Sicher digitalisieren und regulatorische Anforderungen erfüllen

KMU sind häufiger Ziel von Cyber-Angriffen, da sie in der Regel über weniger Ressourcen für Sicherheitsmaßnahmen verfügen. Umso wichtiger ist der proaktive Umgang mit IT-Sicherheit. Häufige Bedrohungen sind:

1. Phishing und Social Engineering: Cyberkriminelle täuschen vertrauenswürdige Quellen vor, um an sensible Daten zu gelangen.
2. Malware und Ransomware: Schadsoftware infiltriert Systeme, verschlüsselt oder beschädigt Daten und ermöglicht Erpressungsversuche.
3. Schwachstellen in Systemen und Software: Veraltete oder ungepatchte Systeme bieten durch Sicherheitslücken Angreifern Einfallstore.

Wenn Sie einen Angriff auf Ihre Systeme vermuten, sollten Sie diese vom Netz nehmen, herunterfahren und Ihren IT-Dienstleister kontaktieren. Wenn Sie keinen IT-Dienstleister beauftragt haben, können Sie sich auch an das Cyber-Sicherheitsnetzwerk (CSN) des Bundesamtes für Sicherheit in der Informationstechnik wenden. Die Kontaktstelle des CSN ist montags bis freitags von 8:00 bis 18:00 Uhr unter der kostenfreien Rufnummer 0800-274 1000 erreichbar.

Eine gute Vorbereitung beginnt mit der Erarbeitung einer IT-Sicherheitsstrategie: Nutzen Sie unsere Veranstaltungen, informieren Sie sich über die Inhalte des BSI (Bundesamt für Sicherheit in der Informationstechnik) und beziehen Sie Ihren IT-Dienstleister frühzeitig ein. Schulen Sie Ihre Mitarbeitenden (Awareness), verhindern Sie unbefugten Zutritt, setzen Sie passende Sicherheitssoftware ein und gehen Sie Checklisten für den Notfall gemeinsam durch. Das BSI stellt dafür u. a. Checklisten, Notfallkarten, Basismaßnahmen und Hinweise auf qualifizierte Dienstleister bereit. Ein IT-Notfallplan ist unerlässlich und sollte klare Meldeketten und Schutzmaßnahmen enthalten; im Ernstfall müssen Systeme vom Netz getrennt, ggf. heruntergefahren, der IT-Dienstleister informiert und das weitere Vorgehen geplant werden. Unterstützung bei IT-Vorfällen bietet zudem das Cyber-Sicherheitsnetzwerk (CSN): Mo–Fr, 8:00–18:00 Uhr, 0800 274 1000.

Schützen Sie Ihr Unternehmen, indem Sie organisatorische und technische Maßnahmen sinnvoll kombinieren – Vorbeugung ist die beste Vorsorge. Besonders wichtig sind: Sensibilisierung und Schulung der Mitarbeitenden, regelmäßige Updates und Patches, Schutz- und Erkennungslösungen (z. B. Firewalls, Virenscanner) sowie Datensicherung und Notfallplanung. Als Fazit gilt: Prävention, Überwachung und Nachsorge sollten in Abstimmung mit dem IT-Dienstleister geplant und umgesetzt werden. Optional können Pen-Tests durch professionelle „White Hacker“ helfen, die Wirksamkeit der Maßnahmen zu überprüfen.

Bei der Allianz für Cyber-Sicherheit, einer Initiative des BSI in Zusammenarbeit mit Wirtschaft und Forschung, finden Unternehmen verlässliches Knowhow bei der Risikoanalyse und bei Schutzmaßnahmen. Es bietet eine Suche nach IT-Sicherheitsdienstleistern, die bei der Umsetzung von Maßnahmen unterstützen. Auch der eigene IT-Dienstleister kann oft weiterhelfen. Die Digitale Experten Kammer und das RKW Hessen stehen Ihnen gerne mit Rat zur Seite, letztere mit geförderten Beratungen zu Digitalisierung und IT-Sicherheit.

Das BSI bietet Unternehmen von IT-Diensten und IT-Produkten nach erfolgreicher Prüfung ein IT-Sicherheitskennzeichen an. Die ISO/IEC 27001 ist eine internationale Norm für Informationssicherheits-Managementsysteme (ISMS), die Anforderungen an die Planung, Einführung, Überwachung und Verbesserung eines ISMS festlegt. Weitere Zertifikate sind der BSI-Standard 100-4 bzw. 200-4 und die DIN ISO 22301 für das Notfallmanagement von Unternehmen. Der TÜV-Nord beschreibt diese Standards näher.

Eine Möglichkeit ist der Selbsteinschätzungstest vom BSI. Sie haben aber auch die Möglichkeit, sich in einem persönlichen Beratungsgespräch durch einen Fragebogen führen zu lassen. Das Ergebnis zeigt Ihnen konkrete Handlungsmöglichkeiten in den Bereichen der IT-Sicherheit auf.

Die regulatorischen Anforderungen steigen, vor allem durch EU-Vorgaben und deren nationale Umsetzung. Für Unternehmen sind aktuell drei Themen besonders relevant:

1. NIS2 (in Deutschland per Umsetzungsgesetz in Vorbereitung; kann je nach Betroffenheit neue Pflichten wie Risikomanagement und Vorfallmeldungen auslösen),
2. der Cyber Resilience Act (CRA) für Produkte mit digitalen Elementen (in Kraft seit 10.12.2024; Meldepflichten ab 11.09.2026, umfassende Pflichten ab 11.12.2027) und
3. das KRITIS-Dachgesetz als CER-Umsetzung mit Fokus auf physischen Schutz kritischer Einrichtungen (Status abhängig vom Gesetzgebungsverfahren).

Unabhängig davon gilt: regelmäßige Investitionen in Technik sowie Awareness-Maßnahmen helfen, Risiken früh zu erkennen und Schadenskosten zu vermeiden.