Cybersicherheit ist endgueltig Chefsache geworden

Bei manchen Veranstaltungen steht neue Technologie im Mittelpunkt. Bei anderen spuert man, dass sich ein Markt grundlegend veraendert. Der European Resilience Summit war eindeutig von der zweiten Sorte.

Im Lauf des Tages sprach ich mit Vertretern von Organisationen wie Microsoft, Deloitte, Capgemini, Fujitsu und mehreren Einrichtungen aus dem oeffentlichen Sektor. Die Gespraeche reichten von KI ueber digitale Infrastruktur bis zur Geopolitik, doch ein Thema kam immer wieder auf: Cybersicherheit ist kein IT-Thema mehr. Sie ist zur Chefsache geworden.

Die neue Realitaet von NIS2 und dem Umsetzungsgesetz

Die meisten Organisationen kennen NIS2 inzwischen. Dennoch fiel mir in den Gespraechen auf, dass die Tragweite noch oft unterschaetzt wird. Das niederlaendische Cybersicherheitsgesetz, die nationale Umsetzung von NIS2, verlagert die Verantwortung deutlich auf die Leitungsebene.

Fuehrungskraefte muessen kuenftig nicht nur Massnahmen genehmigen. Sie muessen auch nachweisen koennen, dass sie deren Umsetzung beaufsichtigen und genug Wissen haben, um die richtigen Entscheidungen zu treffen. Das veraendert das Spielfeld grundlegend. War Cybersicherheit jahrelang vor allem ein Thema fuer IT-Leiter und Security-Spezialisten, landet sie nun direkt auf der Agenda der Chefetage.

Drei Fragen, die jede Fuehrungskraft beantworten koennen sollte

Eine der staerksten Erkenntnisse des Tages war ueberraschend einfach. Jede Organisation sollte heute drei Fragen beantworten koennen:

1. Fallen wir in den Anwendungsbereich? Sind wir eine wesentliche oder wichtige Einrichtung im Sinne des Gesetzes?
2. Koennen wir nachweisen, dass wir die Anforderungen erfuellen? Nicht nur Richtlinien auf dem Papier, sondern echte Nachweise zu Monitoring, Logging, Zugriffskontrolle und Risikomanagement.
3. Wer traegt die Verantwortung? Welche Fuehrungskraft traegt letztlich die Verantwortung und kann dafuer zur Rechenschaft gezogen werden?

Bemerkenswert: Das sind keine technischen Fragen. Es sind Fragen der Unternehmensfuehrung.

Technologie allein reicht nicht

In vielen Gespraechen hoerte ich, dass Organisationen oft nach der einen technischen Loesung suchen. Doch Compliance beginnt nicht bei der Technologie. Sie beginnt mit Einblick. Man muss wissen, welche Risiken bestehen, welche Prozesse kritisch sind und wo die Schwachstellen liegen. Erst danach stellt sich die Frage, welche Technologie diese Vorgaben unterstuetzt.

Zugleich koennen Organisationen nicht warten, bis alle Richtlinien fertig sind. Die Einfuehrung von KI, Cloud und hybridem Arbeiten geht schlicht zu schnell. Deshalb sehen wir bei Momentum EMEA zwei Bewegungen gleichzeitig:

• Von der Richtlinie zur Technologie.
• Von der Technologie zur Richtlinie.

Man entwickelt Governance und richtet zugleich die technischen Massnahmen ein, die Risiken sofort verringern.

Von Compliance zu Cyber-Resilienz

Aufgefallen ist mir noch etwas: Die reifsten Organisationen sprechen kaum noch von Compliance. Sie sprechen von Resilienz. Von Cyber-Resilienz. Compliance ist dabei kein Ziel, sondern eine Folge.

Diese Organisationen investieren in kontinuierliches Monitoring, Zero-Trust-Architekturen, Multi-Faktor-Authentifizierung, Lieferantenbewertungen, Audit-Trails sowie schnelle Erkennung und Reaktion. Nicht weil das Gesetz es verlangt, sondern weil ihre Geschaeftskontinuitaet davon abhaengt.

Die Rolle von Momentum EMEA

In Gespraechen werde ich oft gefragt, wo die Verantwortung eines Partners wie Momentum beginnt und endet. Diese Unterscheidung ist wichtig. Wir unterstuetzen Organisationen bei der technischen Umsetzung ihrer Sorgfaltspflicht:

• Netzwerksegmentierung
• Zero Trust Network Access (ZTNA)
• Multi-Faktor-Authentifizierung
• Kontinuierliches Monitoring und Logging
• Erkennung und Reaktion
• Lieferanten- und Zugriffssicherheit
• Security und Konnektivitaet ueber eine integrierte Plattform

Was wir nicht tun, ist die Verantwortung der Leitung zu uebernehmen. Governance, Risikopolitik, die rechtliche Bestimmung des Anwendungsbereichs und die Rechenschaftspflicht des Vorstands bleiben bei der Organisation selbst. Aber wir koennen helfen, die technische Basis nachweisbar in Ordnung zu bringen.

Mein wichtigstes Fazit

Cybersicherheit wandert vom Serverraum in die Chefetage. Nicht weil Technologie unwichtiger wird, sondern gerade weil sie immer wichtiger wird.

Organisationen, die heute in Einblick, Governance und technische Widerstandsfaehigkeit investieren, bauen Kontinuitaet fuer morgen auf. Denn am Ende geht es bei Resilienz nicht darum, ein Gesetz zu erfuellen. Es geht um die Frage, ob Ihre Organisation morgen noch sicher arbeiten kann, wenn heute etwas passiert. Und das ist eine Verantwortung, die inzwischen alle am Vorstandstisch betrifft.