Cybersicherheit ist Chefsache

Betreiber kritischer Infrastrukturen stehen besonders im Fokus von Cyberangriffen, da Angreifer hier maximale Schäden für die Gesellschaft verursachen können. Um diesen Bedrohungen zu begegnen, verschärft die EU mit der NIS2-Direktive die Anforderungen an die Cybersicherheit. Besonders hervorzuheben ist die Verpflichtung der Geschäftsleitung zum aktiven Cyberrisikomanagement – verbunden mit einer persönlichen Haftung im Falle von Versäumnissen. Vollständige Risikobeseitigung ist in der Praxis unmöglich. Entscheidend ist, dass CEOs bewusst abwägen, welche Risiken tragbar sind und welche nicht. Im KRITIS-Bereich hat diese Abwägung jedoch nicht nur unternehmerische, sondern auch weitreichende gesellschaftliche Konsequenzen.

Defizite in der Cybersicherheit

Umso besorgniserregender ist die Tendenz, zahlreiche staatliche Einrichtungen von den NIS2-Regelungen auszunehmen, obwohl hier Handlungsbedarf besteht: Öffentliche Institutionen weisen massive Defizite in der Cybersicherheit auf und sind dringend modernisierungsbedürftig. Laut dem aktuellen BSI-Lagebericht wurden allein zwischen Juni 2022 und Juni 2023 27 Ransomware-Angriffe auf Kommunalverwaltungen und kommunale Betriebe registriert. Diese führten oft dazu, dass essenzielle Dienste wochenlang nicht verfügbar waren und sensible Bürgerdaten gefährdet wurden.

Cybersecurity für sichere Lieferketten

In Deutschland sind voraussichtlich knapp 30.000 Einrichtungen direkt von NIS-2 betroffen – deutlich mehr als von der bisherigen KRITIS-Verordnung. Indirekt wirkt sich die neue Direktive aber auf viele weitere Unternehmen aus. Denn künftig müssen Organisationen, die unter die NIS-2-Direktive fallen, auch die Cybersecurity in ihrer Lieferkette betrachten. Wer weiterhin Aufträge von solchen Geschäftspartnern erhalten will, muss sich also darauf einstellen, dass Cybersicherheit bei Vertragsverhandlungen auf den Tisch kommen wird. Für Zulieferer empfiehlt es sich, proaktiv das Gespräch mit möglicherweise regulierten Kunden zu suchen und das Thema gemeinsam anzugehen. Wer Cybersicherheit auch als kleines Unternehmen ernst nimmt, kann daraus durchaus einen Wettbewerbsvorteil generieren.

Cybersecurity im Wettlauf gegen die Zeit

Viele Unternehmen hinken mit ihren Security-Maßnahmen häufig noch hinterher. Seit Mai 2023 müssen KRITIS laut IT-Sicherheitsgesetz 2.0 zum Beispiel die Einführung von Systemen zur Angriffserkennung gegenüber dem BSI nachweisen. In den meisten Sektoren hat die Mehrheit der Unternehmen aber erst mit der Umsetzung begonnen und noch nicht alle Muss-Anforderungen erfüllt. Vor allem kleinere Unternehmen kämpfen oft mit Kapazitäts- und Budget-Engpässen. Hier sollte der Staat nicht nur fordern, sondern auch fördern und mehr Unterstützung bieten. Hilfreich ist außerdem ein Plattform-Ansatz in Kombination mit Managed Security Services. Indem Unternehmen ihr Security-Management vereinfachen, auf SaaS-basierte Plattformen zurückgreifen und sich von Experten unterstützen lassen, können sie ihre IT-Sicherheit trotz des Fachkräftemangels schneller und kostengünstiger verbessern.

Cybersecurity ist Chefsache

Cyberangriffe gehören zu den größten Risiken für Unternehmen. Durch die richtigen Maßnahmen kann Cybersecurity als Business-Strategie unterstützen, Unternehmen vor Angriffen zu schützen. Die übergeordnete Verantwortung liegt dabei auf der Führungsebene.

Die Umsetzung von Cybersicherheitsmaßnahmen liegt im Verantwortungsbereich der Geschäftsführung. Wer nicht handelt, wird haftbar.

Cyberangriffe gehören heute zu den größten Risiken für Unternehmen und erfordern eine klare Verantwortung auf Führungsebene. Dennoch fällt es vielen CEOs schwer, das Thema greifbar zu machen. Häufig stehen Kommunikationslücken mit  Chief Information Security Officers (CISO), ein unzureichendes Risikobewusstsein oder ein trügerisches Gefühl der Sicherheit einem wirksamen Schutz im Weg. Um Cyberrisiken effektiv zu reduzieren, ist es entscheidend, die Sicherheitsstrategie eng mit der Geschäftsstrategie zu verknüpfen. Unternehmen sollten ihre Maßnahmen zur Cybersicherheit messbar gestalten und sich gezielt auf die Bereiche konzentrieren, die den größten Mehrwert bieten. Dadurch lassen sich nicht nur die Sicherheitsstandards verbessern und regulatorische Vorgaben erfüllen – strategisch ausgerichtete Cybersecurity kann zugleich einen entscheidenden Wettbewerbsvorteil schaffen

