Sorgfaltspflichten in der IT-Sicherheit: Wenn Technik allein nicht reicht

Firewall eingerichtet, Systeme gepatcht, Zugriffe abgesichert: Ist damit die Verantwortung für IT-Sicherheit erfüllt? So einfach ist es nicht. Sorgfaltspflichten in der IT-Sicherheit betreffen längst nicht nur technische Schutzmaßnahmen. Entscheidend ist auch, wie Unternehmen Risiken bewerten, Verantwortlichkeiten festlegen, Kontrollen durchführen und Verbesserungen nachweisen.

Im Webinar formuliert Dr. Schiebeck einen zentralen Gedanken, den wir als Originalzitat verwenden können:

„Das Informationssicherheitsmanagementsystem ist nichts, das euch sicher macht. […] Nein, das ist ein Managementsystem, das erlaubt, die Sicherheit zu managen.“

Dr. Stefan Schiebeck, Cybersecurity-Experte und ETC-Trainer

Genau darum geht es im ETC-Webinar „Geister aus der Steckdose – Warum Fahrlässigkeit im Umgang mit elektronischen Dingen zunehmend geahndet wird“ mit Dr. Stefan Schiebeck. Das Webinar zeigt, weshalb Informationssicherheit zunehmend als Managementaufgabe verstanden werden muss und welche organisatorischen Konsequenzen daraus entstehen.

Sie möchten die Zusammenhänge im Detail verstehen? Die vollständige Webinaraufzeichnung können Sie über das Formular kostenlos anfordern.

Warum steigen die Anforderungen an die IT-Sicherheit?

IT-Systeme werden komplexer, Angriffswege vielfältiger und Unternehmen sind stärker miteinander vernetzt. Gleichzeitig steigen die Anforderungen daran, Informationssicherheit nicht nur technisch umzusetzen, sondern strukturiert zu organisieren. Im Webinar ordnet Dr. Stefan Schiebeck diese Entwicklung unter anderem im Kontext von NIS2, DORA und weiteren regulatorischen Anforderungen ein.

Eine zentrale Botschaft lautet: Sicherheitsmaßnahmen müssen nachvollziehbar aus Risiken und Vorgaben abgeleitet werden. Es genügt nicht, einzelne Technologien einzusetzen und davon auszugehen, dass damit für ausreichende Sicherheit gesorgt ist. Unternehmen benötigen Transparenz darüber, welche Risiken bestehen, wie sie damit umgehen und ob festgelegte Maßnahmen tatsächlich funktionieren.

Damit rücken neben technischen Controls vor allem organisatorische Fragen in den Mittelpunkt. Wer entscheidet über Risiken? Wer setzt Maßnahmen um? Wer kontrolliert deren Wirksamkeit? Und wie kann ein Unternehmen später belegen, dass die vorgesehenen Prüfungen tatsächlich durchgeführt wurden?

Gerade diese Fragen machen deutlich, weshalb Informationssicherheit nicht allein bei Administrator*innenoder Security-Spezialist*innen angesiedelt werden kann.

IT-Sicherheit ist eine Managementaufgabe

Ein Informationssicherheitsmanagementsystem, kurz ISMS, soll Informationssicherheit steuerbar machen. Im Webinar wird dabei eine wichtige Unterscheidung getroffen: Ein Managementsystem macht ein Unternehmen nicht automatisch sicher. Es schafft vielmehr die Strukturen, um Risiken sichtbar zu machen, Entscheidungen zu treffen und die Wirksamkeit von Maßnahmen zu überprüfen.

Dazu gehören beispielsweise Risikoanalysen, Richtlinien, definierte Rollen, Sicherheitskennzahlen und interne Audits. Sicherheitsmaßnahmen sollen nicht isoliert existieren, sondern auf konkrete Anforderungen und Entscheidungen zurückführbar sein. Das erleichtert nicht nur die Steuerung, sondern schafft zugleich eine Grundlage für spätere Prüfungen.

