Die Cybersicherheitsexperten sind sich einig: Neue Vorschriften, Richtlinien und Gesetze werden die Arbeitsweise grundlegend verändern. Dies geht aus dem State of Security Report 2024 von Splunk hervor, wonach 87 Prozent der Befragten erwarten, dass sie in einem Jahr anders mit Compliance umgehen werden. Dabei steht besonders der Mittelstand im Fokus, da diese Unternehmen oft chronisch unterfinanziert sind und somit einer besonderen Herausforderung bei der Umsetzung von Compliance-Richtlinien und Cybersicherheitsmaßnahmen gegenüberstehen.
Ein zentrales Thema des Berichts ist die Priorisierung von Compliance vor IT-Sicherheit, besonders in mittelständischen Unternehmen. Diese Firmen erfahren eine Verschiebung ihrer Budgets zugunsten der Einhaltung von Vorschriften, was häufig auf Kosten der IT-Sicherheit geschieht. Im digitalen Ökosystem unserer Wirtschaft sind Mittelständler oft das schwächste Glied und damit ein primäres Ziel für Cyber-Angriffe. Ein Angriff auf ein mittelständisches Unternehmen kann ein Einfallstor für größere Angriffe auf Großunternehmen oder kritische Infrastrukturen sein. Daher ist ein grundlegend neues Denken und eine verstärkte Investition in die IT-Sicherheit notwendig, um diese Lücke zu schließen und die Unternehmen gegen Bedrohungen zu wappnen.
Die Problematik im Mittelstand
Mittelständische Unternehmen stehen vor der Herausforderung, ihre begrenzten Ressourcen effektiv zwischen Compliance und IT-Sicherheit aufzuteilen. Oftmals wird die Einhaltung von Vorschriften priorisiert, da Verstöße gegen gesetzliche Vorgaben sofortige und schwerwiegende Konsequenzen nach sich ziehen können. Diese Konzentration auf Vorschriften führt jedoch häufig zu einer Vernachlässigung der IT-Sicherheit, was die Unternehmen anfälliger für Cyber-Angriffe macht und ihre digitale Integrität gefährdet.
Ein weiteres Problem ist, dass viele mittelständische Unternehmen die Bedeutung der IT-Sicherheit noch nicht vollständig erkannt haben. In vielen Fällen wird mehr in physische Sicherheit investiert als in digitale Sicherheit, was ein erhebliches Ungleichgewicht schafft. Matthias Maier betont die Notwendigkeit, die IT-Sicherheitsausgaben mindestens den Ausgaben für physische Sicherheit gegenüberzustellen, um ein Bewusstsein für die Bedeutung der IT-Sicherheit zu schaffen. Diese Fehleinschätzung kann schwerwiegende Folgen haben, da die digitalen Systeme der Unternehmen oft entscheidend für den Geschäftsbetrieb sind und ein Ausfall oder Angriff katastrophale Auswirkungen haben kann.
Haftungsfragen und neue Regelungen
Eine zentrale Erkenntnis des Berichts ist, dass die persönliche Haftung bei Cybersicherheitsvorfällen zunehmend in den Fokus rückt. 84 Prozent der CISOs äußern Bedenken hinsichtlich ihrer persönlichen Haftung, und viele Führungskräfte setzen hohe Cybersicherheit gleich mit der Einhaltung gesetzlicher Vorschriften. Diese Entwicklungen sind auch auf neue Regelungen wie die der Securities and Exchange Commission (SEC) in den USA oder die NIS2-Richtlinie der EU zurückzuführen, welche Unternehmen zwingen, ihre Cybersicherheitsvorfälle offenzulegen und ihre Risikomanagement-Programme transparent zu gestalten.
Diese neuen Regelungen verlangen von Unternehmen, Cybersicherheitsvorfälle offenzulegen und ihre Risikomanagement-Programme transparent zu gestalten. Im Falle von Verstößen drohen hohe Bußgelder und persönliche Haftung der Verantwortlichen, was die Dringlichkeit einer effektiven Cybersicherheitsstrategie betont. Daher müssen Unternehmen präventiv darüber nachdenken, wer im Falle von Verstößen haftet und wie hoch die Strafen und der potenzielle Reputationsverlust ausfallen können. Es reicht nicht aus, erst nach einem Vorfall über Konsequenzen nachzudenken; präventive Maßnahmen und eine proaktive Sicherheitsstrategie sind unerlässlich, um rechtliche sowie finanzielle Risiken zu minimieren.
Das Dilemma der Sicherheitsexperten
Für Sicherheitsexperten ergibt sich aus diesen Regelungen ein schwieriges moralisches Dilemma. Ein Unterschätzen von Angriffen kann zu Betrugsvorwürfen und Geschäftseinbußen führen, während ein Überschätzen Misstrauen und fallende Aktienkurse zur Folge haben könnte. Klare Regeln und regelmäßige Simulationsübungen können hier helfen, Schwachstellen aufzudecken und Optimierungsprozesse zu belegen, was im Interesse der Unternehmen und der Aufsichtsbehörden liegt. Eine transparente und offene Kommunikation über Sicherheitslücken und Risiken ist dabei entscheidend.
