Unternehmen in Deutschland überschätzen ihre Compliance-Reife

Unternehmen in Deutschland überschätzen ihre Compliance-Reife.

Viele Unternehmen in Deutschland überschätzen ihre Compliance-Reife. Zwar bewerten 72 Prozent der befragten CEOs, Geschäftsführer und Inhaber die Nachweisfähigkeit ihres Unternehmens als gut. Als ausgereift und vollständig compliant sehen ihre Organisation jedoch nur 16 Prozent. Zugleich bestätigen 71 Prozent, dass einzelne Sicherheitslösungen ohne klar definierte Prozesse, Dokumentation, Monitoring und Verantwortlichkeiten nicht ausreichen.

Zusammenfassung (TL; DR):

• Nur 16 Prozent der Geschäftsführer bewerten ihr Unternehmen als vollständig compliant.
• 58 Prozent sind sich unsicher, was Compliance in Bezug auf Cybersicherheit konkret umfasst.
• Neuer Kaspersky-Report „Cyber-Compliance in DACH: Wie Unternehmen Cybersicherheit nachweisen, steuern und weiterentwickeln“ zeigt Status quo in Sachen Compliance und Haftung.

Compliance-Reife: 3/4 aller CEOs sehen sich gut aufgestellt

Viele Unternehmen in Deutschland überschätzen ihre Compliance-Reife. Zwar bewerten 72 Prozent der befragten CEOs, Geschäftsführer und Inhaber die Nachweisfähigkeit ihres Unternehmens als gut. Als ausgereift und vollständig compliant sehen ihre Organisation jedoch nur 16 Prozent. Zugleich bestätigen 71 Prozent, dass einzelne Sicherheitslösungen ohne klar definierte Prozesse, Dokumentation, Monitoring und Verantwortlichkeiten nicht ausreichen. Diese Ergebnisse gehen aus der aktuellen Kaspersky-Umfrage „Cyber-Compliance in DACH: Wie Unternehmen Cybersicherheit nachweisen, steuern und weiterentwickeln“ in Deutschland, Österreich und der Schweiz hervor.

Viele Geschäftsführer haben die zentralen Bausteine von Cyber-Compliance bereits im Blick. Sie kennen technische Schutzmaßnahmen, Datenschutzvorgaben und die Anforderungen an Umsetzung, Dokumentation und regelmäßige Überprüfung. Das schafft Vertrauen – insbesondere dann, wenn sich zu einzelnen Maßnahmen konkrete Belege vorlegen lassen. So wissen jeweils 71 Prozent der Befragten in Deutschland, dass sie technische Schutzmaßnahmen beziehungsweise Datenschutzmaßnahmen einsetzen müssen. Jeweils 69 Prozent fühlen sich mit den relevanten gesetzlichen Vorgaben wie DSGVO oder NIS-2 sowie den Anforderungen an Umsetzung, Dokumentation und regelmäßige Überprüfung vertraut.

Der Compliance-Confidence-Gap und die Unsicherheit bezüglich Compliance und Cybersicherheit

Es offenbart sich jedoch ein sogenannter Compliance-Confidence-Gap: Denn das Vertrauen in die eigenen Nachweise ist deutlich größer als der Anteil an Unternehmen, die sich als vollständig compliant einstufen. Gerade das Wissen über einzelne Bausteine kann ein zu positives Gesamtbild vortäuschen. Verständnis sichert noch keine Umsetzung, und ein vorhandener Nachweis ist noch kein Beleg für die Reife des gesamten Compliance-Systems.

Eine vorhandene Firewall, dokumentierte Backups oder absolvierte Schulungen belegen zunächst nur, dass bestimmte Maßnahmen umgesetzt wurden. Sie sagen noch nichts darüber aus, ob die Maßnahmen vollständig sind, zu den individuellen Risiken des Unternehmens passen, regelmäßig auf ihre Wirksamkeit geprüft werden und eindeutig verantwortet werden. Unternehmen vertrauen häufig auf Einzelnachweise und überschätzen dadurch möglicherweise die Reife ihres gesamten Compliance-Systems.

So sind 64 Prozent überzeugt, hinreichend belegen zu können, dass geeignete Cybersicherheitsmaßnahmen umgesetzt, dokumentiert und regelmäßig überprüft werden. Auf die direkte Frage nach der Qualität ihrer Nachweise bewerten sogar 72 Prozent ihre Situation als gut. Gleichzeitig zeigt sich eine bemerkenswerte Unsicherheit: 58 Prozent der Befragten sind sich nicht sicher, was Compliance in Bezug auf Cybersicherheit konkret umfasst, und nur 16 Prozent bezeichnen ihr Unternehmen als ausgereift und vollständig compliant.

Ohne ein klares Gesamtverständnis lässt sich nur schwer beurteilen, ob vorhandene Nachweise tatsächlich alle relevanten Anforderungen und Risiken abdecken. 57 Prozent der Befragten sehen ihre Organisation zwar bereits als fortgeschritten an, räumen aber weiterhin Lücken ein. Weitere 19 Prozent befinden sich noch in der Entwicklung und 6 Prozent erst in der Planung. Damit erreichen insgesamt 85 Prozent nach eigener Einschätzung noch nicht die höchste Reifestufe.

Diskrepanzen ernst nehmen

Die Diskrepanzen machen deutlich, worin die eigentliche Herausforderung liegt: Unternehmen verstehen bereits viele Einzelteile und trauen sich zu, diese nachweisen zu können, verbinden sie aber noch nicht durchgängig zu einem belastbaren Gesamtsystem. Dass technische Einzellösungen dafür nicht genügen, ist den meisten Verantwortlichen durchaus bewusst. 71 Prozent bestätigen, dass Sicherheitslösungen ohne klar definierte Prozesse, Dokumentation, Monitoring und Verantwortlichkeiten nicht ausreichen.

„Für Geschäftsführungen ist entscheidend, aus einzelnen Nachweisen ein belastbares Gesamtbild zu gewinnen. Sie müssen nachvollziehen können, welche Anforderungen relevant sind, wie diese umgesetzt werden, wer Verantwortung trägt und ob die Maßnahmen regelmäßig überprüft werden. Erst diese Transparenz schafft die Grundlage, Cyber-Compliance aktiv zu steuern und bestehende Lücken gezielt zu schließen. Dafür müssen Prävention, Erkennung und Reaktion ebenso zusammenspielen wie der Aufbau von Know-how, eine nachvollziehbare Dokumentation und belastbare Nachweise“, kommentiert Waldemar Bergstreiser, General Manager DACH bei Kaspersky und Geschäftsführer Kaspersky Labs.

Häufige Fragen (FAQ)