Cybersicherheit durch Design als soziale Praxis
07/2026
Einleitung
In den letzten Jahren haben politische Entscheidungsträger zunehmend auf Regulierung gesetzt, um „Cybersecurity-by-Design“ bei digitalen Plattformen durchzusetzen. Aufsehenerregende Datenpannen, Angriffe auf die Lieferkette und systemische Schwachstellen haben gezeigt, dass Cybersicherheit nicht als nachträglicher Einfall behandelt oder allein den Marktkräften überlassen werden darf. Die Reaktion der Europäischen Union umfasst die zweite Richtlinie über Netz- und Informationssicherheit (NIS2) und das Gesetz zur Cyber-Resilienz (CRA), die gemeinsam strenge Sicherheitsverpflichtungen für Plattformen von der Entwurfsphase bis zum operativen Einsatz auferlegen (Richtlinie (EU) 2022/2555). Diese Initiativen signalisieren einen umfassenderen Paradigmenwechsel: Sicherheit muss ex ante in Informationssysteme eingebettet werden, anstatt ex post hinzugefügt zu werden. Auf internationaler Ebene zeigen sich ähnliche Entwicklungen in der Executive Order 14028 der Vereinigten Staaten, die sichere Softwareentwicklungspraktiken für Auftragnehmer der Bundesregierung vorschreibt, sowie in globalen Standards wie ISO/IEC 27001:2022, die die Integration sicherer Architekturprinzipien über den gesamten Systemlebenszyklus hinweg betonen.
Die Verwirklichung von „Cybersecurity-by-Design“ geht jedoch über technische Herausforderungen hinaus; sie ist im Grunde ein soziales und organisatorisches Unterfangen. Diese Studie untersucht aus soziologischer Perspektive, wie diese regulatorischen Rahmenbedingungen innerhalb und im Umfeld großer Online-Plattformen (soziale Medien, Messaging-Dienste, E-Commerce) umgesetzt werden. Sie stützt sich auf Wissenschafts- und Technikforschung (STS) sowie Theorien der sozialen Praxis, um zu untersuchen, wie Recht, Technologie und menschliche Faktoren bei der Gestaltung der Plattformsicherheit zusammenwirken. Frühere Forschungen von Dunn Cavelty argumentieren, dass die Betrachtung von Cybersicherheit als soziale Praxis, die „durch die Verbreitung von Wissen über Schwachstellen umgesetzt und stabilisiert wird“, dazu beitragen kann, die Kluft zwischen der Interpretation von Technologie als rein technischer Lösung oder als rein menschlicher Handlung zu überbrücken. In ähnlicher Weise betont die Akteur-Netzwerk-Theorie, dass Sicherheitsergebnisse aus Interaktionen zwischen menschlichen Akteuren (Entwickler, Regulierungsbehörden, Nutzer) und nicht-menschlichen Akteuren (Softwarebibliotheken, Algorithmen, Geräte) entstehen, wobei sich diese gegenseitig beeinflussen. Daher müssen Vorgaben für „Security-by-Design“ innerhalb eines soziotechnischen Systems verstanden werden, in dem regulatorische Anforderungen, Unternehmensstrategien, Entwicklerkulturen und Nutzerverhalten ein eng vernetztes System bilden.
Der weitere Verlauf dieses Beitrags ist wie folgt gegliedert: Zunächst werden die für Plattformanbieter relevanten Kernbestimmungen von NIS2 und der CRA umrissen und in den breiteren Kontext der internationalen Cybersicherheits-Governance eingeordnet. Anschließend wird der analytische Ansatz vorgestellt, der sich auf soziologische Theorien stützt, insbesondere auf Bourdieus Theorie der Praxis und die Akteur-Netzwerk-Theorie, um „Cybersecurity-by-Design“ als soziale Praxis zu konzeptualisieren. Anschließend werden Ergebnisse aus Fallstudien und Beispiele für Herausforderungen der Plattform-Governance erörtert, die veranschaulichen, wie Plattformen auf „Security-by-Design“-Verpflichtungen reagieren oder sich damit schwer tun. Abschließend werden die weiterreichenden Implikationen für die Plattform-Governance hervorgehoben und Schlussfolgerungen zu den Auswirkungen der Einbettung von „Cybersecurity-by-Design“ in einen dynamischen sozialen Kontext gezogen.
Materialien und Methoden
Bei dieser Studie handelt es sich in erster Linie um eine theoretische und politische Analyse. Sie fasst die rechtliche Analyse der NIS2-Richtlinie und der CRA-Verordnung mit Erkenntnissen aus der Techniksoziologie zusammen. Die Texte von NIS2 und der CRA (einschließlich offizieller Gesetzgebungsunterlagen) wurden geprüft, um die expliziten Anforderungen in Bezug auf sicheres Design, Risikomanagement und Vorfallmeldung zu extrahieren. Um diese rechtlichen Anforderungen in einen Kontext zu setzen, wurden sie mit politischen Dokumenten und Standards außerhalb der EU (US-Verordnung 14028 und die Norm ISO/IEC 27001) verglichen, um gemeinsame Grundsätze und Abweichungen zu identifizieren.
Der soziologische Rahmen stützt sich auf eine Literaturrecherche zu STS und zur Regulierungspolitik. Die von Bruno Latour und anderen formulierte Akteur-Netzwerk-Theorie (ANT) sowie Pierre Bourdieus Konzepte von Feld und Habitus wurden herangezogen, um zu interpretieren, wie Cybersecurity-by-Design in der Praxis funktioniert. Bei der Anwendung der ANT werden Elemente wie Sicherheitsprotokolle, Entwicklertools und Compliance-Checklisten als Akteure innerhalb von Netzwerken behandelt, neben menschlichen Akteuren wie Ingenieuren, Managern, Regulierungsbehörden und Nutzern. Bourdieus Perspektive trägt zum Verständnis bei, wie Macht und Kapital (technisches Fachwissen als eine Form von kulturellem Kapital) über das „Feld“ der Cybersicherheit verteilt sind und beeinflussen, welche Praktiken und Werte dominieren. Die Analyse zielt darauf ab, durch die Kombination dieser Ansätze sowohl die materiellen als auch die sozialen Dimensionen der Umsetzung von Security-by-Design zu erfassen.
