BSI: Unternehmensleitung darf Management von Cyberrisiken nicht wegdelegieren
Unternehmen werden heute regelmäßig Opfer von Cyber-Angriffen und die Bedrohungslage hat ein nie dagewesenes Ausmaß erreicht. Das Bundesamt für Sicherheit in der Informationstechnik plädiert dafür, dass sich die Unternehmensleitung dieser Tatsache bewusst sein muss, um Cyber-Sicherheit als wichtigen Bestandteil des Risikomanagements etablieren zu können.
Das Handbuch “Management von Cyber-Risiken”, das in Zusammenarbeit mit der Internet Security Alliance (ISA) vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erstellt wurde, erhält nun ein umfassendes Update. Es beschäftigt sich mit einer umfassenden Unternehmenskultur, die Cyber-Sicherheit ständig im Blick hat und somit die Widerstandsfähigkeit von Unternehmen erhöht. Die aktualisierte Version des Handbuchs wurde am 22.03.2023 veröffentlicht.
Die Forderungen lassen sich auf die Einhaltung von 6 Prinzipien verdichten:
1. Cyber-Sicherheit nicht nur als IT-Thema, sondern als Baustein des unternehmensweiten Risikomanagements verstehen:
Die Unternehmensleitung muss die Cyber-Sicherheit nicht nur als IT-Risiko, sondern als strategisches Unternehmensrisiko verstehen und angehen.
2. Rechtliche Auswirkungen von CyberRisiken verstehen:
Die Unternehmensleitung sollte die rechtlichen Auswirkungen von Cyber-Risiken in Bezug auf die individuellen Anforderungen ihres Unternehmens verstehen.
3. Zugang zu Cyber-Sicherheitsexpertise sowie regelmäßigen Austausch sicherstellen:
Die Unternehmensleitung sollte einen angemessenen Zugang zu Cyber-Sicherheits-Expertise fordern. Diskussionen über Cyber-Risikomanagement sollten regelmäßig und in angemessenem Umfang auf die Tagesordnung gesetzt werden.
4. Umsetzung geeigneter Rahmenbedingungen sowie Ressourcen für das CyberRisikomanagement sicherstellen:
Die Unternehmensleitung sollte die Erwartung formulieren, dass das Management einen unternehmensweiten Rahmen für das Cyber-Risikomanagement mit adäquater Personalausstattung und angemessenem Budget schafft.
5. Risikoanalyse erstellen sowie Definition von Risikobereitschaft in Abhängigkeit von Geschäftszielen und -strategien formulieren:
Im Austausch zwischen Unternehmensleitung und Management über Cyber-Sicherheit sollte die Identifizierung und Quantifizierung der finanziellen Kosten in Bezug auf CyberRisiken diskutiert werden. Insbesondere sollte die Frage besprochen werden, welche Risiken akzeptiert, gemindert oder übertragen werden sollen, z. B. durch eine Versicherung, sowie spezifische Pläne, die mit jedem Ansatz verbunden sind.
6. Unternehmensweite Zusammenarbeit und den Austausch von Best Practice fördern:
Die Unternehmensleitung sollte die Zusammenarbeit innerhalb ihrer Branche und mit öffentlichen und privaten Akteuren fördern, um sicherzustellen, dass jede Institution die Resilienz Aller unterstützt.
Die zweite Auflage des Handbuchs wird zudem von einem „Toolkit für das Management von Cyber-Risiken“ begleitet. Darin werden die Cyber-Sicherheitsprinzipien mit konkreten Handlungsempfehlungen untermauert und ausführlich erläutert.
(Foto: VideoFlow – stock.adobe.com)
Das könnte Sie auch interessieren
-
Folge 38: EuGH erleichtert Massenklagen – Die Voraussetzungen des immateriellen Schadensersatzes nach Art. 82 DS-GVO
Verfahren wegen des Ersatzes immaterieller Schäden nach Art. 82 DSGVO werden ständig mehr. Typische Anlässe sind Datenpannen, sonstige Datenschutzverstöße durch Unternehmen wie eine Werbemail ohne Einwilligung oder ein nicht rechtzeitig erfüllter Auskunftsanspruch. Deutsche Gerichte legen Art. 82 DSGVO bislang unterschiedlich weit und uneinheitlich aus. Der EuGH hat sich am 4. Mai 2023 in der Rs.
Mehr erfahren -
IT-Grundschutz in der Microsoft-Cloud
Microsoft hat in Zusammenarbeit mit der HiSolutions AG drei kostenlose IT-Grundschutz-Handbücher entwickelt, die auf der aktuellen Edition des IT-Grundschutz-Kompendiums des Bundesamts für Sicherheit in der Informationstechnik (BSI) basieren. Die Handbücher sollen Microsoft-Kunden helfen, die Nutzung von Cloud-Diensten wie Microsoft Azure, Microsoft 365 oder Dynamics 365 unter Berücksichtigung des IT-Grundschutzes sicher und erfolgreich zu gestalten. Dabei
Mehr erfahren -
EuGH urteilt zum Begriff “Recht auf Kopie”
Einige von der Datenschutzwelt mit Spannung erwartete Urteile des Europäischen Gerichtshofes wurden am 04. Mai 2023 veröffentlicht. 2. Urteil des Gerichtshofs in der Rechtssache C-487/21 | Österreichische Datenschutzbehörde und CRIF Der Hintergrund des zweiten mit Spannung erwartete Urteils des EuGH war ein Vorabentscheidungsersuchen nach Art. 267 AEUV, welches vom Bundesverwaltungsgericht (Österreich) eingereicht wurde. Das Bundesverwaltungsgericht in
Mehr erfahren
