Wolken und Vorhängeschloss

Vom IT-Thema zur Managementaufgabe.

Cybersicherheit wurde lange primär als IT-Thema betrachtet. Technische Schutzmaßnahmen galten als ausreichend. NIS2 zeigt jedoch klar: Risiken entstehen entlang von Geschäftsprozessen – in Produktion, Beschaffung, Personalwesen oder Kundenmanagement.

Informationssicherheit ist daher eine Führungsaufgabe. Sie erfordert:

  • klares Management-Commitment
  • definierte Rollen und Verantwortlichkeiten
  • regelmäßige Risiko-Reviews
  • strukturierte Entscheidungsprozesse

IT bleibt zentraler Umsetzungsbereich – die Verantwortung für Risiken liegt jedoch auf Unternehmensebene.

Cybersicherheit ist kein Projekt mit Enddatum – sie ist ein Teil moderner Unternehmensführung.

Erich Butta, Service Innovation, Quality Management & Compliance, Bechtle Austria

Asset Inventory: Transparenz schafft Steuerbarkeit.

Strukturiertes Risikomanagement beginnt mit Transparenz. Viele Anwendungen, Datenbestände und Abhängigkeiten sind historisch gewachsen und nicht vollständig dokumentiert.

Ein unternehmensweites Asset Inventory schafft die notwendige Grundlage. Es umfasst:

  • geschäftskritische Prozesse
  • Informationswerte und Daten
  • Anwendungen und Infrastruktur
  • Standorte und physische Komponenten
  • Lieferanten- und Dienstleisterabhängigkeiten

Auf dieser Basis werden Risiken assetbasiert bewertet: Welche Auswirkungen hätte ein Ausfall? Welche regulatorischen Verpflichtungen wären betroffen? Wie lange wäre der Geschäftsbetrieb eingeschränkt?

Risiken werden dadurch konkret und priorisierbar.

Strukturierte Umsetzung entlang klarer Leitplanken.

Für viele Unternehmen bietet die ISO 27001 eine bewährte methodische Grundlage. Ergänzend definieren europäische Leitlinien zentrale Umsetzungsbereiche – von Governance über Risikomanagement bis hin zu Business Continuity, Incident Handling, Lieferkettensicherheit und kontinuierlicher Verbesserung.

Entscheidend ist nicht die Menge an Maßnahmen, sondern deren Nachvollziehbarkeit und Wirksamkeit. Dokumentierte Entscheidungen, klare Ownership-Strukturen und ein gelebtes ISMS bilden das Fundament.

Bestehende Anwendungen risikobasiert weiterentwickeln.

Kaum ein Unternehmen arbeitet auf einer „grünen Wiese“. Historisch gewachsene Anwendungen und Legacy-Systeme sind Realität.

NIS2 verlangt keine vollständige Modernisierung, sondern einen angemessenen, dokumentierten Umgang mit Risiken. Technische und organisatorische Maßnahmen wie rollenbasierte Zugriffskonzepte, Multi-Faktor-Authentifizierung oder strukturierte Berechtigungsprozesse können das Sicherheitsniveau deutlich erhöhen – auch ohne vollständige Systemablöse.

Business Continuity und Notfallfähigkeit stärken.

Ein zentraler Bestandteil der Umsetzung ist die Sicherstellung der Betriebsfähigkeit im Krisenfall. Business Impact Analysen, Wiederanlaufstrategien und regelmäßige Notfalltests prüfen, ob Prozesse, Verantwortlichkeiten und Kommunikationswege im Ernstfall funktionieren.

Diese Tests sind kein reiner IT-Abgleich, sondern ein Organisationstest – und stärken die Resilienz nachhaltig.

Lieferkette und kontinuierliche Verbesserung.

Cyberrisiken enden nicht an den Unternehmensgrenzen. Sicherheitsanforderungen müssen daher integraler Bestandteil von Beschaffungs- und Lieferantenprozessen sein.

Gleichzeitig bleibt Informationssicherheit ein kontinuierlicher Prozess. Regelmäßige Reviews, Wirksamkeitskontrollen und Management-Reporting stellen sicher, dass Schutzmaßnahmen dauerhaft auf aktuelle Bedrohungen und regulatorische Anforderungen abgestimmt sind.

Mehr als Compliance.

NIS2 ist kein Projekt mit Enddatum. Richtig umgesetzt, wird Cybersicherheit zu einem festen Bestandteil moderner Unternehmensführung – vergleichbar mit Qualitäts- oder Arbeitssicherheitsstandards.

Unternehmen profitieren von stabileren Systemen, klareren Entscheidungswegen und gesteigertem Vertrauen bei Kunden und Partnern.

Nicht Perfektion ist entscheidend, sondern ein strukturierter Start, klare Priorisierung und konsequente Weiterentwicklung.