Cyber-Resilienz (zu Deutsch: Cyber-Widerstandsfähigkeit) bezeichnet die Fähigkeit einer Organisation, sich auf Cybervorfälle und andere IT-bezogene Störungen vorzubereiten, deren Auswirkungen zu begrenzen, kritische Geschäftsprozesse aufrechtzuerhalten und den Geschäftsbetrieb nach einer Störung kontrolliert wiederherzustellen. Mögliche Ursachen sind beispielsweise Cyberangriffe, Systemausfälle, menschliche Fehler, Ausfälle von Dienstleistern, Stromausfälle oder Naturereignisse.

Abgrenzung zur klassischen IT-Sicherheit

In der Praxis werden IT-Sicherheit (Cyber Security) und Cyber-Resilienz oft miteinander vermischt, obwohl sie unterschiedliche Schwerpunkte setzen und sich gleichzeitig ergänzen:

• IT-Sicherheit umfasst technische und organisatorische Maßnahmen zum Schutz von Informationen, IT-Systemen und digitalen Geschäftsprozessen. Maßnahmen wie Firewalls, Antiviren- beziehungsweise Endpoint-Security-Lösungen, Verschlüsselung oder Zugriffskontrollen dienen dazu, Sicherheitsvorfälle zu verhindern beziehungsweise deren Wahrscheinlichkeit und Auswirkungen zu reduzieren. Darüber hinaus umfasst IT-Sicherheit auch die Erkennung und Behandlung von Sicherheitsvorfällen.
• Cyber-Resilienz geht über die reine Prävention hinaus und berücksichtigt, dass Sicherheitsvorfälle und Störungen trotz geeigneter Schutzmaßnahmen nicht vollständig ausgeschlossen werden können. Deshalb werden neben präventiven Maßnahmen insbesondere Fähigkeiten zur Erkennung, Reaktion, Aufrechterhaltung kritischer Geschäftsprozesse und Wiederherstellung berücksichtigt.

Vereinfacht gesagt: IT-Sicherheit stellt unter anderem die Frage: „Wie können wir Sicherheitsvorfälle verhindern oder ihre Wahrscheinlichkeit reduzieren?“ Cyber-Resilienz ergänzt dies um die Frage: „Wie bleibt die Organisation bei einem Sicherheitsvorfall handlungsfähig, begrenzt dessen Auswirkungen und stellt ihre kritischen Geschäftsprozesse und Systeme kontrolliert wieder her?“

Die Kernsäulen einer resilienten IT-Strategie

Eine widerstandsfähige IT-Infrastruktur beschränkt sich nicht auf Technik, sondern umfasst einen ganzheitlichen Ansatz aus Prozessen, Menschen und Systemen. Ein etablierter Orientierungsrahmen ist beispielsweise das NIST Cybersecurity Framework (CSF) 2.0. Es strukturiert das Management von Cyberrisiken anhand von sechs Funktionen: Govern, Identify, Protect, Detect, Respond und Recover.

• Steuern (Govern): Festlegung von Strategien, Verantwortlichkeiten, Richtlinien und Rahmenbedingungen für das Management von Cyberrisiken sowie Berücksichtigung von Risiken innerhalb der Lieferkette.
• Identifizieren (Identify): Ermittlung geschäftskritischer Prozesse, Informationen, IT-Systeme, Abhängigkeiten und Cyberrisiken als Grundlage für geeignete Schutz- und Resilienzmaßnahmen.
• Schützen (Protect): Umsetzung angemessener technischer und organisatorischer Sicherheitsmaßnahmen zur Reduzierung von Risiken und Auswirkungen möglicher Sicherheitsvorfälle. Dazu gehören beispielsweise die Härtung von IT-Systemen, geeignete Zugriffskontrollen und Sicherheitskonzepte wie Zero-Trust-Architekturen.
• Erkennen (Detect): Kontinuierliche Überwachung sowie geeignete Verfahren, um Anomalien und Sicherheitsvorfälle frühzeitig zu erkennen und mögliche Auswirkungen zu begrenzen. Hierzu können beispielsweise Server- und Netzwerk-Monitoring sowie weitere Verfahren zur Sicherheitsüberwachung eingesetzt werden.
• Reagieren (Respond): Vorab definierte und regelmäßig überprüfte beziehungsweise getestete Incident-Response- und Notfallprozesse, um auf Sicherheitsvorfälle angemessen zu reagieren, betroffene Systeme zu isolieren und Auswirkungen zu begrenzen.
• Wiederherstellen (Recover): Etablierte Business-Continuity- und Disaster-Recovery-Konzepte sowie geeignete Backup- und Wiederherstellungsverfahren, um Daten, IT-Systeme und kritische Geschäftsprozesse innerhalb festgelegter Anforderungen wiederherzustellen.

Cyber-Resilienz, Compliance und ISO/IEC 27001

Cyber-Resilienz steht in engem Zusammenhang mit Informationssicherheitsmanagement, Risikomanagement, Business Continuity und IT-Compliance. Ein Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001 unterstützt Organisationen dabei, Informationssicherheitsrisiken systematisch zu identifizieren, zu bewerten und zu behandeln. Im Zusammenhang mit Cyber-Resilienz sind insbesondere die Informationssicherheit bei Störungen und die IKT-Bereitschaft für Business Continuity von Bedeutung.

Eine ISO/IEC-27001-Zertifizierung ist dabei kein pauschaler Nachweis vollständiger Cyber-Resilienz oder regulatorischer Compliance, schafft jedoch einen strukturierten Rahmen für das Management und die kontinuierliche Verbesserung der Informationssicherheit.

Unternehmerischer Nutzen und regulatorische Anforderungen

In Zeiten zunehmender Cyberbedrohungen ist Cyber-Resilienz keine reine IT-Aufgabe mehr, sondern ein wichtiger Bestandteil der Unternehmenssteuerung. Längere Ausfallzeiten können erhebliche wirtschaftliche Auswirkungen verursachen und das Vertrauen von Kunden und Geschäftspartnern beeinträchtigen.

Gleichzeitig erhöhen regulatorische Anforderungen den Handlungsdruck. Für von NIS-2 betroffene Einrichtungen gehören Maßnahmen zur Aufrechterhaltung des Betriebs, darunter Backup-Management, Wiederherstellung nach Notfällen und Krisenmanagement, zu den wesentlichen Anforderungen.

Der Aufbau einer widerstandsfähigen IT erfordert das abgestimmte Zusammenspiel von Backup- und Wiederherstellungsstrategien, Notfallprozessen, Monitoring und geeigneten Sicherheitsmaßnahmen. Dabei unterstützt MR Datentechnik Unternehmen mit fachlicher Beratung und geeigneten IT- und Sicherheitslösungen.