Viele Unternehmen in Deutschland schätzen ihre Fähigkeit, Cybersicherheitsvorgaben einzuhalten und nachzuweisen, positiver ein als den tatsächlichen Reifegrad ihrer Compliance-Strukturen. Laut einer aktuellen Kaspersky-Untersuchung bewerten 72 Prozent der befragten Unternehmensverantwortlichen ihre Nachweissituation als gut. Gleichzeitig halten lediglich 16 Prozent ihre Organisation für vollständig cyber-compliant.
Die Ergebnisse stammen aus dem Report „Cyber-Compliance in DACH“, der die Umsetzung und Steuerung von Cybersicherheitsanforderungen in Deutschland, Österreich und der Schweiz untersucht. Besonders deutlich wird die Diskrepanz zwischen vorhandenen Einzelmaßnahmen und einem umfassend organisierten Compliance-System.
Mehrheit kennt die Anforderungen nur teilweise
Obwohl zahlreiche Unternehmen technische Schutzmaßnahmen und Datenschutzvorgaben berücksichtigen, bestehen erhebliche Unsicherheiten über den tatsächlichen Umfang der Cyber-Compliance. In Deutschland geben 58 Prozent der befragten Geschäftsführer und Unternehmensinhaber an, nicht genau zu wissen, welche Anforderungen darunter fallen.
Jeweils 71 Prozent kennen die Bedeutung technischer Sicherheitsmaßnahmen und des Datenschutzes. Mit rechtlichen Vorgaben wie DSGVO und NIS-2 sowie den Anforderungen an Dokumentation und regelmäßige Überprüfung fühlen sich jeweils 69 Prozent vertraut.
Dieses Grundlagenwissen bedeutet jedoch nicht zwangsläufig, dass sämtliche Verpflichtungen systematisch umgesetzt werden. Entscheidend ist, ob Sicherheitsmaßnahmen aufeinander abgestimmt und ihre Wirksamkeit kontinuierlich kontrolliert werden.
Gewinnen in der Plattform-Ökonomie
85 Prozent erreichen nicht die höchste Reifestufe
Während 16 Prozent ihre Organisation als vollständig compliant einstufen, sehen 57 Prozent ihren Entwicklungsstand als fortgeschritten, allerdings noch verbesserungsbedürftig. Weitere 19 Prozent befinden sich im Aufbau entsprechender Strukturen, sechs Prozent erst in der Planungsphase.
Damit erreichen nach den veröffentlichten Einzelwerten rund 85 Prozent noch nicht die höchste Reifestufe. Die leichte rechnerische Abweichung zur ausgewiesenen Gruppe vollständig konformer Unternehmen ergibt sich aus den gerundeten Umfragewerten.
Zugleich sind 64 Prozent überzeugt, die Umsetzung und regelmäßige Kontrolle geeigneter Sicherheitsmaßnahmen ausreichend belegen zu können. Der Unterschied zwischen dieser Einschätzung und dem tatsächlichen Reifegrad wird im Bericht als Vertrauenslücke bei der Compliance-Bewertung beschrieben.
Technische Sicherheitslösungen allein reichen nicht aus
Einzelne Schutzmaßnahmen wie Firewalls, Datensicherungen oder Mitarbeiterschulungen gewährleisten noch kein vollständiges Compliance-System. Entscheidend sind ergänzende Prozesse, eindeutig festgelegte Zuständigkeiten und eine nachvollziehbare Dokumentation.
Diese Zusammenhänge sind vielen Unternehmensverantwortlichen bewusst. Insgesamt 71 Prozent stimmen der Aussage zu, dass technische Lösungen ohne strukturierte Abläufe, Überwachung und Verantwortlichkeiten nicht genügen.
Für Unternehmen bedeutet dies, dass vorhandene Sicherheitsnachweise regelmäßig auf Vollständigkeit und Wirksamkeit überprüft werden müssen. Auch die Zuordnung zu konkreten gesetzlichen und betrieblichen Anforderungen spielt eine zentrale Rolle.
Dokumentation und Verantwortlichkeiten im Fokus
Kaspersky empfiehlt, gesetzliche, vertragliche und interne Sicherheitsanforderungen in einem einheitlichen Steuerungssystem zusammenzuführen. Dazu gehören klar definierte Zuständigkeiten sowie dokumentierte Kontrollen für wesentliche Schutzmaßnahmen.
Ebenso wichtig ist eine regelmäßige Bewertung des Compliance-Reifegrads. Unternehmen sollten dabei nicht ausschließlich technische Schwachstellen betrachten, sondern auch organisatorische Defizite und Lücken im Berichtswesen erfassen.
Eine zentrale und aktuelle Ablage von Nachweisen kann außerdem interne Entscheidungen und externe Prüfungen erleichtern. Ergänzend nennt Kaspersky kontinuierliche Sicherheitsüberwachung, Schwachstellenmanagement und Schulungen als wesentliche Bestandteile eines belastbaren Schutzkonzepts.
Cyber-Compliance wird zur Managementaufgabe
Die Untersuchung verdeutlicht, dass Cybersicherheit nicht allein durch die Anschaffung technischer Lösungen gewährleistet werden kann. Geschäftsführungen müssen sicherstellen, dass regulatorische Anforderungen bekannt sind, Verantwortlichkeiten eindeutig geregelt werden und die Umsetzung überprüfbar bleibt.
Gerade angesichts wachsender gesetzlicher Vorgaben gewinnt eine systematische Steuerung der Cyber-Compliance an Bedeutung. Für Unternehmen liegt die zentrale Herausforderung darin, vorhandene Einzelmaßnahmen zu einem nachvollziehbaren und dauerhaft wirksamen Gesamtsystem zu verbinden.
