Der Anteil des IT-Budgets an den Gesamtausgaben französischer Unternehmen steigt jedes Jahr, aber die Ergebnisse folgen nicht immer. Zwischen veralteten Maschinenparks, schlecht abgestimmten Wartungsverträgen und einer europäischen Regulierung, die ihre Anforderungen an die Cybersicherheit verschärft, reicht es nicht mehr aus, die IT einfach nur “am Laufen zu halten”. Das Thema ist nicht mehr technisch: es ist strukturell.
Cyber Resilience Act: die neue regulatorische Vorgabe, die die Rahmenbedingungen für IT-Dienstleistungen verändert
Der Cyber Resilience Act (Verordnung EU 2024/2847), der am 10. Dezember 2024 in Kraft tritt, legt verpflichtende Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen fest, die in der Europäischen Union verkauft werden. Hardware, Software, vernetzte Geräte: die Abdeckung ist umfassend.
Ab dem 11. September 2026 müssen Hersteller innerhalb von 24 Stunden jede aktiv ausgenutzte Schwachstelle und jeden schwerwiegenden Vorfall, der die Sicherheit ihrer Produkte betrifft, melden. Diese Meldungen erfolgen über zentralisierte Plattformen, die von der ENISA und den nationalen CSIRTs betrieben werden.
Für ein Unternehmen, das seine IT-Dienstleistungen ganz oder teilweise auslagert, hat diese Verordnung direkte Konsequenzen. Der IT-Dienstleister wird zu einem Glied in der Compliance-Kette. Eine branchenspezifische Software, die ohne Überwachung der Schwachstellen bereitgestellt wird, setzt das Kundenunternehmen einem regulatorischen Risiko aus, nicht nur einem technischen.
Die vor diesem Stichtag unterzeichneten IT-Outsourcing-Verträge verdienen eine sorgfältige Überprüfung. Die Verwaltung von Schwachstellen und die Meldung von Vorfällen sollten dort ausdrücklich festgehalten werden, andernfalls könnte man einen Dienstleister haben, der keine vertragliche Verpflichtung hat, eine ausgenutzte Schwachstelle in einem von ihm verwalteten Tool zu melden. Unter den IT-Dienstleistungen von Digiterio ist diese regulatorische Dimension Teil der strukturellen Arbeitsbereiche für Unternehmen, die ihre IT an die neuen europäischen Verpflichtungen anpassen möchten.
IT-Outsourcing und -Externe Dienstleister: Was die Verträge nicht immer sagen
Die Auslagerung der IT-Verwaltung scheint auf dem Papier einfach zu sein. Ein Dienstleister übernimmt die Wartung, den technischen Support und manchmal das Cloud-Hosting. In der Praxis hängt die Servicequalität davon ab, was im Vertrag steht (oder nicht steht).
Die vertraglichen Grauzonen, die überprüft werden sollten
- Die Reversibilität der Daten: Im Falle eines Anbieterwechsels, innerhalb welcher Frist und in welchem Format erhält man seine Daten zurück? Einige Verträge spezifizieren nichts, was eine faktische Abhängigkeit schafft.
- Der genaue Umfang des Supports: Ein Wartungsvertrag kann die Hardware abdecken, aber kritische Software-Updates ausschließen oder eine begrenzte Anzahl von Einsätzen pro Monat beinhalten, ohne dass diese Obergrenze klar angegeben ist.
- Der Standort der gehosteten Daten: Mit der DSGVO und den Entwicklungen des amerikanischen Cloud Act ist es kein Detail, zu wissen, ob die Server in Frankreich, in der EU oder anderswo stehen. Die Rückmeldungen aus der Praxis variieren hinsichtlich der tatsächlichen Transparenz der Dienstleister zu diesem Thema.
- Die Service-Level-Agreements (SLA): Eine angegebene Verfügbarkeitsrate ist ohne vertragliche Strafen im Falle der Nichteinhaltung nichts wert.
Ein gut verhandelter IT-Outsourcing-Vertrag schützt ebenso gut wie eine gute Firewall. Ein unklarer Vertrag setzt das Unternehmen versteckten Kosten und einem schrittweisen Verlust der Kontrolle über das eigene Informationssystem aus.
