«Wie fit sind Schweizer Unternehmen in Sachen IKT-Sicherheit – und was kommt auf sie zu?»

Informations- und Kommunikationstechnologien (IKT) sind längst das Rückgrat moderner Unternehmen – insbesondere in kritischen Infrastrukturen. Doch wie gut sind Schweizer Betriebe in Sachen Cybersicherheit aufgestellt? Welche Branchen stehen besonders unter Druck? Und wie gelingt der Weg zum IKT-Minimalstandard in der Praxis?

Wir haben mit Michael Gempp, IKT-Sicherheitsexperte bei CTE, gesprochen. Er begleitet Unternehmen beim Aufbau robuster OT- und IT-Infrastrukturen und kennt die Herausforderungen aus erster Hand.

Was genau umfasst der IKT-Minimalstandard – und warum ist er für Unternehmen so wichtig?

Michael Gempp: Der IKT-Minimalstandard definiert die grundlegenden Anforderungen an die Informations- und Kommunikationstechnologie – also IT und OT – für Organisationen mit erhöhtem Schutzbedarf. Das Ziel ist ein einheitliches Mindestniveau an Cybersicherheit. Gerade für Betreiber kritischer Infrastrukturen ist das essenziell, denn ein Vorfall kann weitreichende Folgen haben. Aber auch andere Branchen profitieren: Der Standard ist ein pragmatischer Leitfaden, um die eigene Sicherheitslage systematisch zu verbessern.

Wie gehst du vor, wenn du die IKT-Sicherheitslage eines Unternehmens überprüfst?

Michael Gempp: Wir starten mit einer strukturierten Bestandsaufnahme – sowohl technisch als auch organisatorisch. Dabei schauen wir uns bestehende Systeme, Prozesse, Schnittstellen und Verantwortlichkeiten an. Mit einer Strukturanalyse bewerten wir den Ist-Zustand im Vergleich zu den Anforderungen des IKT-Minimalstandards. Daraus leiten wir konkrete Massnahmen ab – priorisiert, praxisnah und auf das Unternehmen zugeschnitten.

Man muss nicht alles sofort umsetzen – aber man muss wissen, wo man steht.

Michael Gempp, IT System & Security Architect CTE AG

Welche Branchen sind besonders betroffen oder stehen besonders unter Druck?

Michael Gempp: Vor allem Unternehmen mit einer hohen Abhängigkeit von automatisierten Prozessen oder vernetzten Steuerungssystemen – also Energieversorger, Verkehrsbetriebe, Wasserwerke, Gesundheitsinstitutionen oder produzierende Industrie. In diesen Bereichen ist nicht nur die Verfügbarkeit kritisch, sondern auch die Integrität und Nachvollziehbarkeit der Systeme. Regulierungen wie CySec-Rail oder branchenspezifische Vorgaben machen den Handlungsdruck zusätzlich spürbar.

Wo bestehen die häufigsten Sicherheitslücken – und warum bleiben sie oft unbemerkt?

Michael Gempp: Viele Schwachstellen haben ihren Uhrsprung in einer mangelnden Organisation: fehlende Zuständigkeiten, unklare Prozesse, unzureichend dokumentierte Systeme. Dies wirkt sich auf die technischen Gegebenheiten aus und ermöglicht Sicherheitslücken, die dann genutzt werden. In der OT wird Sicherheit zu oft als rein technisches Thema gesehen, dabei fehlt es an übergreifendem Sicherheitsmanagement. Und weil im Alltag nichts «sichtbar» passiert, wird unterschätzt, wie verwundbar man eigentlich ist.

Grafik IKT-Minimalstandard mit den fünf Hauptbereichen. — Die fünf Bereiche des IKT-Minimalstandards bilden eigenständige Handlungsfelder der Cybersicherheit. Wir setzen je nach Bedarf gezielte Teilbereiche davon für unsere Kunden um.

Wie realistisch ist es, den IKT-Minimalstandard als KMU überhaupt umzusetzen?

Michael Gempp: Absolut realistisch. Der Standard gibt zwar klare Anforderungen vor, aber nicht alles muss sofort oder in voller Tiefe umgesetzt werden. Wichtig ist, dass Unternehmen wissen, wo sie stehen – und dass sie ihre Risiken kennen. Mit einem gezielten Assessment und einem realistischen Massnahmenplan lässt sich vieles Schritt für Schritt verbessern, ohne den Betrieb zu überlasten.

Wohin geht die Reise? Welche Entwicklungen im Bereich IKT-Sicherheit siehst du in den nächsten Jahren?

Michael Gempp: Der Druck wird steigen – durch neue Regulierungen, aber auch durch die zunehmende Abhängigkeit von digitalen Prozessen. IT und OT wachsen stärker zusammen, was die Anforderungen an Sicherheit und Governance erhöht. Unternehmen werden sich künftig vermehrt für Audits, Nachweise und strukturierte Prozesse wappnen müssen. Wer jetzt vorbereitet ist, ist später klar im Vorteil.

Dein persönlicher Rat an Unternehmen, die sich jetzt mit dem Thema befassen wollen?

Michael Gempp: Viele Schwachstellen haben ihren Uhrsprung in einer mangelnden Organisation: fehlende Zuständigkeiten, unklare Prozesse, unzureichend dokumentierte Systeme. Dies wirkt sich auf die technischen Gegebenheiten aus und ermöglicht Sicherheitslücken, die dann genutzt werden. In der OT wird Sicherheit zu oft als rein technisches Thema gesehen, dabei fehlt es an übergreifendem Sicherheitsmanagement. Und weil im Alltag nichts «sichtbar» passiert, wird unterschätzt, wie verwundbar man eigentlich ist.

«Wie fit sind Schweizer Unternehmen in Sachen IKT-Sicherheit – und was kommt auf sie zu?»

Was genau umfasst der IKT-Minimalstandard – und warum ist er für Unternehmen so wichtig?

Wie gehst du vor, wenn du die IKT-Sicherheitslage eines Unternehmens überprüfst?

Welche Branchen sind besonders betroffen oder stehen besonders unter Druck?

Wo bestehen die häufigsten Sicherheitslücken – und warum bleiben sie oft unbemerkt?

Wie realistisch ist es, den IKT-Minimalstandard als KMU überhaupt umzusetzen?

Wohin geht die Reise? Welche Entwicklungen im Bereich IKT-Sicherheit siehst du in den nächsten Jahren?

Dein persönlicher Rat an Unternehmen, die sich jetzt mit dem Thema befassen wollen?

Sie möchten wissen, wo Sie in Bezug auf den IKT-Minimalstandard stehen?

Bei der Eingabe in Ihr Formular sind Fehler aufgetreten. Bitte beheben Sie diese und versuchen Sie es erneut.

Vielen Dank für Ihre Nachricht. Wir werden uns in Kürze bei Ihnen melden.

IKT-Minimalstandard für Transportunternehmen BLT

Security Solutions