Cyber Security im Realitätscheck: Wie compliant ist Ihr Unternehmen wirklich?

Sicherheitsmassnahmen können etabliert, Prozesse definiert und regulatorische Anforderungen bekannt sein. Entscheidend ist, ob sie in der Praxis den angestrebten Sicherheitszustand tatsächlich erreichen. Die Differenz zwischen Annahme und belegbarem Ist-Zustand wird besonders relevant, wenn neue Vorgaben, technische Veränderungen oder unternehmerische Entscheidungen eine belastbare Standortbestimmung verlangen. Gap Assessments und Audits sind deshalb besonders relevant für Unternehmen, die:

• Anforderungen aus Standards und Regulierungen wie ISO 27001, NIS2, DORA oder den IKT-Minimalstandard erfüllen müssen;

• nach einer Cloud-Migration oder Unternehmensübernahme Klarheit über ihre aktuelle Sicherheitslage brauchen;

• gegenüber Management und Auditor:innen fundierte Aussagen zur Risikolage machen müssen;

• vor einer ISO-27001-Zertifizierung ihren Reifegrad systematisch erheben.

Warum der Ist-Zustand der Cybersecurity oft trügt

Der wahrgenommene Sicherheitsstand kann vom tatsächlichen Ist-Zustand abweichen. Sicherheitsverantwortliche arbeiten mit einer mentalen Karte ihrer Organisation. Sie kennen die Systeme, die Massnahmen, die grössten Risiken. Diese Karte bildet die Realität selten vollständig ab.

Typische blinde Flecken, die ein strukturiertes Assessment aufdeckt:

• Richtlinien existieren auf Papier, werden aber im Alltag nicht konsequent gelebt.

• Zugriffsrechte wurden einmal korrekt vergeben und nach Umstrukturierungen nicht angepasst.

• Cloud-Umgebungen sind über Zeit gewachsen, ohne dass Berechtigungen und Konfigurationen systematisch nachgeführt wurden.

• Lieferanten sind tief in kritische Prozesse eingebunden, wurden aber nie auf Sicherheitsanforderungen geprüft.

• KI-Systeme wurden eingeführt, ohne die neuen Angriffsflächen systematisch zu bewerten.

Ein Blick von aussen hilft, solche blinden Flecken objektiv einzuordnen. Er ergänzt die fachliche Kompetenz interner Teams und zeigt auf, wo der tatsächliche Sicherheitsstand von der eigenen Einschätzung abweicht.

Welche Standards und Regulierungen deckt ein Gap Assessment ab?

Ein Gap Assessment kann den Ist-Zustand unter anderem mit Anforderungen aus NIS2, DORA, ISO/IEC 27001, dem Cyber Resilience Act oder branchenspezifischen Schweizer Vorgaben abgleichen. Welche davon relevant sind, hängt von Branche, Unternehmensstandort und Zielsetzung ab. Während die Bedrohungen zunehmen, wachsen die regulatorischen Vorgaben, die Organisationen berücksichtigen müssen.

• NIS2 (EU): Gilt für wesentliche und wichtige Einrichtungen in 18 Sektoren, für Schweizer Unternehmen relevant über EU-Tochtergesellschaften und Lieferkettenanforderungen.

• DORA: Gilt seit dem 17. Januar 2025 für Finanzunternehmen und deren IKT-Drittdienstleister mit konkreten Anforderungen an die digitale operationale Resilienz.

• ISO/IEC 27001:2022: Internationaler Standard für Informationssicherheits-Managementsysteme, Basis für externe Zertifizierungen.
• Cyber Resilience Act (CRA): EU-Verordnung mit Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen.
• FINMA RS 23/1 (Schweiz): Anforderungen an das Management operationeller Risiken und die operationelle Resilienz von Banken und Wertpapierhäusern, inklusive IKT- und Cyberrisiken.
• IKT-Minimalstandard (Schweiz): Empfehlung des BWL für kritische Infrastrukturen, im Strombereich über die StromVV für Netzbetreiber verbindlich erklärt.

Die Anforderungen sind komplex und entwickeln sich laufend weiter. Ein Gap Assessment macht sichtbar, welche relevanten Anforderungen bereits erfüllt sind und wo noch Lücken bestehen. Für regulierte Sektoren arbeiten wir mit dem jeweils vorgeschriebenen Rahmen, für eine offene Standortbestimmung meist mit NIST CSF 2.0.

