zu neuen Angriffsflächen.

KI verändert zudem beide Seiten: Sie lässt sich zur Abwehr einsetzen, erweitert aber auch das Repertoire der Angreifer. Unternehmen müssen ihre Sicherheitsarchitektur deshalb in zwei Richtungen auslegen – defensiv und präventiv.

Konsequenzen für die Praxis

Diese drei Entwicklungen zeigen: Cybersecurity wird zur Governance-Aufgabe. Verantwortliche müssen heute Antworten auf zentrale Fragen finden:

• Wer trägt im Ernstfall die Verantwortung für Handlungen und Entscheidungen?
• Wo müssen Daten und Systeme kontrolliert bleiben?
• Wie lassen sich neue Technologien sicher und compliant einsetzen?

Darüber hinaus wird es immer wichtiger, klare Zuständigkeiten und Entscheidungswege festzulegen. Gerade unter regulatorischen Anforderungen bleibt im Ernstfall oft wenig Zeit für Abstimmungen. Rollen und Verantwortlichkeiten müssen vorab definiert sein und im Alltag funktionieren.

Getroffene Entscheidungen prägen die Sicherheitsarchitektur und zugleich die Zukunfts- und Wettbewerbsfähigkeit der Organisation. Wer klare Strukturen schafft, kann schneller reagieren, Vorgaben besser erfüllen und Risiken gezielter steuern.

Cybersecurity beginnt bei der Governance

IT-Sicherheit made in Europe bedeutet vor allem eines: Sicherheit muss kontrollierbar, nachvollziehbar und regelkonform sein. Regulierung setzt dabei den Rahmen, digitale Souveränität definiert die strategische Ausrichtung und KI verändert die operative Umsetzung. Wer diese drei Dimensionen integriert gestaltet, schafft nicht nur Sicherheit, sondern Vertrauen und Wettbewerbsfähigkeit.

Die vollständige Studie „Cybersecurity Agenda 2030“ mit weiteren Daten und Handlungsempfehlungen steht unter https://web.sits.com/de/the-cybersecurity-agenda2030-study zum Abruf bereit.