Identifizieren in der IT-Sicherheit: das richtige Fundament

Wer IT-Sicherheit wirksam aufbauen will, muss zuerst wissen, was geschützt werden muss, wovon der Betrieb abhängt und wo die grössten Risiken liegen. Genau darum geht es bei der Funktion «Identifizieren». Für Geschäftsleitung, IT-Leitung und Verwaltungsrat in KMU ist das kein technisches Detail, sondern die Grundlage für klare Entscheidungen, sinnvolle Investitionen und bessere Widerstandsfähigkeit.

Warum ist Identifizieren in der IT-Sicherheit so wichtig?

Viele Unternehmen investieren zuerst in einzelne Sicherheitsmassnahmen. Das wirkt auf den ersten Blick logisch, greift aber oft zu kurz. Ohne klare Sicht auf Systeme, Abhängigkeiten, Verantwortlichkeiten und Risiken bleibt IT-Sicherheit Stückwerk.

Die Funktion «Identifizieren» schafft diese Sicht. Sie hilft Unternehmen, ihr organisatorisches Umfeld zu verstehen und die Ressourcen zu erkennen, die für den Betrieb wirklich kritisch sind. Erst auf dieser Basis lassen sich Risiken realistisch bewerten und Massnahmen gezielt priorisieren.

Gerade in KMU ist das entscheidend. Die Mittel sind begrenzt, die internen Ressourcen oft knapp. Umso wichtiger ist es, nicht alles gleichzeitig anzugehen, sondern dort zu starten, wo der grösste geschäftliche Nutzen entsteht.

Welche Rolle spielt das Inventar Management?

Ein vollständiges und aktuelles Inventar ist ein zentraler Bestandteil der Identifikation. Wer nicht weiss, welche IT-Betriebsmittel, Softwareplattformen und Applikationen im Einsatz sind, kann Risiken kaum sauber einschätzen.

Ein gutes Inventar schafft Übersicht. Es zeigt, welche Systeme vorhanden sind, wie sie zusammenhängen und wo mögliche Schwachstellen liegen. Damit wird es einfacher, Schutzmassnahmen zu planen und Verantwortlichkeiten zu klären.

Der IKT-Minimalstandard empfiehlt in diesem Zusammenhang unter anderem:

• einen klaren Inventarisierungsprozess

• die Inventarisierung aller Softwareplattformen und Applikationen

• die Abbildung von Kommunikations- und Datenflüssen

• die Katalogisierung externer Informationssysteme

Wichtig ist dabei nicht nur die reine Erfassung. Ebenso entscheidend ist die Priorisierung der Ressourcen nach Kritikalität und Geschäftswert. Ein System, das für einen Kernprozess unverzichtbar ist, braucht eine andere Aufmerksamkeit als ein Randdienst mit geringer Bedeutung.

Wer hier sauber arbeitet, schafft die Basis für bessere Risikoanalyse, bessere Governance und bessere Entscheidungen.

Warum muss das Geschäftsumfeld verstanden werden?

IT-Sicherheit lässt sich nicht losgelöst vom Unternehmen betrachten. Wer Cyber-Risiken einschätzen will, muss verstehen, wie das Unternehmen funktioniert, welche Leistungen es erbringt und wovon der Betrieb abhängt.

Zum Geschäftsumfeld gehören zum Beispiel die Rolle des Unternehmens in der Versorgungskette, die Bedeutung als kritische Infrastruktur, die Ziele und Aktivitäten der Organisation sowie kritische Funktionen und Abhängigkeiten bei der Bereitstellung von Diensten.

Diese Sicht ist wichtig, weil ein Cybervorfall nicht einfach ein technisches Problem ist. Er kann Betriebsunterbrüche auslösen, Lieferketten beeinträchtigen oder zentrale Leistungen gefährden. Je klarer das Geschäftsumfeld beschrieben ist, desto besser lässt sich beurteilen, welche Auswirkungen ein Vorfall wirklich hätte.

Der IKT-Minimalstandard betont deshalb auch, dass Anforderungen an die Widerstandsfähigkeit in unterschiedlichen Betriebszuständen festgelegt werden müssen. Unternehmen sollten also nicht nur den Normalbetrieb betrachten, sondern auch Situationen mit Störungen, Einschränkungen oder Ausfällen.

Was bedeutet Governance im Kontext der Identifikation?

Governance sorgt dafür, dass IT-Sicherheit nicht nur Aufgabe der IT bleibt, sondern im Unternehmen verbindlich verankert wird. Sie schafft die Regeln, Zuständigkeiten und Entscheidungswege, die nötig sind, damit Sicherheitsmassnahmen Wirkung entfalten.

Ohne Governance bleibt vieles unklar: Wer trägt welche Verantwortung? Wer priorisiert Risiken? Wer entscheidet über Ressourcen? Und wer stellt sicher, dass Vorgaben eingehalten werden?

Eine wirksame Governance umfasst deshalb:

• klare und kommunizierte Vorgaben zur Informationssicherheit

• abgestimmte Rollen und Verantwortlichkeiten

• die Einhaltung gesetzlicher und regulatorischer Vorgaben

• die Einbettung von Cyber-Risiken in das unternehmensweite Risikomanagement

Gerade für Geschäftsleitung und Verwaltungsrat ist dieser Punkt zentral. Sie müssen nicht jede technische Einzelheit kennen. Sie müssen aber sicherstellen, dass Sicherheitsfragen geführt, überwacht und mit den Geschäftszielen abgestimmt werden.

