Wenn Informationssicherheit zur Unternehmensresilienz wird
Wie aus der Betreuung als externer Informationssicherheitsbeauftragter ein ganzheitlicher Blick auf Informationssicherheit, Geschäftsprozesse und Business Continuity entstand.
🔒 Zertifizierte Datenschutzbeauftragte · 🏋️ DSSV-Fördermitglied · 🛡️ CDPSE® · 🔍 CISA® · 📋 CIA® · 🧾 CPA · 🕵️ CFE®
Informationssicherheit wird häufig zuerst mit Cyberangriffen, Firewalls, Backups und technischen Schutzmaßnahmen verbunden. Für Unternehmen der Lebensmittelindustrie reicht dieser Blick jedoch nicht aus.
Produktion, Logistik, Warenwirtschaft, Filial- und Vertriebsstrukturen, Kommunikation und zahlreiche weitere Geschäftsprozesse sind heute unmittelbar von funktionierenden IT-Systemen und einer verlässlichen Infrastruktur abhängig.
Fällt eine dieser Komponenten aus, kann aus einem IT-Problem sehr schnell ein betriebswirtschaftliches Problem werden.
Für ein Unternehmen der Lebensmittelindustrie hat adverit deshalb die Funktion des externen Informationssicherheitsbeauftragten übernommen – und Informationssicherheit Schritt für Schritt zu einem Bestandteil der Unternehmensresilienz weiterentwickelt.
Die Ausgangssituation
Zu Beginn stand die klassische Informationssicherheit im Mittelpunkt.
Bestehende technische und organisatorische Maßnahmen wurden betrachtet, Risiken bewertet und Strukturen geschaffen, um Informationssicherheit systematischer im Unternehmen zu verankern.
Dabei wurde schnell deutlich: Die entscheidende Frage lautet nicht ausschließlich, wie ein Cyberangriff verhindert werden kann.
Mindestens ebenso wichtig ist die Frage, was passiert, wenn eine für das Unternehmen kritische Ressource trotzdem nicht mehr zur Verfügung steht.
Was bedeutet der Ausfall der zentralen IT für die Produktion? Welche Prozesse können ohne Internetverbindung weitergeführt werden? Welche Auswirkungen hat der Ausfall technischer Anlagen? Wie lange können einzelne Unternehmensbereiche im Notbetrieb arbeiten? Und welche Prozesse müssen zuerst wiederhergestellt werden?
Informationssicherheit wurde damit zu einer Frage der betrieblichen Widerstandsfähigkeit.
Risiken aus Sicht des Geschäfts betrachten
Gemeinsam mit den Fachbereichen wurde deshalb eine Business Impact Analysis aufgebaut.
Dabei standen nicht die IT-Systeme am Anfang der Betrachtung, sondern die Geschäftsprozesse.
Die einzelnen Unternehmensbereiche identifizierten ihre besonders kritischen Prozesse und bewerteten, welche Auswirkungen deren Ausfall auf das Unternehmen haben könnte. Gleichzeitig wurden Abhängigkeiten von IT, Energieversorgung, technischen Anlagen, Dienstleistern, Lieferanten und Beschäftigten sichtbar gemacht.
Für kritische Prozesse konnten anschließend Anforderungen an Notbetrieb und Wiederanlauf definiert werden.
Damit entstand eine Verbindung zwischen operativem Geschäft und Informationssicherheit: Die IT weiß nicht nur, welche Systeme technisch relevant sind, sondern auch, welche geschäftlichen Auswirkungen deren Ausfall tatsächlich hätte.
Cybersecurity ist nur ein Teil der Resilienz
Die Analyse hat den Blick auf Risiken bewusst erweitert.
Neben Cyberangriffen wurden beispielsweise der Ausfall von Internetverbindungen, Energieversorgung, technischen Anlagen, externen Dienstleistern und kritischen Ressourcen betrachtet.
Denn für den Geschäftsbetrieb ist zunächst unerheblich, warum eine Ressource nicht verfügbar ist.
Entscheidend ist, welche Prozesse davon betroffen sind, wie lange ein Ausfall toleriert werden kann und welche Alternativen für einen Notbetrieb zur Verfügung stehen.
Aus Informationssicherheitsmanagement wurde so zunehmend Business Continuity Management.
Vom Wissen einzelner Personen zum strukturierten Notfallmanagement
Ein weiterer wichtiger Effekt bestand darin, vorhandenes Wissen aus den Fachbereichen systematisch zusammenzuführen.
Viele Unternehmen wissen intuitiv sehr genau, was in einer Störung zu tun ist. Dieses Wissen befindet sich jedoch häufig bei einzelnen Personen und ist nicht vollständig dokumentiert.
Durch Interviews mit den Fachbereichen wurden kritische Abläufe, Abhängigkeiten und bestehende Notfalllösungen strukturiert erfasst.
Darauf aufbauend konnten Maßnahmen für Notbetrieb, Wiederanlauf und Rückkehr zum Normalbetrieb entwickelt und priorisiert werden.
Das Unternehmen gewinnt dadurch nicht nur Dokumentation, sondern konkrete Handlungsfähigkeit für den Ernstfall.
Informationssicherheit wird Managementaufgabe
Die Rolle des externen Informationssicherheitsbeauftragten hat sich dabei bewusst über die technische Perspektive hinausentwickelt.
Informationssicherheit verbindet heute IT, Fachbereiche und Unternehmensleitung. Risiken werden nicht ausschließlich anhand technischer Schwachstellen bewertet, sondern hinsichtlich ihrer möglichen Auswirkungen auf die wesentlichen Geschäftsprozesse.
Dadurch erhält auch die Unternehmensleitung eine andere Entscheidungsgrundlage.
Investitionen in Redundanzen, Notfallvorsorge oder Sicherheitsmaßnahmen können danach priorisiert werden, welche Prozesse für die Aufrechterhaltung des Geschäftsbetriebs besonders relevant sind.
Das Ergebnis
Aus der ursprünglichen Betreuung der Informationssicherheit ist ein zunehmend integrierter Ansatz für Informationssicherheit und Business Continuity entstanden.
Kritische Geschäftsprozesse und ihre Abhängigkeiten wurden transparent. Ausfallszenarien wurden gemeinsam mit den Fachbereichen bewertet. Anforderungen an Notbetrieb und Wiederanlauf wurden definiert und bestehende Sicherheitsmaßnahmen konnten stärker an den tatsächlichen geschäftlichen Risiken ausgerichtet werden.
Damit geht Informationssicherheit einen entscheidenden Schritt weiter.
Sie schützt nicht nur Informationen und Systeme. Sie trägt dazu bei, dass das Unternehmen auch unter außergewöhnlichen Bedingungen handlungs- und lieferfähig bleibt.
- Kritische Geschäftsprozesse und Abhängigkeiten transparent gemacht
- Anforderungen an Notbetrieb und Wiederanlauf definiert
- Sicherheitsmaßnahmen an tatsächlichen Geschäftsrisiken ausgerichtet
Unser AnsatzInformationssicherheit schützt nicht nur IT. Sie schützt die Fähigkeit eines Unternehmens, sein Geschäft fortzuführen.
Wie resilient ist Ihr Unternehmen?
Wir zeigen Ihnen, welche Prozesse für Ihren Geschäftsbetrieb kritisch sind – und wie Informationssicherheit und Business Continuity zusammenwirken.