Da es sich um eine konzeptionelle Analyse handelt, wurden keine eigenen Umfrage- oder Interviewdaten erhoben. Zur Untermauerung der Diskussion wurden jedoch anschauliche Fallstudien aus Sekundärquellen einbezogen. Zu diesen Fällen gehören dokumentierte Cybersicherheitsvorfälle und Compliance-Bemühungen, an denen große Plattformen beteiligt waren, wie beispielsweise öffentliche Berichte über Sicherheitslücken bei Facebook und Twitter und die darauf folgenden Verbesserungen sowie der branchenweite Umgang mit der Log4j-Software-Sicherheitslücke im Jahr 2021. Es wurden Fälle ausgewählt, die Wechselwirkungen zwischen technischen Schwachstellen und Reaktionen der Unternehmensführung verdeutlichen und für die zuverlässige Informationen aus technischen Berichten oder behördlichen Feststellungen vorlagen. Jeder Fall dient dazu, spezifische Aspekte von „Cybersecurity-by-Design“ (wie z. B. Lieferkettensicherheit oder „Encryption-by-Default“) im realen Kontext des Plattformbetriebs zu veranschaulichen.
Während der gesamten Analyse wurde ein CRAAP-Test (Aktualität, Relevanz, Autorität, Genauigkeit, Zweck) auf die Quellen angewendet, um deren Glaubwürdigkeit sicherzustellen. Peer-Review-Literatur, offizielle Gesetzestexte und maßgebliche Berichte wurden priorisiert. Nicht-wissenschaftliche Quellen (Nachrichtenartikel, Meinungen in Blogs) wurden generell ausgeschlossen, es sei denn, sie lieferten sachliche DetKIls, die anderswo nicht verfügbar waren; in diesem Fall wurde eine Bestätigung durch eine zweite unabhängige Quelle angestrebt.
Ergebnisse: Regulatorische Verpflichtungen für „Security-by-Design“ bei Plattformen
NIS2-Richtlinie: Erweiterung des Anwendungsbereichs und der Risikomanagementpflichten
Die NIS2-Richtlinie trat 2023 in Kraft. Bis 2025 haben mehrere Mitgliedstaaten den Umsetzungsprozess abgeschlossen, während andere noch dabei sind, ihre nationalen Rahmenbedingungen anzupassen, was zu einer heterogenen Rechtslandschaft führt. Sie erweitert den Anwendungsbereich der ursprünglichen NIS-Richtlinie auf ein breiteres Spektrum von Sektoren und einen größeren Teil des digitalen Ökosystems. „Digitale Anbieter“ wie Online-Marktplätze, Suchmaschinen und soziale Netzwerke werden im Rahmen von NIS2 ausdrücklich als wichtige Stellen eingestuft und unterliegen damit den darin festgelegten Cybersicherheitsanforderungen (Richtlinie (EU) 2022/2555, Anhang II, Abschnitt 6). Dies stellt eine bedeutende Entwicklung dar, da große Social-Media- und Kommunikationsplattformen wie Meta’s Facebook, X (Twitter), TikTok und Messaging-Dienste wie WhatsApp nun in den Anwendungsbereich des EU-Cybersicherheitsrechts fallen. Zuvor fielen viele dieser Plattformen nicht unter die formellen Definitionen für kritische Infrastrukturen. Diese regulatorische Verschiebung kommt zum richtigen Zeitpunkt; eine Untersuchung der New Yorker Finanzaufsichtsbehörde aus dem Jahr 2020 zu einer Sicherheitsverletzung bei Twitter ergab, dass es dem Unternehmen an grundlegenden Cybersicherheitsvorkehrungen mangelte. Zu diesem Zeitpunkt verfügte Twitter über keinen Chief Information Security Officer, setzte unzureichende Zugriffskontrollen ein und unterhielt unzureichende Überwachungssysteme. Die Anfälligkeit des Unternehmens für einen als „einfachen“ Angriff bezeichneten Vorfall machte deutlich, dass „Selbstregulierung nicht die Lösung ist“. Der Untersuchungsbericht empfahl, große Social-Media-Unternehmen als systemrelevante Institutionen zu behandeln, die einer strengen Cybersicherheitsaufsicht bedürfen.
NIS2 schreibt eine Reihe von zentralen Maßnahmen zum Cybersicherheits-Risikomanagement vor, zu deren Umsetzung alle betroffenen Unternehmen verpflichtet sind. Artikel 21 der NIS2 legt fest, dass Unternehmen „geeignete und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen ergreifen müssen, um die Risiken für die Sicherheit der in ihrem Betrieb genutzten Netz- und Informationssysteme zu bewältigen“ (Richtlinie (EU) 2022/2555, Art. 21). Diese Maßnahmen müssen dem Stand der Technik entsprechen, relevante europäische und internationale Standards berücksichtigen und an die spezifische Risikoexposition jedes Unternehmens angepasst sein. NIS2 umreißt spezifische Bereiche, die diese Sicherheitsmaßnahmen abdecken müssen, darunter:
- Vorfallbearbeitung und Krisenmanagement
- Unternehmen benötigen Fähigkeiten zur Erkennung, Meldung und Reaktion auf Vorfälle (Richtlinie (EU) 2022/2555, Art. 21 Abs. 2 lit. b).
- Geschäftskontinuität und Notfallwiederherstellung
- Datensicherungen und Wiederherstellungspläne zur Aufrechterhaltung des Betriebs (Richtlinie (EU) 2022/2555, Art. 21 Abs. 2 lit. c).
- Sicherheit der Lieferkette
- Sicherstellung, dass Sicherheitsaspekte in den Beziehungen zu Lieferanten und Dienstleistern berücksichtigt werden (Richtlinie (EU) 2022/2555, Art. 21 Abs. 2 lit. d).
- Sicherheit bei der Beschaffung, Entwicklung und Wartung von Netz- und Informationssystemen
- Integration von Sicherheit in den Softwareentwicklungszyklus und das System-Engineering (einschließlich des Umgangs mit Schwachstellen und deren Offenlegung) (Richtlinie (EU) 2022/2555, Art. 21 Abs. 2 lit. e).
- Grundlegende Cyberhygiene und Schulungen
- Grundlegende Praktiken wie Zugriffskontrollen, Multi-Faktor-Authentifizierung und Sensibilisierung der Mitarbeiter für Cybersicherheit (Richtlinie (EU) 2022/2555, Art. 21 Abs. 2 lit. g).
- Richtlinien für Kryptografie und Verschlüsselung
- Ordnungsgemäße Verwendung von Kryptografie zum Schutz von Daten; und andere (siehe NIS2, Art. 21 Abs. 2 Buchst. a–j) (Richtlinie (EU) 2022/2555, Art. 21 Abs. 2 Buchst. h).