Die SEC-Anklage gegen den CISO von SolarWinds im Oktober 2023 markierte einen Wendepunkt im Umgang mit Cybersicherheit und Verantwortlichkeit. Diese Anklage verdeutlichte die Bedeutung eines offenen Austauschs zwischen Führungskräften, Rechtsabteilungen sowie den Compliance- und Sicherheitsteams. Als Folge dieser Anklage begannen Unternehmen weltweit, ihre Cybersicherheitsstrategien zu überdenken und die Rechenschaftspflicht stärker zu berücksichtigen. Dies zeigt, dass Unternehmen den Ernst der Lage erkannt haben und proaktive Maßnahmen ergreifen, um ihre Sicherheitsstandards zu verbessern und Haftungsrisiken zu minimieren.
Historische Entwicklungen und deren Auswirkungen
Die SEC-Anklage gegen den CISO von SolarWinds im Oktober 2023 markierte einen Wendepunkt im Umgang mit Cybersicherheit und Verantwortlichkeit. Diese Anklage verdeutlichte die Bedeutung eines offenen Austauschs zwischen Führungskräften, Rechtsabteilungen sowie den Compliance- und Sicherheitsteams. Als Folge dieser Anklage begannen Unternehmen weltweit, ihre Cybersicherheitsstrategien zu überdenken und die Rechenschaftspflicht stärker zu berücksichtigen.
Dies zeigt sich auch daran, dass 91 Prozent der Unternehmen laut dem Splunk-Bericht Sicherheitsschulungen für Rechts- und Compliance-Teams intensivieren. Unternehmen müssen präventiv darüber nachdenken, wer im Falle von Verstößen haftet, wie hoch die Strafen und der Reputationsverlust ausfallen können. Dabei reicht es nicht aus, erst nach einem Vorfall über Konsequenzen nachzudenken; präventive Maßnahmen und eine proaktive Sicherheitsstrategie sind unabdingbar. Es ist entscheidend, dass diese Maßnahmen über alle Unternehmensebenen hinweg koordiniert werden, um ein effektives und umfassendes Sicherheitsnetz zu schaffen.
Zukünftige Herausforderungen und Fachkräftemangel
Ein weiterer Trend, der sich laut Bericht abzeichnet, ist die verschärfte Meldepflicht bei Sicherheitsvorfällen. Die NIS2-Richtlinie der EU verlangt eine Frühwarnung binnen 24 Stunden und eine vollständige Meldung binnen 72 Stunden. Während die SEC bis zu vier Werktage Vorsprung gewährt, beobachten Experten diese Entwicklung mit Sorge. Mehr Verantwortung könnte zwar zu mehr Sicherheit führen, hat aber auch eine abschreckende Wirkung auf angehende Fachkräfte. 76 Prozent der Befragten stimmen zu, dass das Risiko der persönlichen Haftung die Attraktivität einer Karriere in der Cybersicherheit mindert.
Der Fachkräftemangel in der Cybersicherheit verschärft die Situation zusätzlich. Unternehmen müssen innovativ sein und Strategien entwickeln, um diese Lücke zu schließen, sei es durch verstärkte Ausbildung und Schulungen oder durch den Einsatz von Technologien, die menschliche Ressourcen entlasten. Denn nur mit qualifizierten Fachkräften und einer klaren strategischen Ausrichtung können Unternehmen den wachsenden Bedrohungen erfolgreich begegnen und ihre Cybersicherheits- und Compliance-Ziele erreichen.
Fazit
Cybersicherheitsexperten sind sich einig: Neue Vorschriften, Richtlinien und Gesetze werden die Arbeitsweise grundlegend verändern. Laut dem State of Security Report 2024 von Splunk erwarten 87 Prozent der Befragten, dass sich ihr Umgang mit Compliance in einem Jahr ändern wird. Besonders im Fokus steht der Mittelstand, da diese Unternehmen oft chronisch unterfinanziert sind und daher vor besonderen Herausforderungen bei der Umsetzung von Compliance-Richtlinien und Cybersicherheitsmaßnahmen stehen.
Ein zentrales Thema des Berichts ist die Priorisierung von Compliance vor IT-Sicherheit, insbesondere in mittelständischen Unternehmen. Diese Unternehmen müssen ihre Budgets verstärkt für die Einhaltung von Vorschriften aufwenden, was oft zulasten der IT-Sicherheit geschieht. Im digitalen Ökosystem unserer Wirtschaft sind Mittelständler oft das schwächste Glied und somit ein bevorzugtes Ziel für Cyber-Angriffe. Ein Angriff auf sie kann ein Einfallstor für größere Attacken auf Großunternehmen oder kritische Infrastrukturen darstellen. Daher ist ein grundlegendes Umdenken und verstärkte Investitionen in IT-Sicherheit essenziell, um diese Schwachstellen zu schließen und Unternehmen gegen Bedrohungen zu schützen.
