KMU verlieren Aufträge wegen Cyber-Compliance

Kleine und mittlere Unternehmen (KMU) in Europa haben Schwierigkeiten, die IT-Sicherheitsanforderungen ihrer Kunden und Partner zu erfüllen. Das zeigt eine Umfrage des Sicherheitsanbieters Kaspersky. Befragt wurden insgesamt 2.516 IT-Sicherheitsfachleute und Entscheider aus Unternehmen mit 50 bis 499 Beschäftigten in 24 Ländern, darunter Deutschland, Frankreich, Italien und Spanien.

Laut der Studie müssen 89 Prozent der befragten KMU in Europa IT-Sicherheitsanforderungen erfüllen, um Teil der Lieferkette eines Kunden oder Partners zu werden. Nur 34 Prozent gelingt das vollständig, 66 Prozent erfüllen die Vorgaben nur teilweise. Hintergrund sind Angriffe auf Lieferketten, bei denen Angreifer Schwachstellen bei Zulieferern oder in Software von Drittanbietern ausnutzen. Große Unternehmen verschärfen deshalb ihre Anforderungen an Lieferanten.

Zugriffsrechte und Notfallpläne als Hürde

Am schwersten fallen den KMU die Umsetzung des Prinzips minimaler Zugriffsrechte sowie die gemeinsame Nutzung und Überarbeitung von Notfallplänen, die jeweils 25 Prozent nennen. Es folgen mit je 24 Prozent Sicherheitszertifizierungen, fortschrittliche Sicherheitslösungen, rollenbasierte Zugriffsbeschränkungen, Multi-Faktor-Authentifizierung und die fristgerechte Meldung von Sicherheitsvorfällen. 23 Prozent haben Probleme mit branchenspezifischen Standards sowie regelmäßigen Penetrationstests oder Audits durch externe Dienstleister.

Folgen für das Geschäft

97 Prozent der KMU in Europa berichten von geschäftlichen Folgen, wenn sie Anforderungen nicht erfüllen. 49 Prozent mussten ihre IT-Sicherheitsstrategie mit zusätzlichem Budget überarbeiten, 45 Prozent ohne zusätzliche Mittel. Bei 39 Prozent verzögerten sich Abschluss oder Verlängerung von Verträgen. 38 Prozent suchten nach Partnern mit weniger strengen Anforderungen, 35 Prozent mussten kurzfristig mehr für IT-Sicherheit ausgeben. 28 Prozent verloren einen Auftrag, 24 Prozent wurden von Ausschreibungen ausgeschlossen.

„Cyber-Compliance ist für kleine und mittlere Unternehmen längst nicht mehr nur eine technische oder regulatorische Frage, sondern zunehmend eine Voraussetzung für geschäftlichen Erfolg.“
Waldemar Bergstreiser, General Manager DACH bei Kaspersky

Viele kleinere Unternehmen verfügten jedoch nicht über die personellen und finanziellen Mittel für eine umfassende Sicherheitsinfrastruktur.

In einer weiteren Umfrage unter Geschäftsführern in Deutschland, Österreich und der Schweiz gaben 64 Prozent an, geeignete Sicherheitsmaßnahmen nachweisen zu können, aber nur 16 Prozent stuften ihr Unternehmen als vollständig compliant ein. Mit der NIS2-Umsetzung müssen in Deutschland deutlich mehr Unternehmen Sicherheitsanforderungen erfüllen, darunter Vorgaben zur Sicherheit ihrer Lieferkette. Diese Anforderungen geben sie häufig an ihre Zulieferer weiter.

(red/Kaspersky)