Compliance-Reife im Check Unternehmen überschätzen ihre Cyber-Compliance

Anbieter zum Thema

Kaspersky Labs GmbH

Sangfor Technologies

tec4U-Solutions GmbH

Omnidocs GmbH

72 Prozent bewerten ihre Cyber-Compliance-Nachweise als gut, doch nur 16 Prozent stufen sich als vollständig compliant ein. Die Lücke eröffnet konkrete Beratungsansätze für Systemhäuser bei Prozessen, Zuständigkeiten und Dokumentation.

Ein guter Nachweisstand ist nicht gleichbedeutend mit einem belastbaren Compliance-System. Das legen Ergebnisse einer Kaspersky-Umfrage unter CEOs, Geschäftsführern und Inhabern in der DACH-Region nahe. In Deutschland bewerten 72 Prozent ihre Fähigkeit, Cybersecurity-Maßnahmen nachzuweisen, als gut. Als ausgereift und vollständig compliant sehen sich aber nur 16 Prozent.

Die Diskrepanz zeigt sich auch bei der Selbsteinschätzung: 64 Prozent der Befragten sind überzeugt, geeignete Cybersicherheitsmaßnahmen ausreichend nachweisen zu können. Zugleich sind 58 Prozent unsicher, was Cyber-Compliance konkret umfasst.

Gute Einzelbelege ergeben noch kein Gesamtbild

Einzelne Belege können ein trügerisch positives Bild erzeugen. Eine Firewall, dokumentierte Backups oder absolvierte Mitarbeiterschulungen weisen zunächst nur nach, dass bestimmte Maßnahmen existieren. Sie belegen nicht automatisch, dass alle relevanten Risiken berücksichtigt werden, die Maßnahmen wirksam sind und ihre Umsetzung regelmäßig geprüft wird.

Dass Technik allein nicht reicht, ist vielen Verantwortlichen bewusst. 71 Prozent stimmen laut Umfrage zu, dass einzelne Sicherheitslösungen ohne definierte Prozesse, Dokumentation, Monitoring und Zuständigkeiten nicht ausreichen. Auch gesetzliche Vorgaben wie DSGVO und NIS2 sowie Anforderungen an Umsetzung und Überprüfung sind für viele präsent. Jeweils 69 Prozent fühlen sich mit diesen Themen vertraut.

Vom Maßnahmenkatalog zur steuerbaren Compliance

Die Herausforderung besteht darin, Einzelmaßnahmen in ein belastbares System einzubetten. Dazu müssen Unternehmen klären, welche Anforderungen für sie gelten, wer für deren Umsetzung verantwortlich ist und wie sie die Wirksamkeit von Kontrollen belegen. Nachweise müssen außerdem aktuell, auffindbar und für Prüfungen nachvollziehbar sein.

Waldemar Bergstreiser, General Manager DACH bei Kaspersky, betont: „Für Geschäftsführungen ist entscheidend, aus einzelnen Nachweisen ein belastbares Gesamtbild zu gewinnen.“ Dafür müssten Anforderungen, Umsetzung, Zuständigkeiten und regelmäßige Überprüfungen transparent zusammengeführt werden. Neben Prävention gehörten auch Erkennung und Reaktion sowie Knowhow und Dokumentation dazu.

IT-BUSINESS Podcast

Podcast-Special „IT ImPuls“: Sicher, aber auch compliant?

Ansatzpunkte für Systemhäuser

Für Systemhäuser ergibt sich daraus eine Möglichkeit, das eigene Angebot über die Installation einzelner Sicherheitsprodukte hinaus zu erweitern. Denkbar sind Unterstützungsleistungen, die Kunden helfen, Maßnahmen und Nachweise zu strukturieren und Lücken bei Prozessen oder Zuständigkeiten sichtbar zu machen. Denn Kunden benötigen nicht nur technische Sicherheitslösungen, sondern auch nachvollziehbare Prozesse, klare Verantwortlichkeiten und eine Dokumentation, die Umsetzung und regelmäßige Überprüfung belegt.

Daher ist es ist entscheidend, beim Kunden nicht bei der Bestandsaufnahme stehenzubleiben, sondern Maßnahmen, Zuständigkeiten und Belege regelmäßig zu überprüfen und miteinander zu verknüpfen. Das Ergebnis können Geschäftsführungen zur Steuerung nutzen.

Aus den im Report genannten Empfehlungen lassen sich mehrere praktische Arbeitsschritte ableiten:

• Anforderungen und Verantwortliche erfassen: Gesetzliche, vertragliche und interne Vorgaben mit den zuständigen Rollen im Unternehmen verknüpfen.

• Kontrollen dokumentieren: Festhalten, wie eine Sicherheitsmaßnahme umgesetzt, überwacht und regelmäßig überprüft wird.

• Reifegrad und Lücken bewerten: Nicht nur technische Schwachstellen, sondern auch fehlende Prozesse, Zuständigkeiten und Management-Informationen berücksichtigen.

• Nachweise konsolidieren: Dokumente so strukturieren, dass sie aktuell, auffindbar und für Audits oder Managemententscheidungen nachvollziehbar sind.

Kaspersky empfiehlt außerdem, technische Prävention und Mitarbeiterschulungen zu stärken sowie Erkennung und Reaktion abzusichern und bietet dazu die Pakete „Compliance Essential“ und „Compliance Managed“. „Essential“ umfasst unter anderem Systemhärtung, Schwachstellenmanagement und Schulungen. „Managed“ ergänzt diese Maßnahmen um 24/7-Überwachung, Incident Response und Sicherheitsanalysen.

(ID:51001714)