Eine wichtige Rolle kommt dabei der Unternehmensleitung zu. Sicherheitsverantwortliche können Risiken analysieren und geeignete Behandlungsoptionen vorbereiten. Entscheidungen über wesentliche Risiken und die dafür notwendigen Ressourcen sind jedoch Managemententscheidungen. Im Webinar wird dafür unter anderem das Konzept eines Sicherheitsgremiums erläutert, in dem relevante Verantwortliche des Unternehmens zusammenkommen.

Das Ziel ist ein nachvollziehbarer Entscheidungsprozess: Risiken werden transparent, Verantwortlichkeiten klarer und Sicherheitsmaßnahmen können mit den Unternehmenszielen verbunden werden.

Welche Rolle spielen Planung, Kontrolle und Verbesserung?

Ein Schwerpunkt des Webinars liegt auf einem bekannten Prinzip aus Managementsystemen: Plan-Do-Check-Act (PDCA). Planung, Umsetzung, Überprüfung und Verbesserung werden dabei als unterschiedliche Aufgaben betrachtet.

Das ist insbesondere in sicherheitskritischen Bereichen relevant. Wer eine Maßnahme plant und selbst umsetzt, sollte nicht automatisch auch die einzige Instanz sein, die deren Wirksamkeit beurteilt. Der Grund ist nachvollziehbar: Menschen und Organisationen können nur jene Lücken erkennen, für die ihnen das notwendige Wissen und die entsprechende Perspektive zur Verfügung stehen.

Deshalb spielen unabhängige Kontrollen und Audits eine wichtige Rolle. Mit zunehmendem Reifegrad einer Organisation sollten Verantwortlichkeiten stärker getrennt und klar dokumentiert werden. Im Webinar erläutert Dr. Schiebeck auch, wie interne und externe Auditor*innen eingebunden werden können und warum nachvollziehbare Audit-Trails und Evidenzen dabei wichtig sind.

Das betrifft nicht nur grosse Prüfungen. Auch alltägliche Sicherheitsmassnahmen benötigen einen kontinuierlichen Blick auf ihre Wirksamkeit. Eine einmal definierte Richtlinie oder eingeführte technische Massnahme ist kein Endpunkt. Unternehmen müssen überprüfen können, ob die ursprünglich festgelegten Anforderungen weiterhin erfüllt werden.

Vier Key Takeaways aus dem Webinar

Das knapp einstündige Webinar behandelt zahlreiche Aspekte von Cybersecurity, Governance und Risikomanagement. Vier Gedanken sind für die betriebliche Praxis besonders relevant:

1. IT-Sicherheit braucht nachvollziehbare Verantwortung. Rollenbezeichnungen allein lösen kein Problem. Entscheidend ist, welche Aufgaben, Entscheidungen und Kontrollen einer Rolle tatsächlich zugeordnet sind.
2. Risiken müssen für Entscheider*innen sichtbar werden. Sicherheitsverantwortliche benötigen geeignete Kennzahlen und Strukturen, um Risiken verständlich an die Unternehmensleitung zu kommunizieren. Nur bekannte Risiken können bewusst behandelt oder akzeptiert werden.
3. Kontrolle sollte nicht ausschliesslich durch jene Personen erfolgen, die eine Massnahme geplant oder umgesetzt haben. Die Trennung von Planung, Umsetzung und Prüfung schafft zusätzliche Perspektiven und unterstützt eine kritische Bewertung der Wirksamkeit.
4. Dokumentation schafft eine Prüfgrundlage. Richtlinien, Rollen, Kontrollen und durchgeführte Prüfungen müssen nachvollziehbar sein. Gerade bei Audits ist nicht nur entscheidend, dass etwas getan wurde, sondern auch, dass die Umsetzung und Überprüfung nachvollzogen werden können.

Das Webinar geht dabei deutlich tiefer als diese Zusammenfassung. Dr. Schiebeck verbindet regulatorische Entwicklungen mit praktischen Beispielen aus Informationssicherheitsmanagement, Risikomanagement, Auditierung und organisatorischer Verantwortung.