Deutsche Unternehmen überschätzen ihre Compliance-Reife

Eine Kaspersky-Umfrage zeigt jedoch eine deutliche Lücke zwischen diesem Selbstbild und dem tatsächlichen Reifegrad: Nur 16 Prozent der befragten Unternehmen sehen sich als vollständig compliant an.

Gute Nachweise bedeuten nicht automatisch vollständige Compliance

72 Prozent der befragten Geschäftsführer, Inhaber und CEOs bewerten die Nachweisfähigkeit ihrer Organisation als gut. Gleichzeitig sind sich 58 Prozent nicht sicher, welche Anforderungen Cyber-Compliance konkret umfasst. Das geht aus der Studie „Cyber-Compliance in DACH: Wie Unternehmen Cybersicherheit nachweisen, steuern und weiterentwickeln“ von Kaspersky hervor, die Unternehmen in Deutschland, Österreich und der Schweiz untersucht.

Die Ergebnisse deuten darauf hin, dass viele Verantwortliche einzelne Sicherheitsmaßnahmen und deren Dokumentation bereits gut einschätzen können, den Gesamtzusammenhang aber nicht immer ausreichend überblicken. Eine Firewall, regelmäßige Backups oder Mitarbeiterschulungen sind wichtige Bestandteile der IT-Sicherheit. Für sich genommen belegen sie jedoch nicht, dass sämtliche relevanten Anforderungen erfüllt werden.

Entscheidend ist auch, ob Maßnahmen zu den konkreten Risiken eines Unternehmens passen, regelmäßig auf ihre Wirksamkeit geprüft und klaren Verantwortlichkeiten zugeordnet sind.

Zwischen Fortschritt und offenen Baustellen

Die Befragten verfügen nach eigener Einschätzung durchaus über grundlegendes Wissen zu den Anforderungen. Jeweils 71 Prozent kennen die Bedeutung technischer Schutzmaßnahmen und des Datenschutzes. 69 Prozent fühlen sich mit gesetzlichen Vorgaben wie der DSGVO oder NIS-2 sowie den Anforderungen an Umsetzung, Dokumentation und regelmäßige Überprüfung vertraut.

Dennoch erreichen nur wenige Unternehmen die höchste Compliance-Reifestufe. 57 Prozent stufen ihre Organisation als fortgeschritten ein, sehen aber weiterhin Lücken. Weitere 19 Prozent befinden sich noch in der Entwicklung ihrer Compliance-Strukturen, während sechs Prozent erst mit der Planung begonnen haben. Insgesamt bewerten sich damit 85 Prozent nicht als vollständig compliant.

Auch bei der Einschätzung der eigenen Nachweise zeigt sich die Diskrepanz: 64 Prozent sind überzeugt, die Umsetzung, Dokumentation und regelmäßige Überprüfung geeigneter Cybersecurity-Maßnahmen ausreichend belegen zu können. Ein solches Vertrauen ist allerdings nicht gleichbedeutend mit einem umfassenden und belastbaren Compliance-System.

Technische Lösungen allein reichen nicht aus

Dass Cyber-Compliance mehr als den Einsatz einzelner Sicherheitsprodukte erfordert, ist den meisten Befragten bewusst. 71 Prozent stimmen der Aussage zu, dass technische Lösungen ohne definierte Prozesse, Dokumentation, Monitoring und klare Zuständigkeiten nicht genügen.

Für Unternehmen bedeutet das, technische Schutzmaßnahmen mit organisatorischen Abläufen zu verbinden. Dazu gehört, Anforderungen eindeutig Verantwortlichen zuzuweisen, Kontrollen nachvollziehbar zu dokumentieren und deren Wirksamkeit regelmäßig zu überprüfen. Ebenso wichtig ist ein Gesamtüberblick, der offene Risiken und Lücken sichtbar macht und als Grundlage für Managemententscheidungen dient.

Waldemar Bergstreiser, General Manager DACH bei Kaspersky und Geschäftsführer der Kaspersky Labs GmbH, betont die Bedeutung einer solchen Gesamtsicht. Erst wenn Anforderungen, Zuständigkeiten, Maßnahmen und Prüfungen transparent miteinander verknüpft seien, lasse sich Cyber-Compliance gezielt steuern und weiterentwickeln.

Reifegrad regelmäßig überprüfen

Aus den Studienergebnissen leitet Kaspersky mehrere Ansatzpunkte für Unternehmen ab. Gesetzliche, vertragliche und interne Anforderungen sollten in einem verbindlichen Verantwortungsmodell zusammengeführt werden. Für wesentliche Sicherheitsmaßnahmen empfiehlt sich außerdem eine nachvollziehbare Dokumentation, die festhält, wie Kontrollen umgesetzt, überwacht und überprüft werden.

Darüber hinaus sollten Unternehmen ihren Reifegrad regelmäßig bewerten und neben technischen Schwachstellen auch organisatorische Defizite erfassen. Nachweise müssen aktuell, auffindbar und für Audits sowie Managemententscheidungen nutzbar sein.

Kaspersky verweist ergänzend auf die eigenen Angebote Compliance Essential und Compliance Managed. Während das erste Paket unter anderem Systemhärtung, Schwachstellenmanagement und Mitarbeiterschulungen umfasst, ergänzt das zweite diese Maßnahmen laut Anbieter um eine rund um die Uhr erfolgende Überwachung, Unterstützung bei Sicherheitsvorfällen und proaktive Sicherheitsanalysen.

Die Umfrage macht deutlich, dass Cyber-Compliance nicht allein daran gemessen werden kann, ob einzelne Sicherheitsmaßnahmen vorhanden sind. Ausschlaggebend ist, ob Unternehmen ihre Anforderungen systematisch umsetzen, die Wirksamkeit kontrollieren und die Einhaltung nachvollziehbar belegen können.

(red/Kaspersky)