Sie möchten wissen, welche Sicherheitslücken in Ihrer Organisation möglicherweise noch unentdeckt sind? Unsere Cyber Security Assessments schaffen eine belastbare Standortbestimmung und zeigen, wo Handlungsbedarf besteht.

Welcher Assessment-Typ passt zu Ihrer Ausgangslage?

Je nach regulatorischer, technischer oder organisatorischer Ausgangslage kommen unterschiedliche Assessment-Typen zum Einsatz. Sie bewerten die Sicherheitslage anhand der Anforderungen, die für das jeweilige Unternehmen relevant sind.

Compliance und Zertifizierung

• ISO/IEC 27001:2022 Assessment: Vorbereitung auf Erstzertifizierung oder Überprüfung eines bestehenden ISMS.

• NIS2 & DORA Compliance Assessment: Gap Assessment mit konkretem Massnahmenplan zur Erfüllung der regulatorischen Anforderungen.

• IKT-Minimalstandard Assessment: Bewertung des Reifegrads für kritische Infrastrukturen nach den Schweizer Bundesvorgaben.

Technische Sicherheitslage

• Cloud Security Assessment: Analyse der Sicherheitslage in Cloud-Umgebungen inklusive Shared-Responsibility-Bewertung, im Abgleich mit der Cloud Controls Matrix der Cloud Security Alliance.

• CIS Benchmark Assessment: Technische Bewertung von Systemkonfigurationen gegen die CIS Benchmarks als anerkannte Härtungsstandards für Betriebssysteme, Applikationen und Cloud-Plattformen.

• Zero Trust Readiness Assessment: Bewertung des aktuellen Reifegrads gegenüber einem Zero-Trust-Architekturmodell und Ableitung eines priorisierten Umsetzungspfads.

Neue Technologien

• KI Security Assessment: Bewertung von Sicherheitsrisiken im Zusammenhang mit dem Einsatz oder der Entwicklung von KI-Systemen.

Unternehmenstransaktionen

• Security Due Diligence (M&A): Systematische Bewertung der Sicherheitslage eines Zielunternehmens im Rahmen von Unternehmenstransaktionen.

Ganzheitliche Standortbestimmung

• NIST CSF 2.0 Assessment: Strukturierte Bewertung entlang der sechs Funktionen Govern, Identify, Protect, Detect, Respond und Recover.

Unser Vorgehen ist in allen Assessments konsistent: Wir erheben strukturiert, priorisieren risikobasiert und liefern Berichte, die dem Management eine belastbare Entscheidungsgrundlage geben und von technischen Teams direkt in Massnahmen übersetzt werden können.

Drei-Schritte-Checkliste: Wie läuft ein fundiertes Gap Assessment ab?

Ein fundiertes Gap Assessment läuft in drei Schritten ab: Scope und Bewertungsrahmen definieren, den Ist-Zustand erheben und die identifizierten Lücken risikobasiert in Massnahmen übersetzen. Es liefert eine strukturierte Aussage zum Sicherheitsniveau, ordnet Risiken ein und zeigt, welche Schritte zuerst Wirkung entfalten. Entscheidend ist die Übersetzung der Erkenntnisse in eine Roadmap, die Management und technische Teams gemeinsam steuern können.

1. Vorbereitung: Klare Ziele und einen präzisen Scope definieren

• Referenzrahmen definieren: Den massgebenden Standard oder das Framework für das Assessment festlegen (z. B. NIST CSF 2.0, ISO 27001, NIS2, CRA, DORA, interne Vorgaben).

• Scope klären: Welche Systeme, Prozesse und Organisationseinheiten sind einbezogen?

• Unterlagen zusammenstellen: Richtlinien, Prozessdokumentationen, technische Konfigurationen.

