Cyber Resilience wird zu Top-Priorität

Cyber Resilience ist die Fähigkeit, sich einem wandelnden Umfeld anzupassen und die Auswirkungen eines Cyberangriffs auf den Betrieb des Unternehmens zu minimieren. Cyber Security ist eine tragende Säule der Resilienz. In einem resilienten Unternehmen wird die Cyber Security in den systemischen Ansatz der Cyber Resilience integriert. Resiliente Organisationen sind fähig, Risiken und Chancen durch Veränderungen zu antizipieren und auf diese auf angemessene Weise zu reagieren.

Im Rahmen der Studie «Cyber Resilienz – Den Fortbestand des Unternehmens sichern» von AWK Group und C-Level wurden rund 100 Entscheidungsträger auf Basis eines strukturierten Fragebogens zur Cyberresilienz ihrer Unternehmen befragt. Die vollständige Studie kann gratis heruntergeladen werden unter: www.awk.ch/news-insights

Zusätzlich wurden die Themenbereiche mit ausgewählten Teilnehmenden in Interviews vertieft. Befragt wurden Entscheider aus Grossunternehmen, mittelständischen Firmen und Organisationen der öffentlichen Hand. 18 Prozent der Studienteilnehmer stammen aus den Sektoren Mobilität und Logistik, dicht gefolgt von den Banken, der klassischen und herstellenden Industrie sowie den Versicherungen.

Die Studienergebnisse unterstreichen, dass die Wichtigkeit einer hohen Cyber Resilience für die Sicherung des Fortbestehens bei den Führungskräften zwar breit anerkannt ist, deren konsequente Umsetzung jedoch in vielen Unternehmen hinterherhinkt.

88 Prozent der befragten Entscheidungsträger erachten Cyber Resilience als Top-Thema und 75 Prozent der Befragten gaben an, dass ihr diesbezügliches Budget in den letzten zwei Jahren angestiegen ist. Bei rund einem Viertel der Teilnehmenden erfolgte sogar ein starker Anstieg des entsprechenden Budgets.

Ein wirkungsvoller Schutz gegen Cyberbedrohungen wird von 70 Prozent der befragten Unternehmensentscheider als ein Differenzierungsmerkmal am Markt wahrgenommen und nicht nur als Voraussetzung für professionelles Handeln. Dies entspricht einer Steigerung von 7 Prozent gegenüber einer Befragung aus dem Jahr 2018. Die Einstufung der Relevanz von Cyber Security liegt erwartungsgemäss bei den ICT-Unternehmen mit einer Zustimmungsrate von 100 Prozent am höchsten, dicht gefolgt von den Banken (92 %) und der öffentlichen Hand (80 %). Die tiefste Relevanz hat Cyber Security im Gesundheitswesen sowie in Industrie- und Dienstleistungsbetrieben.

Auch 76 Prozent der Verwaltungsräte anerkennen die Wichtigkeit des Themas. Erstaunlich ist jedoch, dass nur die Hälfte von ihnen auch messbare Ergebnisse von ihrer Unternehmensleitung einfordert. Aus Unternehmenssicht erwarten die Befragten von ihrem Verwaltungsrat insbesondere eine tonangebende Unterstützung in Bezug auf die entsprechenden und Werte und Kultur, die Freigabe und Zuweisung von personellen und finanziellen Ressourcen sowie Orientierungshilfe hinsichtlich des erforderlichen Sicherheitslevels.

Trotz hohem Bewusstsein und steigenden Budgets beurteilt lediglich jeder fünfte Entscheider sein Unternehmen als ausreichend resilient. 77 Prozent der Befragten bekundeten, dass die erforderlichen Fähigkeiten nur teilweise oder noch nicht vorhanden sind. Als Gründe dafür nannten sie beispielsweise Herausforderungen im Bereich der IT-Architektur wie Schnittstellenprobleme oder mangelndes technisches und fachliches Know-how. Hinzu kommen Widerstände aus den Fachabteilungen sowie fehlende personelle und finanzielle Ressourcen. Erstaunlich ist, dass 9 Prozent der Studienteilnehmenden Widerstände in der IT-Abteilung als Herausforderung erwähnten.

Da 70 Prozent der Befragten die Cybersicherheit als Differenzierungsmerkmal beurteilen, stellt sich die Frage, warum sich oft nur ein Promille der Belegschaft mit dem als geschäftskritisch eingestuften Erfolgsfaktor befasst.

Während die Firmen ihre Sicherheitsmassnahmen laufend verbessern, zeigen auch Angreifer eine immer grössere Raffinesse. So stellt sich leider immer weniger die Frage, ob das eigene Unternehmen getroffen wird, sondern wann. Die erwartete Zeitspanne bis zur Erkennung eines verdeckten Angriffs wird heute etwas pessimistischer beurteilt als noch vor zwei Jahren. Die Antworten zeigen eine Verschiebung hin zu längeren Zeiten, bis ein Angriff entdeckt wird. Dass drei von vier Befragten angaben, einen Angriff innerhalb weniger Tage zu erkennen, beurteilen wir als unerwartet optimistisch, zeigen doch andere Studien, dass es im Durchschnitt sogar mehr als 200 Tage dauern kann, bis ein Unternehmen einen Cyberangriff bemerkt. Zur Erkennung von Angriffen betreiben 38 Prozent der Befragten ein umfassendes Security Logging und Monitoring der eigenen Infrastruktur. 23 Prozent gaben an, dass sie zusätzlich auch den Cyber-Sicherheitszustand ihrer Service Provider, Zulieferer und Partner beurteilen. Bei den Banken und Versicherungen haben sogar 53 Prozent der Antwortenden die Cybersicherheit ihres Ökosystems im Blick.

Nachdenklich stimmen die Aussagen in Bezug auf die Erholungsfähigkeit im Fall eines Angriffs: 54 Prozent der befragten Unternehmen verfügen über definierte Kontinuitätsanforderungen. 12 Prozent davon überprüfen diese jedoch nicht regelmässig. Alle anderen Befragten verlassen sich im Ereignisfall auf ihre Improvisationsfähigkeit oder kennen etwaige Vorbereitungsmassnahmen nicht.

Basierend auf der Studie geben wir folgende Empfehlungen:

Die Corona-Krise hat uns vor Augen geführt, dass die Vorbereitung auf den Eintritt einer digitalen Krisensituation heute notwendiger ist als je zuvor. Für den Aufbau und die Verankerung einer resilienten Unternehmenskultur auf allen Ebenen der Organisation ist zielbewusstes Handeln auf Verwaltungsrats- und Führungsebene deshalb von zentraler Bedeutung. Das Ziel der Cyber Resilience ist stets die Sicherstellung des Fortbestandes des Unternehmens unter herausfordernden Bedingungen.