Wann ist der richtige Zeitpunkt für eine Security Strategie?

Wann sollte ich meine Security Strategie überarbeiten?

_Ein typischer Auslöser ist ein sogenannter Aha-Effekt, der mehrere Stakeholder betrifft – zum Beispiel durch überraschende Ergebnisse aus Audits, sei es bei einem Penetrationstest oder einem Zertifizierungsaudit. Auch neue Business-Anforderungen können eine strategische Neubewertung erforderlich machen – etwa wenn besonders schützenswerte Daten neu verarbeitet werden oder Prozesse automatisiert werden sollen.

Beispiele für solche Auslöser sind:

• Automatisierung von Prozessen mit neuen IT- und OT-Systemen

• Einsatz von Künstlicher Intelligenz in Entscheidungsprozessen

• Verarbeitung sensibler Daten wie Gesundheits- oder Standortinformationen

• Neuer Geschäftsbereich oder Geschäftsmodell

• Führungswechsel

• Fusionen und Übernahmen

Gibt es auch externe Faktoren?

_Ja, einschneidende Ereignisse in der Umgebung des Unternehmens sind ebenfalls Anlass zur Neubewertung – etwa:

• Medienberichte über Cyberangriffe bei Mitbewerbern
• Neue gesetzliche Rahmenbedingungen (z. B. nDSG, ISG, NIS2, CRA)
• Externe Bedrohungen wie Terroranschläge, Pandemien, Lieferkettenprobleme
• Schwere Cybervorfälle (z. B. Ransomware, Datenabfluss)

Und nicht zuletzt: der technische Fortschritt.

Wie wirkt sich technischer Fortschritt auf die Strategie aus?

_Manche Strategien werden schlicht überholt. Neue Technologien oder Paradigmen verändern die Anforderungen an die Sicherheitsarchitektur grundlegend. Beispiele aus den letzten Jahren:

• Verbreitung von KI-gestützten Tools
• Zero Trust Enterprise Architecture
• Konsolidierung zu SASE
• Fortschritte bei Quantencomputern

Aber auch Angreifer nutzen neue Technologien. Daher braucht es strategische Antworten wie:

• Phishing-resistente Anmeldeverfahren
• Privileged Access Management
• Security für OT- und IoT-Umgebungen
• Business Continuity Planning

Viele IT-Verantwortliche sagen, sie hätten eine Strategie „im Kopf“. Reicht das nicht aus?

_Als CISO oder CIO habe ich natürlich eine Vorstellung für die nächsten drei bis fünf Jahre. Aber Strategien im Kopf funktionieren in der Praxis kaum, weil sie im Team nicht deckungsgleich sind. Der Firewall-Experte setzt andere Prioritäten als der Backup-Spezialist, und Geschäftsleitung oder Verwaltungsrat haben nochmals andere Erwartungen.

Eine formell verfasste und verabschiedete Strategie zur Informations- und ICT-Sicherheit bringt alle Beteiligten an einen Tisch. Sie fördert Konsens, ermöglicht ein koordiniertes Vorgehen und vermeidet Zielkonflikte. Eine gute Strategie priorisiert Massnahmen nach rechtlichen Anforderungen, Risiken, technischen Abhängigkeiten sowie zeitlichen und finanziellen Ressourcen – und ordnet sie auf einer realistischen Zeitachse.

Welchen Zeitraum sollte eine Security Strategie abdecken?

_Es gibt keinen fixen Zeitraum – die Strategie sollte dynamisch und anpassungsfähig sein. Dennoch reicht es nicht, nur für ein Jahr zu planen.

Praktisch hat sich ein Planungshorizont von 3 bis 7 Jahren bewährt. Für diesen Zeitraum legt man die strategischen Ziele fest, mit einem Massnahmenplan pro Jahr. Die konkrete Detailplanung erfolgt dann jährlich, im Rahmen der umzusetzenden Projekt-Streams.