BSI: Unternehmensleitung darf Management von Cyberrisiken nicht wegdelegieren

Unternehmen werden heute regelmäßig Opfer von Cyber-Angriffen und die Bedrohungslage hat ein nie dagewesenes Ausmaß erreicht. Das Bundesamt für Sicherheit in der Informationstechnik plädiert dafür, dass sich die Unternehmensleitung dieser Tatsache bewusst sein muss, um Cyber-Sicherheit als wichtigen Bestandteil des Risikomanagements etablieren zu können.

Das Handbuch „Management von Cyber-Risiken“, das in Zusammenarbeit mit der Internet Security Alliance (ISA) vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erstellt wurde, erhält nun ein umfassendes Update. Es beschäftigt sich mit einer umfassenden Unternehmenskultur, die Cyber-Sicherheit ständig im Blick hat und somit die Widerstandsfähigkeit von Unternehmen erhöht. Die aktualisierte Version des Handbuchs wurde am 22.03.2023 veröffentlicht.

Die Forderungen lassen sich auf die Einhaltung von 6 Prinzipien verdichten:
1. Cyber-Sicherheit nicht nur als IT-Thema, sondern als Baustein des unternehmensweiten Risikomanagements verstehen:
Die Unternehmensleitung muss die Cyber-Sicherheit nicht nur als IT-Risiko, sondern als strategisches Unternehmensrisiko verstehen und angehen.

2. Rechtliche Auswirkungen von CyberRisiken verstehen:
Die Unternehmensleitung sollte die rechtlichen Auswirkungen von Cyber-Risiken in Bezug auf die individuellen Anforderungen ihres Unternehmens verstehen.

3. Zugang zu Cyber-Sicherheitsexpertise sowie regelmäßigen Austausch sicherstellen:
Die Unternehmensleitung sollte einen angemessenen Zugang zu Cyber-Sicherheits-Expertise fordern. Diskussionen über Cyber-Risikomanagement sollten regelmäßig und in angemessenem Umfang auf die Tagesordnung gesetzt werden.

4. Umsetzung geeigneter Rahmenbedingungen sowie Ressourcen für das CyberRisikomanagement sicherstellen:
Die Unternehmensleitung sollte die Erwartung formulieren, dass das Management einen unternehmensweiten Rahmen für das Cyber-Risikomanagement mit adäquater Personalausstattung und angemessenem Budget schafft.

5. Risikoanalyse erstellen sowie Definition von Risikobereitschaft in Abhängigkeit von Geschäftszielen und -strategien formulieren:
Im Austausch zwischen Unternehmensleitung und Management über Cyber-Sicherheit sollte die Identifizierung und Quantifizierung der finanziellen Kosten in Bezug auf CyberRisiken diskutiert werden. Insbesondere sollte die Frage besprochen werden, welche Risiken akzeptiert, gemindert oder übertragen werden sollen, z. B. durch eine Versicherung, sowie spezifische Pläne, die mit jedem Ansatz verbunden sind.

6. Unternehmensweite Zusammenarbeit und den Austausch von Best Practice fördern:
Die Unternehmensleitung sollte die Zusammenarbeit innerhalb ihrer Branche und mit öffentlichen und privaten Akteuren fördern, um sicherzustellen, dass jede Institution die Resilienz Aller unterstützt.

Die zweite Auflage des Handbuchs wird zudem von einem „Toolkit für das Management von Cyber-Risiken“ begleitet. Darin werden die Cyber-Sicherheitsprinzipien mit konkreten Handlungsempfehlungen untermauert und ausführlich erläutert.

(Foto: VideoFlow – stock.adobe.com)