Security Performance Score Nicht nur ein IT-Problem – IT-Sicher­heit ist ein Unter­nehmens­risiko

Anbieter zum Thema

Diligent Technologies Corp

Fsas Technologies GmbH

FTAPI Software GmbH

Unternehmen mit hohen Werten im Bereich Cybersicherheit können im Durchschnitt 372 Prozent mehr Aktionärsrendite auszahlen, als solche mit einem niedrigeren Security Performance Score – das zeigt ein neuer Bericht von Diligent und Bitsight.

Für Deutschland sind die Ergebnisse des Reports „Cybersecurity, audit, and the board“ ernüchternd. Denn obwohl Deutschland zu den drei Ländern mit den meisten Cybersecurity-Experten im Vorstand gehört (5 Prozent der Unternehmen haben einen Cyberexperten im Vorstand), haben deutsche Unternehmen mit 640 einen der niedrigsten Durchschnittswerte für Cybersecurity und liegen damit hinter Frankreich, dem Vereinigten Königreich, Australien, den USA und Kanada und gleichauf mit Japan. Dies könnte daran liegen, dass nur 17 Prozent der deutschen Unternehmen über spezielle Risikoausschüsse verfügen.

Bessere Security Ratings deuten auf bessere finanzielle Leistung hin

Der Bericht stellt die These auf, dass Unternehmen mit einer messbar besseren Cybersicherheitsleistung auch eine höhere finanzielle Leistung als ihre Konkurrenten erzielen. Der durchschnittliche Total Shareholder Return (TSR) für Unternehmen mit höheren Sicherheitsratings über einen Fünf- bzw. Dreijahreszeitraum betrug 71 Prozent bzw. 67 Prozent während Unternehmen im Basis-Performancebereich im gleichen Zeitraum 37 Prozent bzw. 14 Prozent TSR erzielten.

Unternehmen mit einer höheren Anzahl unabhängiger Direktoren haben zudem laut des Berichts mit größerer Wahrscheinlichkeit ein hohes Sicherheitsrating. Etwa 76 Prozent der Direktoren in den Vorständen dieser Unternehmen sind unabhängig, verglichen mit 66 Prozent in der Kategorie mit niedrigeren Sicherheitsratings.

Spezialisierte Risiko- oder Audit-Ausschüsse schaffen höhere Sicherheit

Unternehmen mit einem spezialisierten Risiko- bzw. Prüfungsausschuss erreichen im Durchschnitt zudem eine bessere Cybersicherheitsleistung als solche ohne einen Ausschuss. Der Median der Cybersicherheitsbewertung für Unternehmen mit spezialisierten Risikoausschüssen liegt bei 730, verglichen mit 720 für Unternehmen mit reinen Prüfungsausschüssen, was darauf hindeutet, dass es keinen signifikanten Unterschied in der Fähigkeit des Prüfungsausschusses zur Überwachung von Cyberrisiken im Vergleich zu einem spezialisierten Risikoausschuss gibt.

Ein Cybersecurity-Experte im Vorstand reicht hier jedoch nicht aus - diese Experten müssen nach den Ergebnissen des Berichts direkt an der Cyberaufsicht beteiligt sein. Unternehmen mit Cybersicherheitsexperten in den Prüfungs- oder speziellen Risikoausschüssen erreichen eine durchschnittliche Sicherheitsbewertung von 700, während Unternehmen mit Cybersicherheitsexperten im Vorstand, aber nicht in einem der beiden Ausschüsse, eine Sicherheitsbewertung von 580 erreichen.

Stark regulierte Branchen sind im Vorteil

Ein klares Bild zeichnet der Diligent-Bericht beim Thema Sicherheit und regulierte Branchen. Hier zeigt sich, dass stark regulierte Branchen bei der Cybersicherheit besser abschneiden, als andere Branchen. So wies der Gesundheitssektor mit 730 die höchsten durchschnittlichen Sicherheitsbewertungen auf. Von den Unternehmen mit hohen Sicherheitsbewertungen stammten 33 Prozent aus dem Finanz­dienstleistungs­sektor, mit einer durchschnittlichen Bewertung von 720. Im Vergleich dazu kamen 24 Prozent der Unternehmen mit grundlegenden Sicherheitsbewertungen aus dem Industriesektor, und der Sektor mit der niedrigsten Gesamtbewertung war der Kommunikationssektor mit 630.

„Die Ergebnisse des Reports zeigen, dass Cybersicherheit nicht nur ein IT-Problem ist – es ist ein Unternehmensrisiko, das wesentliche Auswirkungen auf die kurzfristige Leistung und die langfristige Resilienz eines Unternehmens hat – und mit dem die Geschäftsleitung und der Vorstand vertraut sein müssen“, sagt Dottie Schindlinger, Executive Director des Diligent Institute. „Angesichts des zunehmenden Drucks der Aufsichtsbehörden auf Unternehmen, nachzuweisen, wie sie die Cybersicherheit überwachen, ist es jetzt an der Zeit, dass Vorstände und Führungskräfte ihre Kompetenz in Bezug auf Cyberrisiken ausbauen.“

„Die Studie zeigt, dass marktführende Unternehmen, die dem Cyber-Risikomanagement Priorität einräumen, besser abschneiden als ihre Konkurrenten“, so Derek Vadala, Chief Risk Officer bei Bitsight. „Dies kann nicht ohne ein gutes Verständnis der Cybersicherheitsleistung und klare Benchmarks erreicht werden, die von der Geschäftsleitung und dem Vorstand geteilt werden. Die Rolle des CISO hat sich gewandelt. Cyber-Risiko ist eine Schlüsselkomponente der Unternehmensleistung.“

„Bei der Cybersicherheit geht es nicht mehr nur um Risikominderung, sondern sie ist jetzt ein Schlüsselindikator für die finanzielle Leistung. Unternehmen müssen Cybersicherheit als einen Eckpfeiler ihrer Geschäftsstrategie behandeln, der von klaren, ehrgeizigen Maßstäben geleitet wird und die volle Unterstützung ihrer Vorstände genießt“, fügte Dr. Homaira Akbari, CEO von AKnowledge Partners, Mitglied des Verwaltungsrats von Banco Santander und Landstar System und Mitglied des Bitsight-Beirats, hinzu.

Über die Studie: Die Analyse „Cybersecurity, audit, and the board“ umfasst 4.149 mittelgroße bis große Unternehmen in öffentlichen Indizes in Australien, Kanada, Frankreich, Deutschland, Japan, dem Vereinigten Königreich und den Vereinigten Staaten. Diligent korrelierte die Cyberaufsichtsstruktur jedes Unternehmens mit den entsprechenden Sicherheitsleistungsdaten, die von Bitsight bezogen wurden. Bei der Korrelationsmethode wurden die Bewertungen innerhalb jeder Kategorie gemittelt, um erkennbare Muster zu identifizieren. Bitsight erstellt Cybersicherheitsbewertungen, die auf extern beobachtbaren Messungen der Sicherheitslage eines Unternehmens basieren.

(ID:49997312)