Cybersecurity im Geschäft verankern

In vielen Organisationen wird Cybersecurity auf Führungsebene als wichtig wahrgenommen, in der praktischen Umsetzung aber weiterhin an die IT delegiert. Der CIO soll Risiken reduzieren, Sicherheitsmaßnahmen umsetzen und Budgets begründen, verfügt jedoch häufig nicht über das Mandat, um organisationsweite Prozesse, Verantwortlichkeiten und Verhaltensänderungen zu etablieren.

So entsteht eine strukturelle Lücke: Die technische IT-Sicherheit benötigt unternehmensweite Vorgaben, wird aber aus einem begrenzten Verantwortungsbereich heraus gesteuert. Kurzfristig sichtbare IT-Initiativen konkurrieren mit Sicherheitsinvestitionen, deren Nutzen gerade darin besteht, Schadensereignisse zu vermeiden.

Cybersecurity ist weder ein ausschließlich technisches Thema noch allein eine Aufgabe von Governance, Risk und Compliance. Entscheidend ist die Fähigkeit, Sicherheit als Qualitätsmerkmal auszubilden, aufrechtzuerhalten und kontinuierlich weiterzuentwickeln. Eine Cyber-Strategie entfaltet erst Wirkung, wenn sie von der Unternehmensleitung getragen, für die Gesamtorganisation verbindlich gemacht und in ein umsetzbares Security Operating Model übersetzt wird. Der Einkauf zusätzlicher Software oder Hardware ersetzt weder klare Verantwortung noch organisationsweite Sicherheitsprozesse.

Ausgangspunkt ist die Entscheidung der Unternehmensleitung, welches Sicherheitsniveau zum Geschäftsmodell und zur Risikolage passt. Dazu gehören ein klares Bekenntnis zum Thema, die Definition des individuellen Risikoappetits und die Festlegung, in welchem Umfang sich die Organisation mit Cybersecurity auseinandersetzen muss. Darauf aufbauend braucht es eine Cyber-Strategie, die gemeinsam mit dem Top-Management entwickelt wird und klare Leitlinien für Führung, Organisation, Prozesse und Technologie setzt. Das Security Operating Model konkretisiert diese Leitlinien durch nachvollziehbare Rollen, Verantwortlichkeiten, Entscheidungsrechte, Reporting-Linien und Sicherheitsprozesse. Dazu gehört auch die Prüfung, wie eine CISO- oder ISB-Rolle mit einem wirksamen Mandat und einer angemessenen Anbindung an die Unternehmensleitung verankert werden kann.

Geschäftskritische Prozesse bilden den Referenzrahmen für Sicherheitsanforderungen. Die Analyse von Sicherheitsreifegrad und Risikolage, die Dokumentation kritischer Prozesse sowie die Übersetzung ihrer Schutzbedarfe in konkrete Anforderungen schaffen die Grundlage für eine geschäfts- und risikoorientierte Priorisierung. Informationssicherheitsmanagementsysteme, Sicherheitskonzepte, Policies, Standards und Procedures können strategische Vorgaben anschließend in verbindliche und überprüfbare Management- und Arbeitsprozesse überführen – nach ISO 27001, BSI IT-Grundschutz oder in einem organisationsspezifischen Modell.

Cassini Consulting steht für moderne Beratung an der Schnittstelle von Business, IT und Transformation. Wir begleiten Organisationen dabei, Zukunft aktiv zu gestalten. Strategisch, technologisch und kulturell. Unser Anspruch: Exzellente Beratung mit Wirkung. Unabhängig, mehrfach ausgezeichnet und immer auf Augenhöhe mit unseren Kunden.