Wie hilft die Risikoanalyse bei der Priorisierung?

Die Risikoanalyse übersetzt die identifizierten Informationen in konkrete Handlungsgrundlagen. Sie hilft, Schwachstellen und Bedrohungen sichtbar zu machen, deren Auswirkungen auf die Geschäftstätigkeit zu bewerten und daraus Prioritäten abzuleiten.

Das ist besonders wichtig, weil nicht jedes Risiko gleich schwer wiegt. Unternehmen müssen wissen, welche Risiken sie sofort angehen sollten, welche tragbar sind und wo Einschränkungen bestehen. Genau hier schafft eine strukturierte Risikoanalyse Klarheit.

Der IKT-Minimalstandard betont dabei die Festlegung von Prioritäten, Einschränkungen und maximal tragbaren Risiken. Zudem fordert er, dass Risikomanagementprozesse etabliert werden.

In der Praxis bedeutet das: Nicht alles wird gleichzeitig behandelt. Stattdessen wird entschieden, welche Risiken für den Geschäftsbetrieb am kritischsten sind und welche Sofortmassnahmen nötig sind. Das macht IT-Sicherheit für KMU realistischer und steuerbarer.

Warum gehört die Lieferkette ebenfalls zur Identifikation?

Viele Unternehmen konzentrieren sich bei der IT-Sicherheit auf ihre eigenen Systeme. Das reicht heute nicht mehr aus. Auch Lieferanten und Dienstleister können Risiken einbringen, die den eigenen Betrieb direkt betreffen.

Lieferketten-Risikomanagement gehört deshalb zur Identifikation dazu. Unternehmen müssen wissen, mit welchen externen Informationssystemen sie verbunden sind, welche Abhängigkeiten bestehen und welche Sicherheitsanforderungen an Dritte gestellt werden.

Der IKT-Minimalstandard fordert unter anderem:

• die Identifizierung und Bewertung von Lieferanten

• vertragliche Verpflichtungen zur Einhaltung von Sicherheitsstandards

• das Monitoring der Lieferantenleistung

• definierte Reaktions- und Wiederherstellungsprozesse

Gerade in vernetzten Umgebungen ist das ein wichtiger Punkt. Wer die Risiken in der Lieferkette früh erkennt, kann Anforderungen klarer formulieren und Überraschungen im Ernstfall reduzieren.

Wie sieht das im KMU-Alltag konkret aus?

Ein produzierendes KMU arbeitet mit mehreren Fachapplikationen, einer zentralen ERP-Lösung und externen IT-Dienstleistern. Die IT funktioniert im Alltag, aber ein vollständiges Inventar fehlt. Datenflüsse sind nur teilweise dokumentiert, und es ist nicht klar, welche Systeme für die Produktion und welche für die Administration wirklich kritisch sind.

Im ersten Schritt werden alle wesentlichen IT-Betriebsmittel, Softwareplattformen und externen Systeme erfasst. Danach werden die Kommunikations- und Datenflüsse sichtbar gemacht. Anschliessend wird bewertet, welche Ressourcen für den laufenden Betrieb besonders wichtig sind.

Erst dadurch wird klar, wo die grössten Abhängigkeiten bestehen und welche Risiken priorisiert werden müssen. Die Geschäftsleitung erhält eine verständliche Entscheidungsgrundlage, die IT-Leitung eine klare Reihenfolge für Massnahmen, und der Verwaltungsrat mehr Transparenz über geschäftskritische Risiken.

Was ist jetzt der nächste sinnvolle Schritt?

Wenn Sie die Funktion «Identifizieren» stärken wollen, beginnen Sie nicht mit einer langen Wunschliste an Massnahmen. Starten Sie mit einer einfachen Bestandsaufnahme: Welche Systeme, Anwendungen, Datenflüsse, externen Abhängigkeiten und kritischen Geschäftsprozesse sind heute wirklich bekannt und dokumentiert?

Genau diese Klarheit ist der erste konkrete Schritt zu einer wirksameren IT-Sicherheit.

Wenn Sie Ihre Ausgangslage strukturiert beurteilen und priorisierte nächste Schritte ableiten möchten, unterstützt Sie SecuraNova dabei mit verständlicher Management-Beratung und praxisnaher Sicherheitsbegleitung.

Häufig gestellte Fragen

Was bedeutet «Identifizieren» in der IT-Sicherheit?
«Identifizieren» bedeutet, das organisatorische Umfeld, die relevanten Ressourcen, Abhängigkeiten und Risiken zu verstehen. Es ist die Grundlage für alle weiteren Sicherheitsmassnahmen.

Warum ist ein Inventar so wichtig?
Weil Unternehmen nur schützen können, was sie kennen. Ein aktuelles Inventar schafft Übersicht über Systeme, Software, Datenflüsse und externe Abhängigkeiten.

Wer ist für die Identifikation verantwortlich?
Die Verantwortung liegt nicht nur bei der IT. Geschäftsleitung, IT-Leitung und je nach Organisation auch der Verwaltungsrat müssen Rollen, Prioritäten und Rahmenbedingungen mittragen.

Gehört die Lieferkette wirklich zur IT-Sicherheit?
Ja. Lieferanten und Dienstleister können direkte Risiken für den eigenen Betrieb darstellen. Deshalb müssen diese Abhängigkeiten identifiziert und bewertet werden.