Internalisierte IT-Abteilung oder externer Dienstleister: Abwägen je nach Größe und Herausforderungen
Die Frage stellt sich immer wieder: Soll man einen internen IT-Leiter einstellen oder die Verwaltung einem Dienstleister anvertrauen? Die Antwort hängt weniger von der Größe des Unternehmens ab als von der Kritikalität des IT-Systems für die Geschäftstätigkeit.
Ein KMU, dessen Kerngeschäft auf einer Webanwendung basiert, benötigt eher eine internalisierte IT-Kompetenz als ein Beratungsunternehmen mit 200 Mitarbeitern, das ausschließlich eine Cloud-Office-Suite nutzt. Die Kritikalität des IT-Systems bestimmt das Modell, nicht die Anzahl der Mitarbeiter.
Was die Internalisierung bringt (und was sie kostet)
Ein interner IT-Leiter kennt die Geschäftsprozesse, die Benutzer und die spezifischen Anforderungen. Diese Nähe beschleunigt die Lösung von Vorfällen und ermöglicht es, Entwicklungen vorherzusehen. Andererseits belasten die Personalkosten, die kontinuierliche Weiterbildung und die technologische Beobachtung kleinere Strukturen.
Was die Auslagerung ermöglicht (und was sie verschleiert)
Ein externer Dienstleister bündelt seine Kompetenzen für mehrere Kunden. Er verfügt in der Regel über ein breiteres technisches Spektrum (Sicherheit, Cloud, Netzwerk). Das Risiko: ein oberflächliches Verständnis des Kundenberufs und Reaktionszeiten, die von der Gesamtbelastung des Dienstleisters abhängen. Die Auslagerung funktioniert, wenn das Lastenheft präzise ist und die Überwachung regelmäßig erfolgt.
Automatisierung von IT-Prozessen: Trennung der realen Gewinne von der Marketing-Rhetorik
Automatisierung ist zu einem allgegenwärtigen Verkaufsargument in den Angeboten für IT-Dienstleistungen geworden. Automatisierte Bereitstellung von Updates, Ticketverwaltung durch künstliche Intelligenz, Cloud-Provisioning im Self-Service: die Versprechungen sind zahlreich.
Die realen Gewinne existieren, sind aber bedingt. Die Automatisierung eines schlecht definierten Prozesses bedeutet, ein Fehlverhalten zu industrialisieren. Bevor ein Automatisierungstool bereitgestellt wird, müssen die bestehenden Abläufe kartiert, die tatsächlich wiederkehrenden Aufgaben identifiziert und die tatsächlich verlorene Zeit gemessen werden.
Einige Fälle, in denen die Automatisierung messbare Ergebnisse liefert:
- Die Verwaltung der Zugriffsrechte bei Ankunft und Abreise von Mitarbeitern, die oft mehrere Stunden in manueller Bearbeitung in Anspruch nimmt.
- Die Bereitstellung von Sicherheitsupdates auf einem Gerätepark, bei der die Zeitspanne zwischen der Veröffentlichung eines Patches und seiner Anwendung ein direktes Risiko darstellt.
- Die proaktive Überwachung von Servern und Netzwerkausrüstung, die es ermöglicht, eine Anomalie zu erkennen, bevor sie zu einem Ausfall wird.
Die verfügbaren Daten erlauben keine Verallgemeinerung einer Produktivitätssteigerungsrate. Die Ergebnisse hängen vom technischen Kontext, der Reife der Teams und der Qualität der Integration ab. Ein Dienstleister, der einen Prozentsatz an Kostensenkungen ohne vorherige Prüfung ankündigt, sollte mit einer gewissen Vorsicht betrachtet werden.
Die Wahl eines IT-Dienstleisters bindet das Unternehmen für mehrere Jahre. Technische Kriterien sind wichtig, aber die Fähigkeit, regulatorische Entwicklungen (wie den Cyber Resilience Act) zu begleiten, die vertragliche Transparenz und die Qualität der menschlichen Betreuung machen den Unterschied zwischen einem funktionierenden Service und einem, der schützt.