2. Durchführung: Ist-Zustand systematisch erheben

• Sicherheitsstatus erfassen: Interviews mit Fachverantwortlichen, um den operativen Stand der Sicherheitsmassnahmen zu erfassen.
• Ist-Zustand belegen: Dokumente prüfen und technische Analysen durchführen, um den aktuellen Stand objektiv zu verifizieren.
• Konfigurationen vertieft prüfen: Optional technische Reviews ausgewählter Konfigurationen durchführen, z. B. Active Directory, Firewall-Regelwerke oder Microsoft 365.
• Erfüllungsgrad bewerten: Erhobenen Ist-Zustand mit den Anforderungen des Referenzrahmens abgleichen und Lücken sowie erfüllte Anforderungen identifizieren.

3. Auswertung: Cyberrisiken priorisieren, Massnahmen ableiten

• Lücken priorisieren: Identifizierte Lücken anhand von Schadenspotenzial und Eintrittswahrscheinlichkeit bewerten und priorisieren.
• Massnahmenplan: Was hat hohe Priorität, was kann mittel- oder langfristig umgesetzt werden?
• Ergebnisbericht: Verständlich für die Geschäftsleitung, operationalisierbar für die technischen Teams.

Was Gap Assessments in der Praxis sichtbar machen

Solide technische Kontrollen reichen nicht aus, wenn Governance, Lieferantenmanagement oder Dokumentation hinter den wesentlichen Anforderungen zurückbleiben.

Zwei Praxisfälle zeigen, wie ein strukturierter Abgleich solche Abweichungen sichtbar macht.

Praxisfall 1: Governance-Lücken trotz solider Technik

Ein mittelgrosses Industrieunternehmen bereitete sich auf die Anforderungen der NIS2 vor. Das interne Team war gut aufgestellt, hatte über Jahre investiert und war überzeugt, die wesentlichen Anforderungen zu erfüllen. Das Assessment zeigte: Die technischen Kontrollen waren solide. Die grössten Lücken lagen in der Governance, im Lieferantenmanagement und in der Dokumentation – Bereiche, die intern als «administrativ» galten und nie priorisiert wurden. Die Lücken liessen sich vor dem Stichtag schliessen, weil sie rechtzeitig auf dem Tisch lagen.

Praxisfall 2: Sicherheitslücken bei kritischen IKT-Drittanbietern

Bei einem Finanzinstitut in der DORA-Vorbereitung lag die Lücke an anderer Stelle: Mehrere kritische IKT-Drittanbieter hatten keine vertraglichen Sicherheitsanforderungen erhalten. Der Aspekt war im bisherigen Sicherheitsmanagement schlicht nie systematisch geprüft worden. Ein strukturiertes Assessment machte diese Lücke sichtbar und damit lösbar.

Beide Fälle veranschaulichen ein Muster, das strukturierte Assessments häufig aufdecken: Auch etablierte Sicherheitsorganisationen weichen in einzelnen Bereichen von relevanten Anforderungen ab.

Fazit: Cyber Security braucht Klarheit, keine Annahmen

Ohne strukturierte Bewertung bleibt unklar, wie belastbar der angenommene Sicherheitsstand tatsächlich ist. Unternehmen verwalten dann das Bekannte – und riskieren, relevante Lücken zu übersehen.

Ein Gap Assessment gibt Sicherheitsverantwortlichen und Geschäftsleitungen die Grundlage, um fundierte Entscheidungen zu treffen:

• Wo müssen wir jetzt investieren?

• Was können wir priorisiert angehen?

• Wie weisen wir gegenüber Auditor:innen und Partnern die Erfüllung relevanter Anforderungen nachvollziehbar nach?

Unternehmen, die diese Fragen beantworten können, weisen die Erfüllung von Compliance-Vorgaben nachvollziehbar nach und bereiten sich gezielter auf den Ernstfall vor.

Sie möchten wissen, wie Ihre Cybersecurity gegenüber relevanten Standards und regulatorischen Anforderungen tatsächlich aufgestellt ist? Wir prüfen Ihre Ausgangslage, identifizieren relevante Lücken und zeigen auf, welche Massnahmen Priorität haben. Sprechen Sie mit uns unverbindlich über ein Gap Assessment. 

Keine relevanten Entwicklungen in der Cyber Security mehr verpassen? Unsere Blog-Updates liefern Ihnen regelmässig fundierte Einordnungen zu neuen Cyberbedrohungen, aktuellen Sicherheitsrisiken und wichtigen Trends direkt in Ihr Postfach.

Bildlegende: mit KI generiertes Bild