Cyber-Risiken sind Chefsache
In unserer digital vernetzten Welt sind Cyber-Attacken auch für Vorsorgeeinrichtungen eine ernste Bedrohung für IT- und Geschäftsprozesse. Damit sind Cyber-Risiken auch Reputations-Risiken. Aber obwohl es keine Frage ist ob, sondern wann der Cyber-Angriff erfolgen wird, besteht bei vielen Unternehmen immer noch dringender Handlungsbedarf.
Im Mai 2022 wurde die Marktstudie «Cyber Risk Management in grösseren Schweizer Unternehmen» publiziert. Die gemeinsame Studie der Hochschule Luzern, von economiesuisse und der Mobiliar zeigt auf, dass man sich in den Unternehmensführungen den drohenden digitalen Angriffen zwar bewusst ist. Gleichzeitig werden aber Cyber-Risiken noch zu oft als reines IT-Problem behandelt. Im Ereignisfall können sich Cyber-Attacken jedoch rasch auf Geschäftsprozesse auswirken, zu Betriebsunterbrüchen und in der Folge zu Haftpflichtansprüchen führen. Es drohen Bussen, Reputationsverlust und sogar der Entzug der Betriebsbewilligung. Im schlimmsten Fall ruinieren Cyber-Angriffe ein Unternehmen.
Cyber-Risiken bewusst eingehen
Auch Vorsorgeeinrichtungen sind gefordert, die Cyber-Risiken im strategischen Risk Management adäquat einzubinden. Es gilt, zwischen der technischen Cybersicherheit, also der IT-Infrastruktur-Ebene, und dem betriebswirtschaftlichen Risk Management eine Brücke zu schlagen, damit die oberste Führungsebene Cyber- und andere Risikokategorien vergleichen und eine Priorisierung vornehmen kann. Das ist die Voraussetzung, um als Unternehmen das Ausmass der bewusst eingegangenen Cyber-Risiken definieren zu können.
Risikofaktor Mensch
Die Nutzung von Cloud-Diensten birgt ein grosses Sicherheitsrisiko. Deshalb sind beim Gang in die Cloud eine gute Planung und danach eine achtsame Nutzung zentral, um Cyber-Risiken zu reduzieren. Viele Ursachen für Cyber-Risiken liegen indes nicht im digitalen Raum. Vielmehr gründen sie auf menschlichem Fehlverhalten. In der Prävention von Cyber-Attacken wird dem Faktor Mensch jedoch häufig zu wenig Beachtung geschenkt. Hier ist ein Umdenken angezeigt. Regelmässiges Training im Umgang mit Cyber-Risiken ist ein starker Hebel, um das Bewusstsein der Mitarbeitenden im Umgang mit Cyber-Risiken zu schärfen und diese zu minimieren.
3 Tipps für den Umgang mit Cyber-Risiken
- Den Risikoappetit in Bezug auf Cyber-Risiken bestimmen. Dafür gilt es, Cyber-Risiken im Rahmen der Risk Governance ins unternehmerische Risk Management zu integrieren und in einem konsistenten Vergleich zu priorisieren.
- Den Dialog zwischen Risiko Manager und IT-(Security-)Dienstleister oder CISO fördern. Hier kann ein Versicherer als Sparring-Partner auftreten und beim Cyber Risk Management unterstützen. Ein Versicherer kann im Cyber Schadenereignis zudem mit Assistance Dienstleistungen im Bereich Business Continuity Management unterstützen.
- Den Faktor Mensch stärker berücksichtigen. Regelmässiges Informieren über Gefahrenpotenziale und das Trainieren im Umgang mit Cyber-Risiken sind ein wirksames Mittel, um Mitarbeitende zu sensibilisieren und die Gefahr von Cyber-Attacken zu mindern.
Weiterführende Informationen:
