Der Sicherheitsexperte wird zum Möglichmacher Cyber Security in Familienunternehmen

Anbieter zum Thema

KPMG AG Wirtschaftsprüfungsges.

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Der Weg in das digitale Zeitalter hat sich mittlerweile zu einem wichtigen Wettbewerbskriterium entwickelt, das für den zukünftigen Erfolg eines Unternehmens entscheidend ist. Auf dem Weg der Digitalisierung von Geschäftsprozessen fällt allerding gerade in familiengeführten Mittelstands­unternehmen immer wieder die Diskrepanz zwischen der Einrichtung neuer digitaler Lösungen und der Absicherung durch adäquate Cyber Security-Maßnahmen auf.

Oftmals heißt es, Sicherheit gehe zulasten der Flexibilität und hindere Unternehmen, ihre digitale Zukunft zu gestalten. Ein Vorwurf, der dazu führt, dass Unternehmen mit einem falschen Ansatz an ihre Projekte herangehen. Denn bei komplexen Digitalisierungsprojekten wird das Thema Informationssicherheit meist erst gegen Ende miteinbezogen. In der Regel führt das zu einem verspäteten „Go-Live“ oder zusätzlichen Kosten. Trotz der voranschreitenden Digitalisierung haben Informationssicherheit und Datenschutz eher das Image eines „Blockierers“. Viele Familienunternehmen starten Projekte, bevor sie auch nur einen Gedanken an die Sicherheit verlieren. Dabei geht es weniger um die eingesetzte IT als vielmehr um die automatisch erzeugten, verarbeiteten und übertragenen Informationen. Gerade bei automatisierten Prozessen fallen riesige Datenmengen an, die es zu schützen gilt. Doch viele Unternehmen machen sich nicht früh genug Gedanken über die Informationssicherheit oder Datenschutz.

Um mögliche Bedrohungen zu verhindern, schreiben DSGVO und Bundesdatenschutzgesetz vor, dass ein geeignetes Konzept zur Informationssicherheit bereits in der Designphase eines Digitalisierungsprojekts nachgewiesen werden muss. Hier spricht man von „Privacy by Design“. Zudem müssen Unternehmen ihre Geschäftsprozesse in ihrer Funktionalität datenschutzkonform auslegen – auch „Privacy by Default“ genannt. Setzen Unternehmen das nicht um, drohen ihnen Bußgelder. Schwerwiegender ist jedoch gerade bei Familienunternehmen das erhöhte Risiko eines Vertrauensverlustes, denn dieser kann zu einem möglichen Schaden der Unternehmensmarke führen.

Die Rolle des Sicherheitsexperten neu definieren

Um die digitale Transformation erfolgreich umzusetzen, benötigt es ein neues Verständnis der Zusammenarbeit zwischen Projektverantwortlichen und Sicherheitsexperten. Die frühzeitige Einbindung des Sicherheitsexperten in ein Projekt soll eine kontinuierliche und verlässliche Projektpartnerschaft schaffen. Um das zu ermöglichen, ist es essenziell, dass der Sicherheitsbeauftragte nicht nur die IT versteht, sondern auch die Strategie des Unternehmens. Dadurch können Sicherheitsexperten und Projektverantwortliche gemeinsam das Thema Sicherheit auf der Führungsebene erfolgreich implementieren. Ein ständiger Austausch mit allen Abteilungen sowie das Einbringen von Lösungsmöglichkeiten spielen hier eine zentrale Rolle.

Als Sicherheitsexperte steht man nicht nur den Projektverantwortlichen als Flankenschutz zur Seite, sondern unterstützt mit seinem Wissen das gesamte Unternehmen. Durch das Voranschreiten der Digitalisierung kommen sich ständig weiterentwickelnde Cyber-Bedrohungen auf ein Unternehmen zu. Weder ein Projektleiter noch die allgemeine Führungsebene sind in der Lage, diese vollständig zu erfassen. Während der klassische Datenschutz- und IT-Sicherheitsbeauftragte in seiner Rolle bislang technisch orientiert die Beantwortung eintreffender Anfragen verantwortet, bedarf es nun einer grundlegenden Neuorientierung dieses Rollenverständnisses. Binden die Projektverantwortlichen die Sicherheitsexperten frühzeitig ein, arbeiten und entscheiden auf Augenhöhe, so wandelt sich das Image: Aus der technischen Rolle wird ein Möglichmacher, mit dem man gemeinsam die digitale Transformation der Geschäftsprozesse des Unternehmens vorantreiben kann. Die Kommunikation mit der Geschäftsführung auf Augenhöhe ermöglicht einen vertrauensvollen Austausch über potenzielle Bedrohungen und Risiken der Informationssicherheit und des Datenschutzes. Durch die frühzeitige Einbindung von Sicherheitsexperten können Unternehmen rechtzeitig mögliche Hindernisse und Bedrohungen erkennen. Gemeinsam verfolgen sie ein Ziel, das sich an der risikobewussten Machbarkeit und Wirtschaftlichkeit ausrichtet. Mithilfe eines geeigneten Managementsystems, wie zum Beispiel ISO 27001, wird die Führung in ihrer Verantwortung entlastet – und kann so jederzeit über die Sicherheitslage im Unternehmen Auskunft erteilen, um im Ernstfall proaktiv Maßnahmen ergreifen zu können.

Das neu erlangte Rollenverständnis eines Sicherheitsexperten ist der Schlüssel zu einer erfolgreichen digitalen Transformation. Durch die gemeinsame Arbeit und das Miteinbeziehen in Entscheidungen über die Grenzen des klassischen IT-Ressorts hinaus, wird der Sicherheitsexperte den Weg in die digitale Zukunft sogar vereinfachen. Auch wenn aller Anfang schwer ist, wird er durch das breite Verständnis und den kontinuierlichen Austausch zum gefragten Sparringspartner auf Augenhöhe.

Informationssicherheit obliegt der Führungsebene

Informationssicherheit ist nicht das einzige Thema, das die Geschäftsführung beschäftigt. Eine angemessene Vorbereitung ist nötig, um zum einen die Dringlichkeit einer entsprechenden Umsetzung zu verdeutlichen und zum anderen das Thema Informationssicherheit erfolgreich im Unternehmen zu etablieren. Aus Zeitgründen beschäftigt sich die Führungsebene einer Organisation oftmals nicht vollumfänglich mit der Thematik. Vielmehr priorisieren sie und ziehen einen ausgearbeiteten Aktionsplan, mit dem Wissen seiner Funktionalität, vor. Die Aufgabe des Sicherheitsbeauftragten besteht unter anderem darin, die Führungsebene für Informationssicherheit zu sensibilisieren und Engagement zu wecken. Denn die kontinuierliche Überwachung der Risiken liegt auch im Aufgabenbereich der Geschäftsführung. Um die notwendige Handlungsbereitschaft sicher zu stellen, sollten die anfallenden Themen sorgfältig vorbereitet werden. Denn Glaubwürdigkeit und Vertrauen der Führungsebene sind Grundvoraussetzungen für Erfolg und den sicheren Weg in Richtung Digitalisierung. Hier gilt es, die Unternehmensstrategie und die Wahrnehmung der Informationssicherheit des Unternehmens zu verstehen, um die Sprache der Führungsebene sprechen zu können.

Über den Autor: Prof. Dr. Dirk Loomans ist Partner im Bereich Security Consulting von KPMG. Seine Beratungsschwerpunkte sind: ISMS, Datenschutz, Industriekontrollsysteme, Quantitative und qualitative Risikoanalysen. Seit mehr als 20 Jahren ist er in der Informationssicherheit tätig, und hat dabei nationale und internationale Kunden verschiedenster Größen beraten. 2005 gründete er zusammen mit Manuela Matz die Loomans & Matz AG in Mainz, die im November 2018 von der KPMG AG übernommen wurde.

(ID:47741749)