Cybersicherheit im KMU: Warum klare Rollen den Unterschied machen

Viele KMU investieren in Sicherheitstechnologien – und trotzdem bleiben Lücken offen. Der häufigste Grund ist nicht fehlende Technik, sondern fehlende Klarheit: Wer ist für was zuständig? Ohne klar definierte Verantwortlichkeiten in der Cybersicherheit bleibt vieles liegen – und genau dort setzen Angreifer an. Als CISO erlebe ich das regelmässig: Unternehmen, die technisch gut aufgestellt sind, aber keine klaren Rollen haben, sind anfälliger als jene, die konsequent Verantwortung zuweisen. Für Geschäftsführer, IT-Leiter und Verwaltungsräte ist das eine direkte Führungsaufgabe – keine rein technische.

Warum fehlende Verantwortlichkeiten zur Sicherheitslücke werden

In meiner Arbeit als CISO sehe ich immer wieder dasselbe Muster: Sicherheitsanalysen bleiben unvollständig, Schutzmassnahmen werden halbherzig umgesetzt, und niemand fühlt sich wirklich zuständig. Das Ergebnis sind Lücken, die Angreifer gezielt ausnutzen.

Die Folgen sind konkret:

• Cyberangriffe bleiben länger unentdeckt

• Sicherheitsrichtlinien werden nicht eingehalten

• Im Ernstfall fehlt ein klarer Ansprechpartner

• Finanzielle Schäden und Reputationsverluste drohen

Der Kern des Problems ist oft nicht Unwillen, sondern Unklarheit. Es fehlt ein «Kümmerer» – jemand, der das Thema aktiv vorantreibt und sicherstellt, dass alle Beteiligten ihre Aufgaben kennen und wahrnehmen.

Cybersicherheit ist Teamarbeit – nicht Einzelaufgabe

Cybersicherheit ist keine isolierte IT-Aufgabe. Sie ist eine gemeinsame Verantwortung, die das gesamte Unternehmen betrifft – von der Geschäftsleitung bis zur Produktion.

Die Rolle des CISO ist dabei zentral: Er oder sie definiert, wer welche Verantwortung trägt, kommuniziert diese klar und überwacht die Einhaltung. Ohne diese Funktion fehlt dem Sicherheitssystem das Rückgrat.

Wichtig zu verstehen: Klare Verantwortlichkeiten bedeuten nicht mehr Bürokratie. Sie bedeuten weniger Doppelarbeit, schnellere Reaktion im Ernstfall und ein gemeinsames Verständnis von Risiken – auf allen Ebenen des Unternehmens.

Wie KMU Cybersicherheitsrollen konkret einführen

Die Umsetzung muss nicht komplex sein. Ein systematischer Ansatz in fünf Schritten hilft:

1. Rollen definieren: Legen Sie fest, wer welche Funktion übernimmt – zum Beispiel CISO, IT Risk Officer oder Sicherheitsbeauftragte. In kleineren KMU können das auch bestehende Mitarbeitende in Teilfunktion sein.

2. Verantwortlichkeiten dokumentieren: Halten Sie schriftlich fest, welche Aufgaben zu welcher Rolle gehören. Das schafft Verbindlichkeit.

3. Kommunizieren und schulen: Alle Mitarbeitenden und externen Partner müssen ihre Rolle kennen. Kurze Schulungen und klare Arbeitsanweisungen reichen oft aus.

4. Zusammenarbeit fördern: Sicherheitsrollen dürfen nicht in Silos arbeiten. Regelmässiger Austausch zwischen IT, Management und Betrieb ist entscheidend.

5. Regelmässig überprüfen: Audits und Kontrollen stellen sicher, dass Richtlinien eingehalten werden und Rollen noch zur aktuellen Situation passen.

