Regulierung wird zum Produktfeature

Wer Enterprise-Software, Cloud-Infrastruktur oder Cybersecurity-Lösungen an größere Unternehmen verkauft, kennt den Moment: Das Produkt überzeugt, die technischen Fragen sind geklärt, der Business Case steht. Und dann kommt der Fragebogen: Welche Zertifizierungen liegen vor? Welche Subdienstleister kommen zum Einsatz? Wo werden Daten verarbeitet? Wie sieht das Vulnerability Management aus? Welche Auditrechte erhält der Kunde? Und wie wird alles dokumentiert? 

Solche Assessments sind im Enterprise-IT-Geschäft nichts Neues. Neu ist eher, welches Gewicht sie bekommen haben. Mit NIS2, DORA, dem CRA und weiteren regulatorischen Vorgaben wächst der Druck auf Unternehmen, ihre eigene Cybersecurity und auch die ihrer Partner nachzuweisen. Damit verändern sich die Kriterien, nach denen Unternehmen IT einkaufen. Und das wiederum beeinflusst, welche Eigenschaften eines Produkts sich überhaupt verkaufen lassen. 

NIS2 zeigt ziemlich gut, welche Rolle das Thema Regulierung in Beschaffungsprozessen inzwischen spielt. Die Richtlinie verpflichtet betroffene Unternehmen zu Maßnahmen für ihr Cyber-Risikomanagement und nimmt dabei ausdrücklich auch die Sicherheit der unmittelbaren Lieferanten und Dienstleister in den Blick. Was regulatorisch zunächst abstrakt klingt, zeigt sich im Einkauf sehr konkret: Sicherheitsstandards, Zertifizierungen, Risikobewertungen oder entsprechende Vertragsanforderungen fließen damit auch in die Auswahl und Bewertung von Technologiepartnern ein. 

DORA verschärft diese Logik im Finanzsektor noch einmal. Finanzunternehmen müssen die Risiken durch IKT-Drittdienstleister systematisch steuern. Dazu gehören konkrete Anforderungen an Verträge und Informationsrechte sowie je nach Konstellation auch Zugangs-, Inspektions- oder Auditrechte. Wer Banken, Versicherungen oder andere regulierte Finanzunternehmen mit relevanter IT versorgt, bekommt diese Anforderungen deshalb sehr direkt zu spüren. Der Anbieter muss selbst kein Finanzinstitut sein, damit DORA Auswirkungen auf seinen Vertrieb hat. 

Beim Cyber Resilience Act verschiebt sich die Perspektive. Der CRA richtet sich unmittelbar an Hersteller von Produkten mit digitalen Elementen und stellt Anforderungen an deren Cybersecurity über weite Teile des Produktlebenszyklus: vom sicheren Design über das Vulnerability Management bis zu Sicherheitsupdates und technischer Dokumentation. 

Dazu gehört auch die Software Bill of Materials, kurz SBOM. Sie listet die Softwarekomponenten und Abhängigkeiten eines Produkts auf und schafft damit eine wichtige Grundlage für das Schwachstellenmanagement. Taucht beispielsweise eine Sicherheitslücke in einer verwendeten Komponente auf, lässt sich anhand der SBOM schneller feststellen, ob das eigene Produkt betroffen ist. Der CRA verlangt von Herstellern, eine solche Stückliste in einem gängigen maschinenlesbaren Format zu erstellen. 

Für Technologieanbieter läuft bei NIS2, DORA und CRA deshalb einiges auf denselben Punkt hinaus: Unternehmen müssen Cybersecurity zunehmend nachvollziehbar machen. Eine Aussage wie „Unser Produkt ist sicher“ hilft einem Kunden im Vendor Assessment oder gegenüber einem Auditor schließlich nur begrenzt. 

Ich gebe es zu: Die Überschrift dieses Beitrags war etwas überspitzt und damit auch stark vereinfacht. Nur weil Compliance im Einkauf wichtiger wird, ist sie noch lange kein überzeugendes Differenzierungsmerkmal. 

Ein Anbieter, der zentrale regulatorische Anforderungen seiner Kunden nicht erfüllen oder belegen kann, scheitert in bestimmten Ausschreibungen schon an der Vorauswahl. Wer die notwendigen Voraussetzungen erfüllt, gewinnt den Deal dadurch aber noch lange nicht. Wenn alle ernsthaften Wettbewerber vergleichbare Standards nachweisen können, ist Compliance erst einmal „nur“ eine Eintrittskarte. 

Zwei technisch ähnliche Produkte können auf Kundenseite sehr unterschiedlichen Aufwand verursachen. Der eine Anbieter beantwortet Security-Fragen auf Anfrage, verteilt Nachweise über verschiedene Ansprechpartner und beginnt bei Vertragsverhandlungen regelmäßig von vorn. Der andere stellt Zertifizierungen, Auditberichte, Informationen zu Subdienstleistern und Sicherheitsprozessen strukturiert bereit, hat regulatorische Anforderungen bereits in Vertragsbausteinen berücksichtigt und liefert Funktionen, mit denen Kunden eigene Kontrollen dokumentieren können. 