Mehrere Elemente spiegeln direkt das Ethos von „Security by Design“ wider. So schreibt beispielsweise die Anforderung an die Sicherheit bei Beschaffung, Entwicklung und Wartung vor, dass Plattformen Sicherheitsaspekte von Anfang an integrieren, anstatt Schutzmaßnahmen nachträglich einzubauen. In ähnlicher Weise beinhaltet die Sicherheit der Lieferkette die Überprüfung von Komponenten von Drittanbietern und möglicherweise die Verpflichtung der Anbieter, sichere Entwicklungspraktiken einzuhalten; Artikel 21 Absatz 3 besagt ausdrücklich, dass Organisationen die Cybersicherheitspraktiken ihrer Lieferanten sowie „sichere Entwicklungsverfahren“ bewerten sollten. Diese Erkenntnis resultiert aus Vorfällen wie dem SolarWinds-Hack im Jahr 2020, bei dem fehlgeleitetes Vertrauen in einen Softwareanbieter zu einer erheblichen Sicherheitsverletzung führte; NIS2 schreibt nun effektiv vor, dass Organisationen das Prinzip der „Cybersecurity by Design“ auf ihre Lieferketten ausweiten müssen.
NIS2 stärkt zudem die Rechenschaftspflicht der Unternehmensführung im Bereich der Cybersicherheit. Die Leitungsorgane von Unternehmen sind verpflichtet, Cybersicherheitsmaßnahmen zu genehmigen und zu überwachen (Richtlinie (EU) 2022/2555, Art. 20), und die Mitgliedstaaten müssen sicherstellen, dass Führungskräfte Schulungen erhalten, um Cybersicherheitsrisiken zu verstehen. Dadurch wird „Cybersecurity-by-Design“ zu einem Thema auf Vorstandsebene erhoben und nicht mehr nur als IT-Angelegenheit, sondern als zentrale Verpflichtung der Unternehmensführung betrachtet. Sollte eine Plattform die NIS2-Maßnahmen nicht umsetzen oder aufgrund von Fahrlässigkeit einen schwerwiegenden Vorfall erleiden, kann sie Gegenstand von Untersuchungen und Sanktionen nach nationalen Gesetzen sein, die mit dem Durchsetzungsrahmen von NIS2 im Einklang stehen. Sollte beispielsweise eine Social-Media-Plattform einen Datenverstoß erleiden, der Millionen von Nutzern betrifft, oder einen längeren Ausfall in der gesamten EU, würde dies wahrscheinlich einen „schwerwiegenden Vorfall“ darstellen, der eine Meldung innerhalb von 24 Stunden erforderlich macht (Richtlinie (EU) 2022/2555, Art. 23 Abs. 4 lit. a). Dies kann zu Sanktionen wegen unzureichenden Risikomanagements führen (Richtlinie (EU) 2022/2555, Art. 34 Abs. 1).
Cyber Resilience Act: sicherer Produkt- und Software-Lebenszyklus
Ergänzend zur Ausrichtung der NIS2 auf Dienste und Betriebsabläufe befasst sich der Cyber Resilience Act (CRA) mit den Produkten, die digitale Ökosysteme untermauern. Der CRA (Verordnung (EU) 2024/2847) hat horizontale Cybersicherheitsanforderungen für „Produkte mit digitalen Elementen“ eingeführt – eine weit gefasste Kategorie, die Software, Hardware und vernetzte Geräte umfasst – als Voraussetzung für den Zugang zum EU-Markt. Im Wesentlichen zielt er darauf ab, sicherzustellen, dass Hersteller und Entwickler Sicherheit von Anfang an und standardmäßig in ihre Produkte integrieren.
Obwohl Plattformen Dienstleister sind, wirkt sich der CRA in zweierlei Hinsicht auf sie aus: (1) Plattformen entwickeln und stellen häufig Softwareprodukte bereit (mobile Apps, Webdienste, IoT-Geräte wie das Oculus-Headset von Meta oder Amazons Echo), die in den Anwendungsbereich des CRA fallen; und (2) selbst wenn sie auf Produkte von Drittanbietern zurückgreifen, profitieren Plattformen von einem Ökosystem, in dem häufig verwendete Softwarekomponenten (wie Betriebssysteme und Bibliotheken) weniger Schwachstellen aufweisen. Somit stärkte die CRA die Sicherheit der Tools und der Infrastruktur, auf die Plattformen angewiesen sind (Verordnung (EU) 2024/2847).
Zu den wichtigsten Bestimmungen der CRA gehören:
- Wesentliche Cybersicherheitsanforderungen für Produkte (aufgeführt in Anhang I der Verordnung (EU) 2024/2847)
Diese Anforderungen betreffen Bereiche wie die Minimierung von Schwachstellen während der Konzeption und Entwicklung, die Gewährleistung der Vertraulichkeit und Integrität von Daten sowie die Verhinderung von unbefugtem Zugriff und Missbrauch. So müssen Produkte beispielsweise so konzipiert sein, dass bekannte Schwachstellen ausgeschlossen werden, und sie müssen die Bereitstellung von Sicherheitsupdates für die Nutzer erleichtern. - Verpflichtungen der Hersteller hinsichtlich sicherer Entwicklungsprozesse
Die Rechtsvorschrift verpflichtet Hersteller ausdrücklich dazu, Cybersicherheitsrisiken für jedes Produkt zu bewerten und diese Bewertungen in die Planungs-, Entwurfs-, Entwicklungs-, Produktions-, Liefer- und Wartungsphasen zu integrieren (Verordnung (EU) 2024/2847, Erwägungsgrund 9). Damit wird der sichere Softwareentwicklungslebenszyklus (SSDLC) als gesetzliche Verpflichtung festgeschrieben, der die Bedrohungsmodellierung in der Entwurfsphase, sicheres Codieren und umfassende Tests umfasst. - Umgang mit und Offenlegung von Schwachstellen
Hersteller müssen Richtlinien für den Umgang mit Schwachstellen festlegen, einschließlich koordinierter Offenlegungsverfahren. Sie sind verpflichtet, Schwachstellen während eines festgelegten Supportzeitraums zu überwachen, zu melden und zu beheben (Verordnung (EU) 2024/2847, Erwägungsgründe 37 und 54). Hersteller müssen Sicherheitsupdates für einen Mindestzeitraum (fünf Jahre oder mehr, je nach der voraussichtlichen Produktlebensdauer) bereitstellen und die Verbraucher über das Ende des Supports informieren. - Konformitätsbewertung und Rechenschaftspflicht
Je nach Kritikalität des Produkts müssen Hersteller entweder eine Selbstbewertung durchführen oder sich einer Zertifizierung durch eine dritte Stelle unterziehen, um die Einhaltung der Anforderungen der CRA nachzuweisen (Verordnung (EU) 2024/2847, Art. 32 Abs. 1 und 2). Alle Produkte müssen die CE-Kennzeichnung tragen, um die Konformität anzuzeigen (Verordnung (EU) 2024/2847, Art. 30 Abs. 1). Darüber hinaus müssen Hersteller technische Unterlagen, einschließlich einer Bewertung der Cybersicherheitsrisiken und Einzelheiten zu Abhilfemaßnahmen, mindestens 10 Jahre lang aufbewahren und eine benannte Kontaktstelle für Fragen im Zusammenhang mit Sicherheitslücken benennen (Verordnung (EU) 2024/2847, Art. 23 Abs. 1 und 2; Erwägungsgrund 63).
