Sicherheit und Compliance in der Handwerks-IT: Was DORA, NIS2 und DSGVO für Sie bedeuten

DORA gilt für Banken, Versicherer und deren IT-Dienstleister, nicht für den typischen Handwerksbetrieb. Trotzdem landen die Anforderungen bei Ihnen, sobald ein regulierter Kunde Nachweise über Ihre IT verlangt, und die Frage nach Backups, Updates und Notfallplan stellt sich ohnehin.

Was DORA ist und wen die Verordnung wirklich betrifft

Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung, die seit Januar 2025 Finanzunternehmen verpflichtet, ihre IT-Risiken zu steuern, Vorfälle zu melden und ihre Ausfallsicherheit nachzuweisen. Sie richtet sich an Banken, Versicherungen und die Anbieter, die deren IT betreiben. Ein Metallbaubetrieb, der Fensterrahmen für eine Bankfiliale fertigt, fällt nicht darunter. Er bekommt die Wirkung trotzdem zu spüren, wenn der Einkauf der Bank vor Auftragsvergabe einen Fragebogen zur Informationssicherheit schickt.

Wir sagen das so deutlich, weil im Netz das Gegenteil steht. Wer Ihnen DORA-Pflichten für Ihren Handwerksbetrieb verkauft, verkauft Angst.

Welche Regeln für Handwerksbetriebe tatsächlich gelten

Die Datenschutz-Grundverordnung (DSGVO) gilt für jeden Betrieb, der Kundenadressen, Mitarbeiterdaten oder Rechnungen verarbeitet, also für alle. Sie verlangt angemessene technische Maßnahmen, und dazu zählen Backups und Zugriffsschutz. Die NIS2-Richtlinie zielt auf bestimmte Sektoren und Größenklassen; die meisten Handwerksbetriebe fallen nicht direkt darunter, manche ihrer Kunden schon. Das BSI stellt für kleine Unternehmen einen praxisnahen Leitfaden bereit, der ohne Jurist verständlich ist.

Was Sie daraus mitnehmen sollten: Nicht die Verordnung ist Ihr Problem, sondern der Laptop, auf dem die gesamte Baustellendokumentation liegt.

Der Notfallplan, den jeder Betrieb braucht

Fragen Sie sich an einem ruhigen Nachmittag, wie Ihr Betrieb weiterarbeitet, wenn morgen früh alle Rechner verschlüsselt sind. Wenn die Antwort länger als eine Minute dauert, haben Sie den ersten Punkt Ihrer Liste. Ein Feinwerkmechanikbetrieb hat für genau diesen Fall aufgeschrieben, welche Systeme in welcher Reihenfolge wiederhergestellt werden und wer die Kunden informiert. Ein Betrieb ohne diesen Plan hat bei einem Ransomware-Vorfall wochenlang stillgestanden.

Der Plan beginnt mit einer Bestandsaufnahme: Welche Geräte, welche Programme, welche Cloud-Dienste gibt es? Dann die Frage, ohne welche davon morgen keine Rechnung rausgeht. Für die meisten Betriebe sind das Auftragsverwaltung, Rechnungsstellung und E-Mail. Für diese Systeme brauchen Sie regelmäßige, geprüfte Backups, Anmeldung mit zweitem Faktor und Mitarbeiter, die einen Phishing-Versuch erkennen.

Sicherheitsupdates und Backups auslagern oder selbst machen?

Sicherheitsupdates, Backups und Überwachung kann ein Handwerksbetrieb selbst erledigen, wenn jemand die Zeit dafür hat und sie sich auch nimmt. In der Praxis hat das niemand, und die Updates warten, bis etwas kaputtgeht. Managed Hosting übergibt diese Aufgaben an einen Betreiber mit verbindlicher Reaktionszeit: Updates werden eingespielt, Backups täglich gezogen und getestet, Störungen rund um die Uhr erkannt. Ein Betrieb, dessen Baustellendokumentation nur auf einem lokalen Laptop lag, hat nach der Bestandsaufnahme auf eine gehostete Lösung mit automatischen Backups umgestellt. Das Risiko eines Totalverlusts war damit vom Tisch.

Unsere Haltung dazu: Reaktionszeit lässt sich garantieren, eine Lösung nur nach bestem Bemühen. Wer Ihnen hundertprozentige Sicherheit verspricht, hat den Vorfall noch nicht erlebt.

Was Ihnen die Umsetzung bringt

Wer seine IT dokumentiert und die Wiederherstellung geübt hat, verkürzt die Zeit bis zur Arbeitsfähigkeit von Tagen auf Stunden. Ein Betrieb mit einem geprüften Notfallplan hat nach einer Störung deutlich schneller wieder gearbeitet als vorher. Der zweite Gewinn: Wenn der Einkauf eines regulierten Kunden den Fragebogen schickt, füllen Sie ihn aus, statt den Auftrag zu verlieren.

Häufige Fragen zu DORA und IT-Sicherheit im Handwerk

Gilt DORA für kleine Handwerksbetriebe?

Nein, nicht direkt. Betroffen sind Finanzunternehmen und die IT-Dienstleister, die für sie arbeiten. Handwerksbetriebe spüren DORA nur über Anforderungen ihrer regulierten Kunden.

Wie viel Aufwand bedeutet ein Notfallplan?

Die Bestandsaufnahme ist in wenigen Tagen erledigt. Danach bleiben laufende Aufgaben wie Backup-Prüfung und Updates, die sich weitgehend automatisieren oder auslagern lassen.

Reicht meine vorhandene IT dafür aus?

Oft ja. Cloud-Backup, Virenschutz und Firewall sind meist vorhanden, aber nicht dokumentiert und nie getestet. Genau das ist die Lücke.

Ihr nächster Schritt

Schreiben Sie auf, welches System Ihren Betrieb morgen früh lahmlegen würde, und wann dessen Backup zuletzt geprüft wurde. Mit diesen zwei Antworten buchen Sie den Potenzial-Check: eine halbe Stunde, kostenlos, und wir sagen Ihnen, was Sie selbst erledigen können und was Sie besser auslagern.