Wachstumsmarkt Cyberkriminalität

In den letzten Jahren sehen wir die Grenzen zwischen finanziell und politisch motivierter Cyberkriminalität zunehmend verschwimmen. Im Kontext von geopolitischen und geoökonomischen Risiken steigt die Bedrohung weiter an. Die Hemmschwelle für Sabotage sinkt, und die Zusammenarbeit zwischen kriminellen Organisationen und staatlichen Akteuren nimmt sichtbar zu. Deren Ziel besteht häufig darin, die Gesellschaft zu destabilisieren oder die politische Meinungsbildung zu beeinflussen. Es ist deshalb zu erwarten, dass im Vorfeld der Bundestagswahl im kommenden Jahr verstärkt mit cyberkriminelle Aktivitäten zu rechnen ist. Beliebte Taktiken sind zum Beispiel Hack-and-Leak-Operationen gegen Politiker und Parteien, bei denen E-Mails und Dokumente gestohlen und veröffentlicht werden – teilweise sogar manipuliert.

NIS-2: Führungskräfte in der Pflicht

Betreiber kritischer Infrastrukturen stehen besonders im Fokus von Cyberangriffen, da Angreifer hier maximale Schäden für die Gesellschaft verursachen können. Um diesen Bedrohungen zu begegnen, verschärft die EU mit der NIS2-Direktive die Anforderungen an die Cybersicherheit. Besonders hervorzuheben ist die Verpflichtung der Geschäftsleitung zum aktiven Cyberrisikomanagement – verbunden mit einer persönlichen Haftung im Falle von Versäumnissen. Vollständige Risikobeseitigung ist in der Praxis unmöglich. Entscheidend ist, dass CEOs bewusst abwägen, welche Risiken tragbar sind und welche nicht. Im KRITIS-Bereich hat diese Abwägung jedoch nicht nur unternehmerische, sondern auch weitreichende gesellschaftliche Konsequenzen.

Defizite in der Cybersicherheit

Umso besorgniserregender ist die Tendenz, zahlreiche staatliche Einrichtungen von den NIS2-Regelungen auszunehmen, obwohl hier Handlungsbedarf besteht: Öffentliche Institutionen weisen massive Defizite in der Cybersicherheit auf und sind dringend modernisierungsbedürftig. Laut dem aktuellen BSI-Lagebericht wurden allein zwischen Juni 2022 und Juni 2023 27 Ransomware-Angriffe auf Kommunalverwaltungen und kommunale Betriebe registriert. Diese führten oft dazu, dass essenzielle Dienste wochenlang nicht verfügbar waren und sensible Bürgerdaten gefährdet wurden.

Cybersecurity für sichere Lieferketten

In Deutschland sind voraussichtlich knapp 30.000 Einrichtungen direkt von NIS-2 betroffen – deutlich mehr als von der bisherigen KRITIS-Verordnung. Indirekt wirkt sich die neue Direktive aber auf viele weitere Unternehmen aus. Denn künftig müssen Organisationen, die unter die NIS-2-Direktive fallen, auch die Cybersecurity in ihrer Lieferkette betrachten. Wer weiterhin Aufträge von solchen Geschäftspartnern erhalten will, muss sich also darauf einstellen, dass Cybersicherheit bei Vertragsverhandlungen auf den Tisch kommen wird. Für Zulieferer empfiehlt es sich, proaktiv das Gespräch mit möglicherweise regulierten Kunden zu suchen und das Thema gemeinsam anzugehen. Wer Cybersicherheit auch als kleines Unternehmen ernst nimmt, kann daraus durchaus einen Wettbewerbsvorteil generieren.

Cybersecurity im Wettlauf gegen die Zeit

Viele Unternehmen hinken mit ihren Security-Maßnahmen häufig noch hinerheitsgesetz 2.0 zum Beispiel die Einführung von Systemen zur Angriffserkennung gegenüber dem BSI nachweisen. In den meisten Sektoren hat die Mehrheit der Unternehmen aber erst mit der Umsetzung begonnen und noch nicht alle Muss-Anforderungen erfüllt. Vor allem kleinere Unternehmen kämpfen oft mit Kapazitäts- und Budget-Engpässen. Hier sollte der Staat nicht nur fordern, sondern auch fördern und mehr Unterstützung bieten. Hilfreich ist außerdem ein Plattform-Ansatz in Kombination mit Managed Security Services. Indem Unternehmen ihr Security-Management vereinfachen, auf SaaS-basierte Plattformen zurückgreifen und sich von Experten unterstützen lassen, können sie ihre IT-Sicherheit trotz des Fachkräftemangels schneller und kostengünstiger verbessern.