Für Plattformen bedeuten diese CRA-Anforderungen, dass jede Software, die Nutzern in der EU bereitgestellt wird, nach strengen Verfahren entwickelt werden muss. Wenn beispielsweise ein Unternehmen wie Signal eine Verschlüsselungs-App anbietet oder TikTok seine mobile App in Europa vertreibt, muss es sicherstellen, dass seine Entwicklungspipeline gründliche Sicherheitsprüfungen umfasst und einen Mechanismus zur Behebung neu entdeckter Fehler oder Schwachstellen beinhaltet. Die Betonung der „Sorgfaltspflicht“ bei der Entwicklung durch die CRA spiegelt das Ethos des „Privacy by Design“ der DSGVO wider, doch der Schwerpunkt dieser Studie liegt auf der Sicherheit: Sie operationalisiert den Gedanken, dass Sicherheit ein kontinuierlicher Prozess ist, der sich vom Beginn bis zum Ende der Lebensdauer eines Produkts erstreckt.
Die CRA zielt darauf ab, das Problem fahrlässiger Hersteller, die unsichere Produkte auf den Markt bringen, durch die Vorschrift dieser Praktiken zu beseitigen. Dies ist angesichts vergangener Vorfälle besonders wichtig; so zeigte beispielsweise die Entdeckung der Log4j-Sicherheitslücke Ende 2021, wie ein einziger Fehler in einer weit verbreiteten Open-Source-Komponente Millionen von Systemen Angriffen aussetzen kann. Unter dem CRA-Regime verpflichtet ein Softwareprodukt, das eine solche Komponente enthält, den Anbieter dazu, bei der Integration von Elementen Dritter die gebotene Sorgfalt walten zu lassen und umgehend mit Patches zu reagieren, sobald eine Schwachstelle identifiziert wird; andernfalls haftet der Anbieter (Verordnung (EU) 2024/2847, Art. 13 Abs. 5 & 6). Die CRA stellt einen proaktiven Regulierungsansatz dar, der darauf abzielt, die Prinzipien der „Cybersecurity-by-Design“ in der gesamten Lieferkette digitaler Technologien durchzusetzen.
Internationale Perspektiven: US-amerikanische und globale Standards
Das Bestreben nach „Cybersecurity-by-Design“ in der Plattform-Governance beschränkt sich nicht auf Europa. Die Vereinigten Staaten haben durch Exekutivmaßnahmen und Beschaffungsstandards auf Bundesebene bedeutende Schritte unternommen. Präsident Bidens Executive Order 14028 („Improving the Nation’s Cybersecurity“), die im MKI 2021 erlassen wurde – teilweise als Reaktion auf schwerwiegende Sicherheitsverletzungen wie SolarWinds –, zielte darauf ab, die Kaufkraft der US-Regierung zu nutzen, um die Sicherheitspraktiken zu verbessern. Zu den wichtigsten Vorgaben gehören:
- Bundesbehörden und Auftragnehmer sind verpflichtet, eine Zero-Trust-Architektur einzuführen und Multi-Faktor-Authentifizierung sowie Verschlüsselung für ruhende und übertragene Daten zu implementieren, was den „Security-by-Default“-Einstellungen entspricht.
Das Handelsministerium (über das NIST) wurde beauftragt, grundlegende Standards für die sichere Softwareentwicklung für jede an die Regierung verkaufte Software festzulegen. Dies führte zu NIST-Richtlinien, die Praktiken wie den Einsatz automatisierter Schwachstellentests, die Bereitstellung von Software-Stücklisten (SBOM) und sichere Entwicklungsumgebungen betonen. Das bedeutet: Wenn ein Plattformunternehmen wie Microsoft oder Amazon beabsichtigt, dass seine Cloud-Dienste oder Software von Bundesbehörden genutzt werden, muss es diese Kriterien für sichere Entwicklungsprozesse erfüllen.
Die EO schlug zudem ein Kennzeichnungsprogramm nach dem Vorbild des „Energy Star“ für Softwaresicherheit vor, was auf ein Interesse an Markttransparenz hinsichtlich der Frage hindeutet, welche Softwareprodukte unter Berücksichtigung der Cybersicherheit entwickelt werden.
Diese Maßnahmen entsprechen dem Ansatz der EU, werden jedoch über Beschaffungsvorschriften statt über eine umfassende Marktregulierung umgesetzt. Sie zeigen eine Annäherung hin zur Forderung nach einem Nachweis von „Security-by-Design“ (Bescheinigung eines SSDLC) als Voraussetzung für Vertrauen. Darüber hinaus haben die Vereinigten Staaten ein Cyber Safety Review Board eingerichtet, um schwerwiegende Vorfälle zu untersuchen und Verbesserungen zu empfehlen, wobei der Lernprozess im Bereich Governance im Vordergrund steht und Erkenntnisse aus Sicherheitsverletzungen in zukünftige Designrichtlinien einfließen.
Eine weitere wichtige globale Referenz ist die Norm ISO/IEC 27001 für das Informationssicherheits-Management. Obwohl freiwillig, wird ISO 27001 von Unternehmen, einschließlich Plattformbetreibern, weitläufig zur Strukturierung ihrer Sicherheitsprogramme übernommen. Die Überarbeitung von ISO 27001 im Jahr 2022 fügte einen besonderen Schwerpunkt auf sichere Entwicklung hinzu. Anlage A, Kontrolle 8.27, verlangt beispielsweise von Organisationen, Prinzipien sicherer Architektur und Entwicklung über den gesamten Systemlebenszyklus hinweg zu integrieren, wodurch „Security by Design“, Zero Trust und Defense-in-Depth effektiv gefördert werden. Die Erlangung der ISO 27001-Zertifizierung erfordert in der Regel den Nachweis, dass die Organisation eine Richtlinie für sichere Entwicklung unterhält, Code-Reviews und Testverfahren durchführt und Schulungen für Entwickler zum Thema sicheres Programmieren anbietet. Viele große Technologieunternehmen halten sich bereits intern oder über branchenspezifische Rahmenwerke an diese Standards, wie beispielsweise die OWASP-Richtlinien (Open Web Application Security Project) für Webplattformen. Vorschriften wie NIS2 und die CRA dienen dazu, bestimmte Aspekte dieser Best Practices verbindlich und rechtlich durchsetzbar zu machen, wodurch der Ermessensspielraum, den Unternehmen zuvor bei der Abwägung von Sicherheit und anderen Prioritäten hatten, eingeschränkt wird.