Beide Angebote können regulatorisch geeignet sein. Trotzdem ist eines davon einfacher einzukaufen, zu prüfen und gegenüber dem eigenen Auditor zu vertreten. Zum Produktargument wird damit vor allem die Frage, wie viel regulatorische Arbeit ein Anbieter seinem Kunden abnehmen kann.  

Bei den großen Playern im Markt lässt sich gut beobachten, wie diese Logik bereits in die Produkt- und Vertriebspositionierung wandert. Microsoft stellt rund um DORA unter anderem Compliance-Dokumentation, Readiness Assessments, Penetration-Test-Berichte und Informationen über Subprozessoren zur Verfügung. AWS bietet Finanzunternehmen ein eigenes DORA Financial Services Addendum. Google Cloud stellt ebenfalls angepasste Vertragsbedingungen bereit und ordnet eigene Kontrollen den Anforderungen der Verordnung zu. 

Auf den ersten Blick ist das Compliance-Dokumentation. Für den Kunden ist es aber sehr viel mehr: Er bekommt neben Rechenleistung, Plattform oder Software auch Prozesse, die ihm helfen, seine eigene regulatorische Verantwortung zu erfüllen. Darin liegt ein konkreter kommerzieller Wert. Denn Enterprise-Kunden bewerten zunehmend auch, wie gut sich ein Produkt in ihre Governance-, Risiko- und Compliance-Prozesse einfügen lässt. 

Für die Kommunikation von Enterprise-IT-Anbietern ist diese Entwicklung besonders spannend – und damit auch für uns als Agentur. Cybersecurity und Compliance gehören schließlich schon lange zur Kommunikation von Cloud-, Software- oder Infrastrukturunternehmen. Auf ihren Websites finden sich Trust Center, ISO-Logos und lange Listen eingehaltener Standards. Das alles ist wichtig. Besonders unterscheidbar ist es aber nicht. 

Auch eine neue Regulierung ergibt deshalb noch lange keine gute Kommunikationsidee. Der nächste Beitrag mit dem Titel „Was Unternehmen jetzt über NIS2 wissen müssen“ wird nur wenigen Anbietern eine erkennbare Position im Markt verschaffen. Für eine eigenständige Positionierung lohnt sich deshalb der Blick auf den Kunden: Welche Informationen braucht ein CISO, wenn er einen Anbieter bewertet? Was muss ein Finanzunternehmen über seinen Cloudprovider wissen, damit es seine eigenen Pflichten erfüllen kann? Wie transparent geht ein Softwarehersteller mit Schwachstellen über den Produktlebenszyklus um? Und welche Nachweise ersparen einem Kunden beim nächsten Audit Zeit und Abstimmung? 

Das sind zunächst Produkt-, Security- und Vertriebsfragen. Gleichzeitig steckt darin guter Stoff für die Kommunikation. Denn daran lässt sich zeigen, welchen Unterschied die eigene Technologie im Arbeitsalltag macht. 

Für Kommunikationsabteilungen und Agenturen wird diese Art der Positionierung zunehmend anspruchsvoller. Ein Blick auf die nächste Frist im Regulierungskalender reicht dabei nicht. Wer relevante Geschichten entwickeln will, muss verstehen, wo eine Vorgabe tatsächlich in das Geschäft eingreift: beim Produkt, beim Käufer, in dessen Lieferkette oder beim Betrieb der Technologie. 

In unserer Kommunikation für Enterprise-IT- und Cybersecurity-Unternehmen zeigt sich regelmäßig, dass Themen wie NIS2 oder der CRA dort interessant werden, wo sie Softwareentwicklung, Lieferketten, Risikomanagement oder Einkauf konkret beeinflussen. 

Das verlangt auch von Kommunikationsteams ein gewisses Maß an fachlicher Tiefe. Produkt, Security, Legal und Vertrieb sollten deshalb keine getrennten Informationswelten bleiben. Die stärkste Story über Regulierung steckt womöglich bereits in einem Sales-Gespräch, einem Vendor Assessment oder einer eher unbekannten Produktfunktion. Man muss sie nur erkennen und sauber übersetzen. 

Funktionen, Performance, Integrationen und Preis bleiben auch unter NIS2, DORA und CRA wichtige Kaufkriterien. Die regulatorischen Vorgaben rücken jedoch Eigenschaften stärker in den Fokus, die früher häufig im Trust Center oder im Security-Fragebogen verschwanden: Wie transparent arbeitet ein Anbieter? Welche Nachweise liefert er? Wie geht er mit Schwachstellen und Abhängigkeiten um? Und wie viel Aufwand entsteht für den Kunden, wenn er all das selbst belegen muss? 

Für die Kommunikation lohnt es sich, genau auf diese Fragen zu schauen. Denn dort zeigt sich, wo ein Produkt oder die Prozesse eines Anbieters Kunden tatsächlich Arbeit abnehmen. Genau solche konkreten Vorteile geben der Positionierung mehr Substanz als ein weiteres Compliance-Logo auf der Website. Regulierung wird damit also vielleicht doch zum Produktfeature.