Was Unternehmen durch klare Rollen gewinnen

Wenn Verantwortlichkeiten klar sind, verändert sich die Sicherheitslage spürbar:

• Weniger Risiko: Sicherheitslücken werden früher erkannt und behoben

• Bessere Compliance: Regulatorische Anforderungen wie der IKT-Minimalstandard oder ISO 27001 lassen sich gezielter erfüllen

• Mehr Vertrauen: Kunden und Partner wissen, dass ihre Daten in guten Händen sind

• Effizienterer Ressourceneinsatz: Klare Zuständigkeiten vermeiden Doppelarbeit und stellen sicher, dass das verfügbare Budget dort wirkt, wo es gebraucht wird

Praxisbeispiel: Industrieunternehmen

Ein produzierendes KMU mit rund 80 Mitarbeitenden hatte keine definierten Sicherheitsrollen. Die IT-Abteilung – ein Zweipersonenteam – kümmerte sich um alles: Infrastruktur, Support und Sicherheit. Sicherheitsthemen blieben dabei regelmässig liegen.

Im Rahmen einer Beratung wurden zunächst die bestehenden Aufgaben analysiert und klare Rollen zugewiesen. Ein interner Sicherheitsbeauftragter wurde benannt, Verantwortlichkeiten dokumentiert und das Management aktiv eingebunden. Bereits nach wenigen Monaten zeigte sich: Vorfälle wurden schneller erkannt, Massnahmen konsequenter umgesetzt – und das IT-Team hatte endlich Rückendeckung vom Management.

Jetzt den ersten Schritt machen

Prüfen Sie heute, ob in Ihrem Unternehmen klar ist, wer für Cybersicherheit verantwortlich ist. Wenn die Antwort unklar ist oder mehrere Personen gleichzeitig die Hand heben – dann ist das der Startpunkt. Definieren Sie eine Rolle, weisen Sie Verantwortung zu und kommunizieren Sie das im Team. Dieser eine Schritt hat mehr Wirkung als jedes neue Sicherheitstool.

Bereit, Verantwortlichkeiten in Ihrem Unternehmen zu klären?

SecuraNova unterstützt KMU in der Deutschschweiz dabei, Sicherheitsrollen zu definieren und operativ umzusetzen – pragmatisch, verständlich und passend zu Ihren Ressourcen. Nehmen Sie Kontakt auf und erfahren Sie, wie ein erster Schritt aussehen kann.

Häufig gestellte Fragen

Was ist ein CISO und braucht mein KMU einen?
Ein CISO (Chief Information Security Officer) ist die Person, die Verantwortung für die Informationssicherheit im Unternehmen trägt. Viele KMU können sich keine interne Vollzeitstelle leisten – eine externe CISO-Funktion auf Mandatsbasis ist eine bewährte Alternative, die Kosten spart und trotzdem klare Verantwortung schafft.

Was passiert, wenn keine klaren Sicherheitsrollen definiert sind?
Ohne klare Verantwortlichkeiten bleiben Sicherheitsaufgaben liegen, Risiken werden spät erkannt und im Ernstfall fehlt ein klarer Ansprechpartner. Das erhöht die Anfälligkeit für Cyberangriffe und erschwert die Einhaltung regulatorischer Vorgaben wie dem IKT-Minimalstandard.

Wie aufwendig ist die Einführung von Sicherheitsrollen in einem KMU?
Der Aufwand ist überschaubar, wenn man strukturiert vorgeht. Oft reicht es, bestehende Mitarbeitende in klar definierten Teilfunktionen einzusetzen und die Verantwortlichkeiten schriftlich festzuhalten. Externe Unterstützung hilft, den Prozess effizient zu gestalten.

Gilt das auch für kleine Unternehmen mit weniger als 50 Mitarbeitenden?
Ja. Gerade in kleinen Unternehmen ist Klarheit besonders wichtig, weil Ressourcen knapp sind. Wenn alle wissen, wer was zu tun hat, werden diese Ressourcen gezielter eingesetzt – und das Risiko sinkt messbar.