Dementsprechend gibt es eine mehrstufige Angleichung: Internationale Normungsgremien (ISO, NIST) liefern den technischen Entwurf für „Security-by-Design“. Gleichzeitig integrieren nationale Regierungen (wie die Vereinigten Staaten durch die EO 14028) und regionale Regulierungsbehörden (die EU durch NIS2/CRA) diese Entwürfe in ihre Governance-Rahmenwerke, die Rechtskraft besitzen. Transnational operierende Plattformen müssen sich in einem komplexen Geflecht dieser Anforderungen zurechtfinden und diese einhalten, was zunehmend dieselbe Kernbotschaft bekräftigt: Sicherheit ist ein nicht verhandelbares Gestaltungsprinzip digitaler Produkte und Dienste.
Diskussion: Cybersecurity-by-Design als soziotechnische Praxis
Obwohl die oben beschriebenen gesetzlichen Vorgaben auf dem Papier einen Paradigmenwechsel darstellen, hängt ihre tatsächliche Wirkung davon ab, wie effektiv sie von den relevanten Akteuren umgesetzt und verinnerlicht werden. Dies wird aus soziologischer Perspektive untersucht, wobei der Fokus auf Machtdynamiken, Organisationskultur und der Interaktion zwischen Mensch und Technologie liegt.
Verankerung von Sicherheit in der Organisationskultur und -praxis
Die Einhaltung gesetzlicher Vorschriften allein garantiert noch keine wirksame Sicherheit; um diese zu erreichen, bedarf es eines kulturellen Wandels innerhalb von Organisationen, bei dem Sicherheit bei jeder Designentscheidung Vorrang hat. Bourdieus Theorie der Praxis kann in diesem Zusammenhang aufschlussreich sein. Nach Bourdieu lässt sich sagen, dass viele Technologieunternehmen in der Vergangenheit einen „Habitus“ gepflegt haben, der auf Innovationsgeschwindigkeit, Nutzerwachstum und Monetarisierung ausgerichtet war, oft auf Kosten der Sicherheit. Sicherheitsaufgaben wurden manchmal auf spätere Phasen verlagert oder als Kostenfaktoren betrachtet. Derzeit zielen Gesetze wie NIS2 und CRA darauf ab, die „Spielregeln“ der Branche zu ändern, indem sie die Kosten unsicherer Praktiken erhöhen (durch Strafen, Haftung und Reputationsschäden) und das mit robuster Sicherheit verbundene symbolische Kapital steigern (zum Beispiel die Fähigkeit, die Einhaltung von Vorschriften zu zertifizieren oder öffentliche Sicherheitsverletzungen zu vermeiden). Während Unternehmen darauf reagieren, können diejenigen, die „Security-by-Design“ erfolgreich integrieren, eine Form von Kapital – das Vertrauen von Regulierungsbehörden und Nutzern – aufbauen, das zu einem Wettbewerbsvorteil wird. Im Gegensatz dazu können Unternehmen, die dies als reine Abhakübung betrachten, Schwierigkeiten haben oder mit Sanktionen rechnen müssen, da ihr Habitus im Widerspruch zu den neuen Regeln steht.
Anekdotische Belege zeigen Unterschiede darin, wie Plattformen diese Verpflichtungen angehen. Große Tech-Unternehmen wie Google, Microsoft und Meta haben in den letzten Jahren massiv in interne „Secure Engineering“-Teams, DevSecOps-Praktiken und Bug-Bounty-Programme investiert, unter anderem, um sich an neue Normen und Vorschriften anzupassen. So wird beispielsweise die Einführung eines Security Development Lifecycle (SDL) durch Microsoft Mitte der 2000er Jahre, lange vor der Einführung dieser Gesetze, oft als Grund für die Verringerung von Schwachstellen in Windows angeführt; solche Prozesse sind mittlerweile Industriestandard und praktisch vorgeschrieben. Andererseits kann der kulturelle Wandel für kleinere Plattformen oder Start-ups aufgrund von Ressourcenengpässen oder fehlendem internem Fachwissen eine größere Herausforderung darstellen. Eine regulatorische Sorge ist, dass Compliance-Auflagen unbeabsichtigt die Marktmacht der größten Unternehmen ( ) stärken könnten (die sich umfassende Sicherheitsprogramme am leichtesten leisten können), was eine gängige Kritik widerspiegelt, dass „Einheitsvorschriften“ ungleiche Auswirkungen haben können.
Aus einer STS-Perspektive lässt sich untersuchen, wie Wissen über Cybersicherheit fließt und in die Praxis umgesetzt wird. Dunn Cavelty betont die Rolle der Wissenszirkulation, beispielsweise wie Informationen über Sicherheitslücken von Sicherheitsforschern zu Plattformentwicklern, zum Management und zu Regulierungsbehörden gelangen. Die Bestimmungen der CRA zu Richtlinien zur Offenlegung von Schwachstellen institutionalisieren diesen Prozess, indem sie formelle Kanäle vorschreiben, über die externe Forscher Fehler melden und Unternehmen diese beheben können (Verordnung (EU) 2024/2847, Art. 14, Erwägungsgrund 76). Dies kann kooperative Sicherheitspraktiken (manchmal als „kollektive Cyberabwehr“ bezeichnet) schrittweise als Teil der sozialen Praxis der Produktentwicklung normalisieren.
