Die Woche vom 22. August 2026 konzentriert mehrere Erschütterungen in der Welt des Cyber-Business in Frankreich. Zwischen dem Aufstieg des zukünftigen Resilienzgesetzes, den durch künstliche Intelligenz unterstützten Phishing-Kampagnen und der Umqualifizierung der digitalen Dienstleister sehen sich die Unternehmen einem engen Zeitplan gegenüber. Hier sind die wichtigsten Fakten, die man beachten sollte.
Resilienzgesetz und NIS2: Was der Herbst für digitale Dienstleister ändert
Haben Sie schon bemerkt, dass Ihr Cloud-Hosting-Anbieter oder Ihr IT-Dienstleister Sie nach neuen vertraglichen Garantien fragt? Das ist kein Zufall. Das zukünftige Resilienzgesetz, das gleichzeitig die NIS2-, REC- und DORA-Richtlinien für den Finanzsektor umsetzt, strukturiert ein System, das etwa 15.000 klassifizierte Einheiten in Frankreich betrifft.
Der Text unterscheidet zwei Ebenen. Die “wichtigen Einheiten” umfassen Energie, Transport, Gesundheit, Trinkwasser, digitale Infrastrukturen und die öffentliche Verwaltung. Die “wichtigen Einheiten” decken Chemie, Lebensmittelindustrie, Fertigung und Postdienste ab.
Was sich konkret für das Cyber-Business ändert: Jede betroffene Einheit muss die Sicherheit ihrer digitalen Lieferkette überprüfen. Datenhosting-Standorte, Aufbewahrungsfristen, Multi-Faktor-Authentifizierung – alles wird berücksichtigt. Die vorgesehenen Sanktionen können bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes für die wichtigen Einheiten betragen.
Cloud-Dienstleister, Softwarehersteller und Anbieter von Managed Services müssen jetzt schon vorausschauen. Ein im September gestartetes Compliance-Audit wird angenehmer sein als eine hastige Anpassung nach der Verkündung. Die Neuigkeiten über Cyber Business zu verfolgen, ermöglicht es, nichts über den parlamentarischen Fortschritt dieses Textes zu verpassen.
Von KI generiertes Phishing: Französische KMU an vorderster Front
Die Mehrheit der aktuellen Phishing-Kampagnen nutzt mittlerweile Inhalte, die von künstlicher Intelligenz generiert werden. Das Phänomen hat sich innerhalb weniger Monate vergrößert. Audio-Deepfakes und ultra-personalisierte E-Mails machen die Erkennung für einen ungeschulten Mitarbeiter erheblich schwieriger.
Warum sind KMU besonders exponiert? Drei konkrete Gründe:
- Sie verfügen selten über ein dediziertes Cybersicherheitsteam und verlassen sich auf einen externen Dienstleister, der nach dem Vorfall eingreift, nicht vorher.
- Ihre Mitarbeiter erhalten nur selten regelmäßige Sensibilisierungsschulungen, was sie anfällig für ausgeklügelte Social-Engineering-Techniken macht.
- Das Budget für digitale Sicherheit bleibt oft marginal im Vergleich zum Umsatz, während die Kosten eines Cyberangriffs die Geschäftstätigkeit über mehrere Wochen gefährden können.
Französische Kleinstunternehmen machen Fortschritte bei der digitalen Ausstattung, sind aber gegenüber KI und Cybersicherheit vorsichtig. Die Kluft zwischen der Einführung von Werkzeugen und dem effektiven Schutz schafft eine Verwundbarkeitszone, die Angreifer systematisch ausnutzen.
Incident Notification: Der Zeitrahmen, den NIS2 vorschreibt
Das Resilienzgesetz sieht ein strenges Benachrichtigungsprotokoll im Falle eines Sicherheitsvorfalls vor. Die betroffene Einheit muss das Ereignis innerhalb von 24 Stunden melden, einen Zwischenbericht innerhalb von 72 Stunden vorlegen und dann einen endgültigen Bericht im folgenden Monat einreichen.
Für ein KMU, das an einem Montagmorgen entdeckt, dass seine Kundendaten exfiltriert wurden, erfordert dieser Zeitrahmen eine intern im Voraus vorbereitete Organisation. Den richtigen Ansprechpartner identifizieren, den Vorfall dokumentieren, die zuständige Behörde kontaktieren: Jeder Schritt muss in einem vor der Krise verfassten Reaktionsplan vorgesehen sein.
Datenhoheit und Cloud: Der Markt restrukturiert sich
Die Frage der digitalen Souveränität ist kein theoretisches Debattenthema mehr. Die Verpflichtungen des zukünftigen Resilienzgesetzes zu den Hosting-Standorten drängen französische Unternehmen dazu, ihre Cloud-Verträge zu überdenken. Europäische Anbieter, die ein Hosting auf dem Territorium der Union garantieren, gewinnen gegenüber amerikanischen Akteuren an Boden.
Diese Bewegung beschleunigt sich in Sektoren, die strengen regulatorischen Anforderungen unterliegen: Gesundheit, Finanzen, öffentliche Verwaltung. Ein Krankenhaus oder eine als “wichtige Einheit” klassifizierte Gemeinde kann sich nicht mehr mit einem Standardvertrag zufriedengeben, ohne die physische Lage ihrer Daten zu überprüfen.
Was Unternehmen in ihren Cloud-Verträgen überprüfen sollten
- Der genaue Standort der verwendeten Rechenzentren, einschließlich der Notfall- und Backupzentren.
- Die Klauseln zum Transfer von Daten außerhalb der Europäischen Union, auch vorübergehend, zur Wartung oder technischen Unterstützung.
- Die Fähigkeit des Anbieters, Prüfungsnachweise über seine eigenen Sicherheitsmaßnahmen (Verschlüsselung, Zugriffsverwaltung, Protokollierung) zu liefern.
- Die Bedingungen der Rückführbarkeit: Daten in einem nutzbaren Format zurückzuerhalten, wenn der Anbieter seine Preispolitik ändert oder seine Tätigkeit einstellt.
Cyberangriffe auf Steuerdaten: Der Staat reagiert
Mehrere Datenlecks haben in den letzten Monaten die Steuerbehörden betroffen. Angesichts dieser wiederholten Vorfälle hat der Staat eine Notfall-Einheit für Cyberangriffe auf die Steuerdaten der Steuerzahler eingerichtet. Diese institutionelle Antwort spiegelt ein Bewusstsein wider: Öffentliche IT-Systeme sind bevorzugte Ziele für Angreifer.
Für Unternehmen erinnern diese Lecks daran, dass die an die Behörden übermittelten Daten nicht sicher sind. Eine SIRET-Nummer, eine Bilanz, Bankdaten, die auf einer öffentlichen Plattform hinterlegt sind, können in die falschen Hände geraten. Die Wachsamkeit endet nicht an den Grenzen des internen Informationssystems.
Französische Unternehmen überdenken ihre Cybersicherheitsstrategien angesichts der Risiken im Zusammenhang mit KI und der Zunahme von Angriffsvektoren. Die Woche, die sich öffnet, bestätigt einen grundlegenden Trend: Cybersicherheit wird zu einem strukturellen Budgetposten, ebenso wie Buchhaltung oder rechtliche Compliance. Führungskräfte, die das Thema weiterhin als technische Nebenausgabe behandeln, gehen ein messbares Risiko für die Kontinuität ihrer Geschäftstätigkeit ein.