Warum bleibt Risikomanagement häufig liegen?
Dafür hat es in den meisten Betrieben unterschiedliche Gründe. Der seltenste ist jedoch ein mangelndes Gefahrenbewusstsein, denn den meisten ist durchaus bewusst, dass IT-Sicherheit wichtig ist und auch ein gutes Risikomanagement dazu gehört. Herausfordernd sind meist folgende Punkte:
Fehlende Kapazitäten und Know-how
Vor allem in kleineren Betrieben gibt es für verschiedene Bereiche oft keine großen Abteilungen. Je nach Unternehmensgröße kann es somit sein, dass nur wenige Personen oder sogar nur eine einzelne Person für die IT zuständig ist. In der Regel sind diese Mitarbeiter mit dem Alltagsgeschäft schon sehr stark ausgelastet. Sie richten PCs für andere Mitarbeiter ein, pflegen die Serverlandschaft und kümmern sich um die kleinen Probleme, die täglich auftreten. Je nach Umfang sind auch Geräte und Software zu warten und mit neuen Updates zu versorgen. Es kann durchaus vorkommen, dass auf 30 Mitarbeitende nur ein IT-Verantwortlicher kommt. Das bedeutet dann meist, dass die Person mit ihren täglich wiederkehrenden Aufgaben einen Tag gut ausfüllen kann. Ein Risikomanagement muss von Grund auf aufgebaut werden und das benötigt Zeit. Außerdem benötigt es ein gewisses Know-how, das sich der Verantwortliche vielleicht erst einmal aneignen muss, da die alltäglichen Aufgaben diesen Bereich bisher nicht forderten. Hinzu kommt der häufig hohe Dokumentationsaufwand und die teils fachübergreifenden Arbeiten, die mehrere Abteilungen verbindet.
Unklare Verantwortlichkeiten und Kommunikation
Risikomanagement ist spätestens mit NIS-2 zur Chefsache geworden und somit sind auch Geschäftsführer in der Verpflichtung sich um dieses Thema zu kümmern. Damit liegt das Thema rein formal bei der Geschäftsleitung. Erfahrungsgemäß geht diese aber davon aus, dass das Risikomanagement in der IT behandelt wird. Diese wiederum ist, wie im Absatz zuvor geschildert, eigentlich bereits ausgelastet und geht das Thema nicht an. Ähnlich kann es aussehen, wenn die IT komplett an einen externen Dienstleiter gegeben wird. Dieser hat die Verantwortlichkeit für die Aufrechterhaltung des Betriebs. Oft sind sich jedoch Geschäftsführer nicht darüber im Klaren, dass dies nicht automatisch bedeutet ein Risikomanagement einzuführen. Das Ergebnis, jeder geht davon aus, dass sich jemand anders darum kümmert und am Ende bleibt das Thema liegen.
Was umfasst ein Risikomanagement?
Tatsächlich wird der Begriff Risikomanagement gern fälschlicherweise als ein reines IT-Thema behandelt. Dabei umfasst dieser Bereich deutlich mehr Abteilungen und Themen einer Firma. Natürlich fallen Cyberangriffe und technische Ausfälle in diesen Bereich, aber ein Risikomanagement umfasst auch Ausfälle im Personal oder von Zulieferern oder Dienstleistern. Die wichtigste Frage, die man sich stellen kann, ist: Welche Prozesse sind für den Geschäftsbetrieb kritisch? Da gibt es sicherlich mehr Bereiche als die reine IT. Auch kann man nach wichtigen Personen fragen. Salopp gefragt: Ohne wen läuft der Laden nicht? Ein gutes Risikomanagement kümmert sich also nicht nur um technische Aspekte, sondern betrachtet die Unternehmensstruktur als Ganzes.
Bedeutet Risikomanagement nicht nur eine gute Dokumentation?
Die Dokumentation ist ein Aspekt eines gutes Risikomanagement. Es geht dabei aber viel mehr darum, eine für alle verständliche Übersicht über Risiken zu bekommen. Welche Risiken sind besonders hoch und wo besteht Handlungsbedarf? Der eigentliche Sinn dieser Dokumentation ist, sich der konkreten Risiken bewusst zu werden und diese möglichst zu minimieren. Beispielsweise könnte man sagen: Uns ist bewusst, dass Ransomware ein Risiko ist, davor müssen wir uns schützen. Das allein ist jedoch kein Risikomanagement. Die wichtigere Frage wäre, welche Bereiche müssen besonders geschützt werden? Warum sind diese gefährdet und wie kann man die Gefährdung verringern? Dadurch können Ressourcen gezielt eingesetzt werden und Risiken vermieden werden.
Sollte das Risikomanagement durch einen externen Dienstleister geführt werden?
Da das Risikomanagement meist die Kapazitäten der eigenen IT übersteigt und viele verschiedene Abteilungen zusammengeführt werden müssen, bietet es sich an einen externen Berater hinzuzuziehen. Dieser kann die Gesamtheit eines Unternehmens betrachten und für seine Beratung alle Aspekte miteinbeziehen. Dadurch wird das Thema Risikomanagement so allumfassend behandelt wie es notwendig ist. Ein externer Spezialist hilft entschieden dabei den organisatorischen Aufwand zu reduzieren und das Risikomanagement sinnvoll aufzubauen. Zusätzlich haben solche Experten meist auch ein gutes Wissen über aktuelle regulatorische Anforderungen und können diese in Ihre Beratung mit einfließen lassen.
Wir von der ISCL GmbH unterstützen Ihr Unternehmen gern bei der Einführung eines Risikomanagements. Dabei beziehen wir aktuelle Vorgaben, wie beispielsweise durch NIS-2, in unsere Beratung mit ein. Kontaktieren Sie uns gern für ein unverbindliches Erstgespräch.