Die Rolle nicht-menschlicher Akteure: Technologie und Design bei der Durchsetzung
Die Akteur-Netzwerk-Theorie (ANT) lenkt die Aufmerksamkeit auf die nicht-menschlichen Elemente, die technischen Artefakte, die die soziale Ordnung vermitteln und durchsetzen. Eine klassische Beobachtung der ANT lautet, dass es möglich ist, bestimmte Regeln direkt in die Technologie selbst einzubetten, anstatt sich auf die menschliche Durchsetzung von Regeln zu verlassen. Im Kontext von „Cybersecurity-by-Design“ versuchen Regulierungsbehörden effektiv, Organisationen in Akteure zu verwandeln, die Sicherheit durch technische Mittel durchsetzen. So geht die designbasierte Regulierung davon aus, dass gewünschte politische Ziele durch die Einbettung von Einschränkungen oder Protokollen in Systeme erreicht werden können. Die Verpflichtung zur standardmäßigen Multi-Faktor-Authentifizierung oder Verschlüsselung ist ein klares Beispiel: Dabei werden Softwareeinstellungen genutzt, um eine Sicherheitsregel automatisch für jeden Nutzer durchzusetzen, anstatt von jedem Nutzer eine aktive Zustimmung zu erwarten. Die Maßnahmenliste der NIS2 (Richtlinie (EU) 2022/2555, Art. 21 Abs. 2) umfasst solche technischen Kontrollen (wie die obligatorische MFA für bestimmte Zugriffe), die wenig Raum für menschliches Ermessen lassen; die Sicherheit ist in die Systemkonfiguration eingebettet.
ANT warnt jedoch auch davor, dass technische Implementierungen unerwartete Netzwerkeffekte hervorrufen können. Wenn „Security-by-Design“-Maßnahmen von oben nach unten umgesetzt werden, ohne den Nutzungskontext zu berücksichtigen, können sie unterlaufen werden oder neue Herausforderungen mit sich bringen. So sollte beispielsweise das Erzwingen häufiger Passwortänderungen (einst eine gängige „Best Practice“ im Bereich Sicherheit) die Sicherheit erhöhen, führte jedoch oft dazu, dass Nutzer schwächere Passwörter wählten oder Muster wiederverwendeten, was ironischerweise die Sicherheit verringerte. Die menschlichen Akteure innerhalb des Netzwerks passten sich auf kontraproduktive Weise an. Die Regulierungsbehörden haben aus einigen dieser Fehltritte gelernt (aktuelle NIST-Richtlinien raten von obligatorischen, ständigen Passwort-Resets ab). Die Lehre daraus ist, dass erfolgreiche Cybersecurity-by-Design einen fortlaufenden Abstimmungsprozess zwischen dem Technischen und dem Sozialen erfordert; beide müssen gemeinsam gestaltet werden. Dies steht im Einklang mit Latours Idee, dass Akteure begleitet werden müssen – in diesem Fall durch die Beobachtung, wie Entwickler eine Anforderung umsetzen und wie Nutzer darauf reagieren, um bei Bedarf Anpassungen vorzunehmen.
Darüber hinaus sind Technologien selbst (wie KI-gesteuerte Sicherheitsüberwachungstools oder automatisierte Code-Analysen) zu bedeutenden Akteuren geworden, die Compliance in großem Maßstab ermöglichen. Plattformen setzen mittlerweile maschinelle Lernsysteme ein, um Anomalien oder bösartige Inhalte zu erkennen. Nach Gesetzen wie NIS2 können einige dieser Tools genutzt werden, um Verpflichtungen zur Erkennung und Meldung von Vorfällen zu erfüllen. ANT regt dazu an, diese nicht nur als passive Werkzeuge zu betrachten, sondern als aktive Vermittler, die Sicherheitspraktiken prägen (beispielsweise kann eine hohe Falsch-Positiv-Rate in einem Intrusion-Detection-System die Reaktionsteams überfordern und so beeinflussen, wie Vorfälle in der Praxis gehandhabt werden).
Machtdynamiken: Plattformen, Staaten und Überwachungskapitalismus
Das Bestreben nach „Cybersecurity-by-Design“ umfasst auch Aspekte von Macht und Governance. In der Vergangenheit genossen große Online-Plattformen erhebliche Autonomie bei der Festlegung ihrer Sicherheits- und Verwaltungsstandards (oder deren Fehlen). Staaten griffen in der Regel erst im Nachgang von Krisen ein. Die neuen Vorschriften spiegeln die erneute Durchsetzung staatlicher Autorität über die Plattform-Governance im Sicherheitsbereich wider – eine Beobachtung, die Shoshana Zuboffs Argument widerspiegelt, dass demokratische Institutionen die grundlegenden Praktiken des Überwachungskapitalismus „widersprechen, unterbrechen und abschaffen“ müssen, um das öffentliche Interesse zu schützen. Regierungen erweitern die regulatorischen Grenzen auf das, was Zuboff als „interne Abläufe“ der Tech-Giganten bezeichnet, indem sie technische Anforderungen gesetzlich festlegen (ein Bereich, der traditionell dem Ermessen der Unternehmen überlassen war).
Diese Entwicklung kann als Teil eines umfassenderen Kampfes zwischen öffentlicher Aufsicht und privater Macht betrachtet werden. Plattformen haben wirtschaftliche Anreize, die nicht immer mit optimaler Nutzersicherheit im Einklang stehen; so kann beispielsweise das Sammeln riesiger Mengen an Nutzerdaten oder die rasche Einführung neuer Funktionen Sicherheitslücken verursachen (wie der Cambridge-Analytica-Skandal zeigt, bei dem Funktionen zur Datenweitergabe ausgenutzt wurden). Innerhalb der Logik des Überwachungskapitalismus können Unternehmen ein gewisses Maß an Unsicherheit tolerieren, wenn dies größeres Wachstum oder eine bessere Datengewinnung ermöglicht. Die Einführung von „Security-by-Design“ kann daher als regulatorische Maßnahme zur Umstrukturierung von Anreizsystemen interpretiert werden, die Nachlässigkeit bestraft und Vertrauenswürdigkeit belohnt. Wie Zuboff feststellt, hat die Demokratie die Befugnis, solche rechtlichen Rahmenbedingungen durchzusetzen, und die digitalen Vorschriften der EU (von der DSGVO bis zu NIS2/CRA) stellen ein rechtliches Gegengewicht zu einer früheren „Wild-West“-Ära der Selbstregulierung im Technologiebereich dar.
Die Durchsetzung dieser Vorschriften erfordert jedoch sowohl Ressourcen als auch Entschlossenheit. Nationale Behörden im Rahmen von NIS2 werden viele Unternehmen beaufsichtigen müssen. Der Erfolg der Cybersicherheits-Governance für Plattformen hängt von der Regulierungskapazität ab (einschließlich Budget, technischem Fachwissen und grenzüberschreitender Zusammenarbeit über das EU-Netzwerk der Cyber-Krisen-Verbindungsstellen und andere). Hinzu kommt die Herausforderung der Zuständigkeit, da viele Plattformen ihren Hauptsitz außerhalb der EU haben oder global tätig sind. NIS2 begegnet dem, indem es vorschreibt, dass Nicht-EU-Unternehmen, die Dienstleistungen innerhalb der EU erbringen (wie z. B. eine in den USA ansässige Social-Media-Plattform), einen EU-Vertreter für Compliance-Zwecke benennen müssen. Dies entspricht dem Ansatz der DSGVO und ist für die Durchsetzungsreichweite unerlässlich; seine praktische Wirksamkeit bleibt jedoch abzuwarten, insbesondere wenn politische Spannungen auftreten (z. B. wenn eine Plattform geltend macht, dass bestimmte Quellcodes oder Daten aus Gründen des geistigen Eigentums oder der nationalen Sicherheit nicht für Sicherheitsaudits an europäische Regulierungsbehörden weitergegeben werden können).
