Nur elf Prozent sehen ihr Unternehmen als vollständig compliant
Österreichische Unternehmen schätzen ihre Fähigkeiten zum Nachweis von Cybersecurity-Maßnahmen vielfach positiv ein, sehen bei ihrer tatsächlichen Compliance-Reife aber noch deutlichen Nachholbedarf. Drei Viertel der befragten CEOs, Geschäftsführer und Inhaber bewerten ihre Nachweisfähigkeit als gut. Als ausgereift und vollständig compliant betrachten ihr Unternehmen dagegen nur elf Prozent. Das zeigt eine Kaspersky-Umfrage in Deutschland, Österreich und der Schweiz.
Bei einzelnen Bestandteilen von Cyber-Compliance ist das Vertrauen der österreichischen Führungskräfte hoch. 80 Prozent geben an, technische Schutzmaßnahmen zu verstehen. Beim Datenschutz sind es 84 Prozent, mit relevanten gesetzlichen Vorgaben wie der DSGVO fühlen sich 83 Prozent vertraut.
Auch die Anforderungen an Umsetzung, Dokumentation, regelmäßige Überprüfung und den Nachweis geeigneter Cybersicherheitsmaßnahmen verstehen nach eigener Einschätzung 80 Prozent der Befragten. Gleichzeitig zeigt sich eine deutliche Diskrepanz zwischen diesem Wissen und der Einschätzung der gesamten Compliance-Reife.
57 Prozent sind bei Cyber-Compliance unsicher
71 Prozent sind überzeugt, hinreichend belegen zu können, dass geeignete Cybersicherheitsmaßnahmen umgesetzt, dokumentiert und regelmäßig überprüft werden. Auf die direkte Frage nach der Qualität ihrer Nachweise bewerten 75 Prozent ihre Situation als gut.
Dem steht jedoch eine erhebliche Unsicherheit gegenüber: 57 Prozent sind sich nicht sicher, was Compliance in Bezug auf Cybersicherheit konkret umfasst. Nur elf Prozent stufen ihr Unternehmen als ausgereift und vollständig compliant ein.
Kaspersky bezeichnet diese Diskrepanz als „Compliance-Confidence-Gap“. Das Wissen über einzelne Bereiche oder vorhandene Nachweise bedeute noch nicht, dass sämtliche relevanten Anforderungen abgedeckt werden. Eine Firewall, dokumentierte Backups oder absolvierte Schulungen belegen beispielsweise einzelne umgesetzte Maßnahmen. Daraus lässt sich jedoch noch nicht ableiten, ob diese vollständig sind, zu den individuellen Risiken passen und regelmäßig auf ihre Wirksamkeit geprüft werden.
89 Prozent erreichen nicht die höchste Reifestufe
Auch die Selbsteinschätzung zum Reifegrad zeigt, dass bei einem Großteil der Unternehmen noch Lücken bestehen. 66 Prozent sehen ihre Organisation als fortgeschritten an, räumen aber weiterhin Defizite ein. Weitere 16 Prozent befinden sich noch in der Entwicklung und sieben Prozent erst in der Planung.
Insgesamt erreichen damit 89 Prozent nach eigener Einschätzung noch nicht die höchste Compliance-Reifestufe.
Dass einzelne technische Sicherheitslösungen dafür nicht ausreichen, ist den meisten Befragten bewusst. 72 Prozent stimmen zu, dass Sicherheitslösungen ohne klar definierte Prozesse, Dokumentation, Monitoring und Verantwortlichkeiten nicht genügen.
„Für Geschäftsführungen ist entscheidend, aus einzelnen Nachweisen ein belastbares Gesamtbild zu gewinnen. Sie müssen nachvollziehen können, welche Anforderungen relevant sind, wie diese umgesetzt werden, wer Verantwortung trägt und ob die Maßnahmen regelmäßig überprüft werden“,
sagt Waldemar Bergstreiser, General Manager DACH bei Kaspersky und Geschäftsführer der Kaspersky Labs GmbH.
Prozesse, Zuständigkeiten und Nachweise zusammenführen
Für eine höhere Cyber-Compliance empfiehlt Kaspersky, gesetzliche, vertragliche und interne Anforderungen in einem verbindlichen Verantwortungsmodell zusammenzuführen. Wesentliche Sicherheitsmaßnahmen sollten mit dokumentierten Nachweisen darüber verbunden werden, wie sie umgesetzt, überwacht und regelmäßig überprüft werden.
Bei der Bewertung des Reifegrads sollten neben technischen Lücken auch Prozesse, Zuständigkeiten und das Management-Reporting berücksichtigt werden. Einzeln vorliegende Dokumente und Nachweise sollten zudem so strukturiert werden, dass sie für Audits und Entscheidungen aktuell, auffindbar und nachvollziehbar sind.
Weitere Empfehlungen betreffen die technische Prävention, den Aufbau von Know-how sowie eine kontinuierliche Absicherung von Erkennung und Reaktion auf Sicherheitsvorfälle.
it&d business Redaktion
Kommentare