«Wie fit sind Schweizer Unternehmen in Sachen IKT-Sicherheit – und was kommt auf sie zu?»
Informations- und Kommunikationstechnologien (IKT) sind längst das Rückgrat moderner Unternehmen – insbesondere in kritischen Infrastrukturen. Doch wie gut sind Schweizer Betriebe in Sachen Cybersicherheit aufgestellt? Welche Branchen stehen besonders unter Druck? Und wie gelingt der Weg zum IKT-Minimalstandard in der Praxis?
Wir haben mit Michael Gempp, IKT-Sicherheitsexperte bei CTE, gesprochen. Er begleitet Unternehmen beim Aufbau robuster OT- und IT-Infrastrukturen und kennt die Herausforderungen aus erster Hand.
Was genau umfasst der IKT-Minimalstandard – und warum ist er für Unternehmen so wichtig?
Der IKT-Minimalstandard definiert die grundlegenden Anforderungen an die Informations- und Kommunikationstechnologie – also IT und OT – für Organisationen mit erhöhtem Schutzbedarf. Das Ziel ist ein einheitliches Mindestniveau an Cybersicherheit. Gerade für Betreiber kritischer Infrastrukturen ist das essenziell, denn ein Vorfall kann weitreichende Folgen haben. Aber auch andere Branchen profitieren: Der Standard ist ein pragmatischer Leitfaden, um die eigene Sicherheitslage systematisch zu verbessern.
Wie gehst du vor, wenn du die IKT-Sicherheitslage eines Unternehmens überprüfst?
Wir starten mit einer strukturierten Bestandsaufnahme – sowohl technisch als auch organisatorisch. Dabei schauen wir uns bestehende Systeme, Prozesse, Schnittstellen und Verantwortlichkeiten an. Mit einer Strukturanalyse bewerten wir den Ist-Zustand im Vergleich zu den Anforderungen des IKT-Minimalstandards. Daraus leiten wir konkrete Massnahmen ab – priorisiert, praxisnah und auf das Unternehmen zugeschnitten.
Man muss nicht alles sofort umsetzen – aber man muss wissen, wo man steht.
Welche Branchen sind besonders betroffen oder stehen besonders unter Druck?
Vor allem Unternehmen mit einer hohen Abhängigkeit von automatisierten Prozessen oder vernetzten Steuerungssystemen – also Energieversorger, Verkehrsbetriebe, Wasserwerke, Gesundheitsinstitutionen oder produzierende Industrie. In diesen Bereichen ist nicht nur die Verfügbarkeit kritisch, sondern auch die Integrität und Nachvollziehbarkeit der Systeme. Regulierungen wie CySec-Rail oder branchenspezifische Vorgaben machen den Handlungsdruck zusätzlich spürbar.
Wo bestehen die häufigsten Sicherheitslücken – und warum bleiben sie oft unbemerkt?
Viele Schwachstellen haben ihren Uhrsprung in einer mangelnden Organisation: fehlende Zuständigkeiten, unklare Prozesse, unzureichend dokumentierte Systeme. Dies wirkt sich auf die technischen Gegebenheiten aus und ermöglicht Sicherheitslücken, die dann genutzt werden. In der OT wird Sicherheit zu oft als rein technisches Thema gesehen, dabei fehlt es an übergreifendem Sicherheitsmanagement. Und weil im Alltag nichts «sichtbar» passiert, wird unterschätzt, wie verwundbar man eigentlich ist.