Eine weitere Komplexitätsebene betrifft das Risiko von Überregulierung im Gegensatz zu Flexibilität. Wissenschaftler wie van den Berg und Keymolen betonen die Notwendigkeit, „Kontrolle“ und „Vertrauen“ in der Cybersicherheits-Governance in Einklang zu bringen. Ein rein kontrollorientierter Ansatz, bei dem Regulierungsbehörden technische Maßnahmen im DetKIl vorschreiben, kann Innovationen behindern oder zu einer bloßen Compliance-Alibipolitik führen. Im Gegensatz dazu hat ein rein vertrauensbasierter Ansatz, der der Branche Selbstregulierung ermöglicht, in der Vergangenheit eindeutig versagt. Die derzeitige Entwicklung sowohl in der EU als auch in den USA spiegelt einen hybriden Ansatz wider: Festlegung allgemeiner Anforderungen und angestrebter Ergebnisse („State of the Art“-Sicherheit, Prozesse für X, Y, Z), während es den Unternehmen überlassen bleibt, die konkreten technischen Umsetzungen zu bestimmen, oft geleitet von Standards. Dieser Ansatz positioniert die Regulierungsbehörden als Moderatoren vor Ort und nicht als Mikromanager, obwohl sie weiterhin durch die Autorität der Durchsetzung gestützt werden. Ob diese Strategie die Sicherheit wirksam verbessert, muss im Laufe der Zeit bewertet werden, möglicherweise anhand von Kennzahlen wie der Anzahl der Vorfälle, der durchschnittlichen Zeit bis zur Behebung von Schwachstellen und ähnlichen Indikatoren.
Soziotechnische Resilienz: von der Theorie zur Praxis
Letztendlich unterstreicht die Betrachtung von „Cybersecurity-by-Design“ als soziale Praxis, dass es sich um einen aktiven und fortlaufenden Prozess handelt und nicht um eine einmalige Checkliste. Dies beinhaltet kontinuierliches Lernen und Anpassen. Plattformen müssen interne Rückkopplungsschleifen entwickeln; so sollte beispielsweise jeder Vorfall oder jede Beinahe- zu Aktualisierungen der Bedrohungsmodelle und Designrichtlinien führen. Auch die Regulierungsbehörden befinden sich in einem Lernprozess, wie die Einrichtung des Cyber Safety Review Board in den USA und die geplanten regelmäßigen Überprüfungen der NIS2/CRA-Umsetzungen in der EU zeigen, die anerkennen, dass Richtlinien auf der Grundlage praktischer Entwicklungen verfeinert werden müssen.
Ein interessantes soziotechnisches Experiment wird sein, wie Open-Source-Communities mit diesen Vorschriften umgehen. Die CRA hatte ursprünglich Bedenken geäußert, dass Open-Source-Softwareentwickler (von denen viele Einzelpersonen oder Freiwillige sind) unbeabsichtigt mit Compliance-Verpflichtungen belastet werden könnten. Der endgültige Text versucht, nichtkommerzielle Open-Source-Projekte aus seinem Anwendungsbereich auszuschließen, insbesondere um diese gemeinschaftlichen Innovationspraktiken nicht zu behindern (Verordnung (EU) 2024/2847, Erwägungsgrund 18). Dies unterstreicht, wie wichtig es ist, die sozialen Dimensionen von Sicherheitsinnovationen zu bewahren, da viele Sicherheitstools und -patches aus Basisgemeinschaften stammen. Eine Perspektive der sozialen Praxis wird die Regulierungsbehörden dazu ermutigen, diese Gemeinschaften aktiv durch Konsultationen, Arbeitsgruppen oder möglicherweise durch Zuschüsse für Sicherheitsarbeit an kritischen Open-Source-Projekten einzubeziehen und so einen positiven Kreislauf zu fördern, in dem Cybersicherheit durch Design gemeinsam vorangetrieben wird, anstatt durch Top-down-Maßnahmen auferlegt zu werden.
Der Wandel hin zu „Cybersecurity-by-Design“ in der Plattform-Governance kann als Aufbau eines neuen soziotechnischen Regimes verstanden werden. Er bringt rechtliche Normen, technische Standards und soziale Normen mit dem Grundsatz in Einklang, dass sichere Technologie ein kollektives Gut darstellt. Um dieses Ziel zu erreichen, müssen die Anreize von Plattformunternehmen mit gesellschaftlichen Interessen in Einklang gebracht werden – eine Anstrengung, die durch regulatorischen Druck bereits im Gange ist – sowie das Wissen und die Werte der Cybersicherheits-Community und ihrer Nutzer mobilisiert werden. Es geht ebenso sehr um die Pflege einer Sicherheitskultur wie um die Durchsetzung von Regeln.
Fazit
Das gleichzeitige Inkrafttreten der NIS2-Richtlinie und des Cyber Resilience Act markiert eine entscheidende Entwicklung in der Governance des digitalen Ökosystems. Zusammen erweitern diese Instrumente das Prinzip der „Cybersecurity-by-Design“ sowohl auf die Dienste (Plattformbetrieb) als auch auf die Produkte (Software/Hardware), aus denen sich die vernetzte Gesellschaft zusammensetzt. Diese Studie analysiert diese rechtlichen Entwicklungen nicht als isolierte Vorschriften, sondern als Teil eines umfassenderen soziotechnischen Wandels. Sie argumentiert, dass eine wirksame Plattform-Governance unter Regelungen wie NIS2 und dem CRA davon abhängt, „Cybersecurity-by-Design“ als soziale Praxis zu betrachten: als eine Reihe von Routinen, Werten und Interaktionen, die unter Ingenieuren, Managern, Regulierungsbehörden und Nutzern gepflegt werden müssen.
