Cyber-Risiken managen: Ein Leitfaden für kleine Unternehmen mit dem IKT-Minimalstandard

Die digitale Transformation hat in den letzten Jahren enorme Fortschritte gemacht. Mit den Vorteilen der Digitalisierung gehen jedoch auch erhebliche Cyber-Risiken einher. Cyberangriffe und Datenpannen treffen nicht nur grosse Konzerne, sondern zunehmend auch kleine und mittlere Unternehmen (KMU). Oft fehlt es in diesen Betrieben an Ressourcen oder Expertise, um den komplexen Anforderungen des Cyber-Risikomanagements gerecht zu werden. Doch genau hier setzt der IKT-Minimalstandard an – ein wertvolles Werkzeug, das Unternehmen dabei unterstützt, ihre Cybersicherheits-Maturität zu messen und zu verbessern (NIST, 2018; ISO, 2022).

Warum ist Cyber-Risikomanagement für KMU entscheidend?

Viele KMU unterschätzen die Bedrohungslage. Sie gehen davon aus, dass sie für Angreifer weniger interessant seien als grosse Unternehmen. Diese Annahme ist jedoch gefährlich. Tatsächlich sind KMU oft leichter angreifbar, weil sie über weniger robuste Sicherheitsmassnahmen verfügen. Angriffe wie Ransomware, Phishing oder Datendiebstahl können existenzbedrohende Folgen haben (Boehme et al., 2021).

Die Einführung eines strukturierten Cyber-Risikomanagements ist daher unerlässlich – und dies muss nicht kompliziert sein. Der IKT-Minimalstandard bietet eine klare, leicht verständliche Grundlage, die Unternehmen unabhängig von ihrer Grösse umsetzen können.

Der IKT-Minimalstandard: Ein Überblick

Der IKT-Minimalstandard basiert auf den bewährten Frameworks des NIST (National Institute of Standards and Technology) und der international anerkannten ISO/IEC 27000er-Serie (NIST, 2018; ISO, 2022). Er zielt darauf ab, eine einheitliche Grundlage für Cybersicherheit in Unternehmen zu schaffen. Besonders hervorzuheben ist, dass er explizit auf die Bedürfnisse kleinerer Organisationen zugeschnitten ist, ohne dabei an Effektivität zu verlieren.

Der Standard deckt fünf zentrale Funktionsbereiche ab, die auch im NIST Cybersecurity Framework definiert sind (NIST, 2018):

1. Identifizieren (Identify): Verstehen der betrieblichen Risiken und Identifikation kritischer Ressourcen.

2. Schützen (Protect): Implementierung von Maßnahmen, um Systeme, Daten und Netzwerke zu schützen.

3. Erkennen (Detect): Frühzeitige Erkennung von Sicherheitsvorfällen.

4. Reagieren (Respond): Entwicklung von Plänen und Prozessen, um auf Vorfälle zu reagieren.

5. Wiederherstellen (Recover): Schnelle Wiederherstellung von Geschäftsbetrieben nach Sicherheitsvorfällen.

   
   

   Integration der ISO/IEC 27000er-Serie (und anderer Frameworks)

   Der IKT-Minimalstandard verweist auch auf die ISO/IEC 27000er-Serie, eine international anerkannte Normenreihe für Informationssicherheits-Managementsysteme (ISMS). Diese Normen liefern detaillierte Leitlinien für die Einrichtung, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung der Informationssicherheit (ISO, 2022).

   
   

   Die Kombination der klaren Struktur des NIST-Frameworks mit den detaillierten Vorgaben der ISO/IEC 27000er-Serie macht den IKT-Minimalstandard zu einem äusserst praktikablen Werkzeug für KMU.

   
   

   Vorteile für kleine Unternehmen

   Der IKT-Minimalstandard bietet zahlreiche Vorteile:

   • Einfache Umsetzung: Die Anforderungen sind so formuliert, dass sie auch ohne umfangreiche IT-Kenntnisse nachvollziehbar sind (NIST, 2018).

   • Skalierbarkeit: Unternehmen können Massnahmen schrittweise umsetzen, abhängig von ihrer Grösse und Komplexität (Boehme et al., 2021).

   • Kosteneffizienz: Der Standard fokussiert sich auf essentielle Sicherheitsmaßnahmen, ohne kostspielige Investitionen zu erzwingen (ISO, 2022). Der IKT-Minimalstandard ist kostenlos verfügbar.

   • Messbarkeit: Der Standard ermöglicht es Unternehmen, ihre Cyber-Maturität zu messen und Fortschritte zu dokumentieren.

   • Compliance: Durch die Orientierung an ISO-Standards wird gleichzeitig eine Basis für gesetzliche und regulatorische Anforderungen geschaffen.

   
   

   Empfehlung: Nutzen Sie den IKT-Minimalstandard!

   Für KMU, die ihre Cybersicherheitsstrategie verbessern möchten, ist der IKT-Minimalstandard ein ausgezeichnetes Werkzeug. Er bietet eine leicht verständliche, bewährte Grundlage, um systematisch gegen Cyber-Risiken vorzugehen. Gleichzeitig ermöglicht er es, die eigene Cybersicherheits-Maturität realistisch einzuschätzen und gezielt zu erhöhen.

   
   

   Angesichts der wachsenden Bedrohungslage und der potenziellen Konsequenzen von Cyberangriffen ist es wichtiger denn je, aktiv zu werden. Der IKT-Minimalstandard liefert eine pragmatische und effektive Lösung – eine Investition, die sich für jedes Unternehmen lohnt.

   
   

   Weitere Informationen zum IKT-Minimalstandard sind auf der folgenden Seite verfügbar: https://www.bwl.admin.ch/bwl/de/home/bereiche/ikt/ikt_minimalstandard.html

   
   
   
   

   Quellen:

   • Boehme, R., Grossklags, J., & Hofmann, M. (2021). Cybersecurity for Small Enterprises: Challenges and Solutions. Springer Verlag.

   • ISO. (2022). ISO/IEC 27001:2022 - Information Security Management Systems. Geneva, Switzerland: International Organization for Standardization.

   • NIST. (2018). Framework for Improving Critical Infrastructure Cybersecurity, Version 1.1. Gaithersburg, MD: National Institute of Standards and Technology.