Daraus ergeben sich mehrere Schlussfolgerungen. Erstens setzt die EU auf regulatorischer Seite hohe Maßstäbe, indem sie ehemals lediglich als Best Practices geltende Vorgehensweisen in verbindliche Verpflichtungen umwandelt. Dies dürfte zu Verbesserungen der Basissicherheit führen; so sind beispielsweise weniger geringfügige Schwachstellen und schnellere Patches zu erwarten, da Unternehmen bestrebt sind, Sanktionen zu vermeiden. Allerdings bringt dies auch Herausforderungen in Bezug auf Compliance und Durchsetzung mit sich, insbesondere für kleinere Akteure und grenzüberschreitende Aktivitäten. Die Angleichung internationaler Standards und die gegenseitige Anerkennung (wie zwischen der EU und den USA oder durch die ISO) bleiben wichtig, um Reibungsverluste für globale Plattformen zu verringern, die mehreren Rechtsordnungen unterliegen.
Zweitens macht die soziologische Perspektive deutlich, dass Regeln allein nicht ausreichen. „Cybersecurity-by-Design“ kann nur dann erfolgreich sein, wenn Organisationen es verinnerlichen. Dies erfordert Schulungen, Sensibilisierung, das Engagement der Führungsebene und – vielleicht am wichtigsten – die Integration von Sicherheit in die Erfolgskriterien auf allen Ebenen der Produktentwicklung und der Geschäftsstrategie. Wenn die Belohnungssysteme und Projektzeitpläne eines Unternehmens Sicherheitsaspekte nicht berücksichtigen, wird keine noch so strenge externe Regulierung die beabsichtigten Ergebnisse vollständig erreichen. Dementsprechend sollten Regulierungsbehörden und Branchenführer Maßnahmen ergreifen, die eine sicherheitsorientierte Kultur fördern, von der Rechenschaftspflicht der Führungskräfte (wie „ “, vorgeschrieben durch die Governance-Bestimmungen von NIS2) bis hin zu gemeinschaftsgetriebenen Sicherheitsinitiativen, die externes Fachwissen nutzen.
Drittens stärkt die Konzeptualisierung von Plattformen und ihrer Sicherheit durch Rahmenwerke wie ANT das Verständnis, dass Technologie nicht neutral ist; sie kann so gesteuert werden, dass sie gesellschaftliche Werte verankert. Das Bestreben nach „Cybersecurity-by-Design“ stellt im Wesentlichen einen Versuch dar, den Wert der „Sicherheit“ in die technische Struktur der digitalen Welt zu integrieren. Dies ähnelt dem historischen Wandel in der Fahrzeugsicherheit, die durch Designinnovationen (wie Sicherheitsgurte, KIrbags und Knautschzonen) verbessert wurde, die sowohl durch Regulierung als auch durch den technischen Fortschritt vorangetrieben wurden. Ein ähnlicher Wendepunkt zeichnet sich nun für die digitale Sicherheit ab. Der Prozess wird iterativ verlaufen: Vorschriften wie die CRA werden sich wahrscheinlich als Reaktion auf neue Bedrohungen (Anforderungen an die Post-Quanten-Kryptografie, KI-bezogene Schwachstellen) weiterentwickeln, und Plattformen müssen weiterhin Innovationen im Bereich des sicheren Designs vorantreiben (beispielsweise durch die Einführung neuer Programmiersprachen oder Architekturen, die von Haus aus sicherer sind).
Schließlich stellt sich eine normative Frage: Welche Art von digitaler Gesellschaft entsteht durch das Beharren auf „Security-by-Design“? Die optimistische Perspektive sieht eine widerstandsfähigere und vertrauenswürdigere Online-Umgebung vor, in der Nutzer keine Cybersicherheitsexperten sein müssen, um sicher zu sein, und in der die systemischen Risiken der digitalen Abhängigkeit durch Weitsicht und kollektive Verantwortung gemindert werden. Eine kritischere Perspektive warnt davor, dass diese Bemühungen bei mangelhafter Umsetzung zu einer bürokratischen Verfestigung bestimmter Technologien oder sogar zu Missbrauch führen können (ein Staat, der sich auf „Security-by-Design“ beruft, um Überwachungsmaßnahmen zu rechtfertigen). Ständige Wachsamkeit ist unerlässlich, um sicherzustellen, dass „Security-by-Design“ weiterhin der Stärkung der Nutzer und dem Schutz der Grundrechte dient, anstatt zu einem Slogan zu werden, hinter dem sich andere Absichten verbergen.
Zusammenfassend lässt sich sagen, dass die Plattform-Governance im Rahmen von NIS2 und der CRA ein mutiges Experiment zur Integration von regulatorischer Governance mit technischen Gestaltungsprinzipien darstellt. Sie macht deutlich, dass es bei der Cybersicherheit nicht nur darum geht, auf Bedrohungen zu reagieren, sondern proaktiv Bedingungen zu schaffen, die Angriffe weniger wahrscheinlich und weniger schädlich machen. Dies zu erreichen ist ebenso sehr eine gesellschaftliche wie eine technische Herausforderung: Es erfordert Netzwerke von Akteuren, die zusammenarbeiten, eine Neugewichtung der Machtverhältnisse zwischen privaten Plattformen und öffentlichen Behörden sowie möglicherweise einen neuen Gesellschaftsvertrag für das digitale Zeitalter, in dem Sicherheit als gemeinsame Verantwortung begriffen wird. Der Erfolg von „Cybersecurity-by-Design“ als gesellschaftliche Praxis wird in den kommenden Jahren daran gemessen, inwieweit es gemeinsam gelingt, Schäden zu reduzieren, ohne dabei Innovationen zu behindern oder Rechte zu verletzen – ein empfindliches Gleichgewicht, das einen kontinuierlichen Dialog zwischen Technologen, politischen Entscheidungsträgern und der Gesellschaft erfordert.
Zur einfacheren Lesbarkeit wurden die Literatur- und Quellverweise entfernt.
Übersetzung Boris Wanzeck, Swiss Infosec AG
Teichmann, F. M. J. (2026). Platform governance under NIS2 and the Cyber Resilience Act: cybersecurity by design as social practice. Information, Communication & Society, 1–14.
https://doi.org/10.1080/1369118X.2025.2609780
http://creativecommons.org/licenses/by/4.0/
Dem Text wurden Hyperlinks hinzugefügt.
Cyber- und IT-Sicherheits-Beratung: Praxisnah, rechtskonform und auf Ihre Unternehmens-Risiken abgestimmt.
Unsere Cyber- und IT Security-Spezialisten und Penetration Tester unterstützen Sie mit einem breiten Portfolio an Beratungsdienstleistungen und Trainings zum Thema Cyber- und IT-Sicherheit.
Kontaktieren Sie uns und erfahren Sie in einem unverbindlichen Beratungsgespräch, was unsere Spezialistinnen und Spezialisten für Sie tun können: +41 41 984 12 12, infosec@infosec.ch