Durch die neuen Vorschriften zur Cybersicherheit, insbesondere im Zuge der NIS-2-Richtlinie, wird das wirksame Umsetzen von Risikomanagementmaßnahmen gefordert. Diese Wirksamkeit über die erreichte Cybersicherheitspraxis muss überprüfbar sein und ist innerhalb der Lieferkette ausdrücklich nachzuweisen.
In der Praxis gelingt dies am besten über nachvollziehbare Key Performance Indikatoren (KPI), da ein Informations-Sicherheits-Management-System (ISMS) sowieso anhand von Kriterien gesteuert werden muss, die das Erreichen gesetzter Ziele belegen. Gleichzeitig lässt sich ein höherer Reifegrad nur erreichen, wenn aussagekräftige KPI ermittelt, möglichst automatisiert gemessen und regelmäßig überwacht werden. Doch wo setzt man zweckmäßigerweise an, um sich nicht heillos in einer Vielzahl einzelner Kennzahlen zu verzetteln?
Die Bedeutung solcher Kennzahlen nimmt aktuell zu. Regulatorische Anforderungen greifen stärker in Sicherheitsprozesse, Governance-Strukturen und Technologieentscheidungen ein. Unternehmen stehen damit vor der Herausforderung, nicht nur Sicherheitsmaßnahmen umzusetzen, sondern deren Wirksamkeit gegenüber Kunden, Aufsichtsbehörden und Geschäftspartnern nachweisbar darstellen zu können. Die Frage lautet daher immer seltener „Sind Maßnahmen vorhanden?“ und immer häufiger „Können wir ihre Wirksamkeit belegen?“.
Cybersecurity-KPI richtig definieren: Darauf kommt es an
Sinnvolle KPI bekommt man erfahrungsgemäß nur, wenn man folgenden Ansatz berücksichtigt:
- Wähle nur etwas als Kennzahl aus, das eine eindeutige Aussage über das Erreichen wichtiger Ziele liefert und objektiv, d.h. mit reproduzierbaren Ergebnissen, gemessen werden kann.
- Formuliere nur dann eine Kennzahl, wenn deren Messung tatsächlich eine Rückmeldung über erforderliche Korrekturmaßnahmen
- Berücksichtige bei der Auswahl von Kennzahlen, wer Empfänger einer Kennzahl sein soll und ob diese zu einem relevanten Erkenntnisgewinn führt.
- Eine Kennzahl ist nur glaubwürdig, wenn der Empfänger den Eindruck hat, dass er dessen Erhebung bei Bedarf (und ggf. über einen eingesetzten Dritten) überprüfen und damit den ausgewiesenen Wert verifizieren könnte.
Durch gezielte Verdichtung von Kennzahlen, etwa mittels Korrelation oder Verknüpfung verschiedener Messwerte, entsteht schließlich ein KPI.
In der Praxis zeigt sich jedoch, dass Unternehmen zu viele Kennzahlen sammeln und dadurch den Überblick verlieren. Entscheidend ist nicht die Anzahl, sondern die Aussagekraft. Ein KPI sollte immer eine konkrete Frage beantworten können, beispielsweise ob kritische Systeme ausreichend geschützt sind, ob Sicherheitsmaßnahmen nachhaltig wirken oder ob bestehende Risiken tatsächlich reduziert werden konnten. Nur dann entsteht ein belastbarer Mehrwert für Management und operative Teams.
ISO 27001: Anforderungen an Cybersecurity-KPI und Messbarkeit
Nach Abschnitt 6.1.1 der ISO/IEC 27001 ist sicherzustellen, dass das ISMS beabsichtigte Ergebnisse erzielt, die wiederum nach Abschnitt 6.2 messbar festgelegt worden sind und deren Einhaltung überwacht wird. Bereits bei der Planung ist zu bestimmen, wie die Ergebnisse bewertet werden. Die Steuerung der ISMS-Prozesse erfolgt auf Basis festgelegter Kriterien, sodass darauf vertraut werden kann, dass die Prozesse wie geplant durchgeführt werden.
Es geht hier also um Vertrauen. Genauer gesagt um das Vertrauen darin, dass Erfordernisse und Erwartungen interessierter Parteien zuverlässig durch das ISMS erfüllt werden. Dazu gehören gesetzliche und regulatorische Vorgaben ebenso wie vertragliche Verpflichtungen. Oder anders ausgedrückt: Es geht um Vertrauen darin, dass relevante Anforderungen zur Cybersicherheit nachvollziehbar durch das ISMS erfüllt werden.
In Abschnitt 9.1 fordert die Norm darüber hinaus, dass Überwachungs- und Messverfahren gültige, vergleichbare und reproduzierbare Ergebnisse liefern. Hierzu muss es eine dokumentierte Information geben, d.h. eine Dokumentation mit Lenkung und Freigabe.
Gerade dieser Aspekt gewinnt durch neue regulatorische Anforderungen weiter an Bedeutung. Dokumentierte Nachweise dienen nicht mehr ausschließlich internen Audits, sondern werden zunehmend zur Grundlage für Compliance-Prüfungen, Lieferantenbewertungen und regulatorische Nachweispflichten. Damit wird die Fähigkeit, aussagekräftige Kennzahlen nachvollziehbar zu erheben, zu einem zentralen Bestandteil moderner Security-Governance.
NIS2-Anforderungen: Welche Cybersecurity-KPI Unternehmen benötigen
Um Risiken für die Sicherheit der Netz- und Informationssysteme beherrschen zu können,
- müssen Auswirkungen von Sicherheitsvorfällen möglichst gering gehalten werden durch Prävention, Fokussierung auf realistische Szenarien samt Einübung zugehöriger Reaktion und effektive Früherkennung handlungsrelevanter Vorgänge;
- ist die Aufrechterhaltung eines ausreichenden Betriebs gerade unter erschwerten Bedingungen nötig, mit denen Murphy’s Law gebührend Rechnung getragen wird;
- sind relevante Input-Faktoren wie Lieferkette und Schwachstellen eingesetzter Netz- und Informationssysteme zu kontrollieren, um eine „stille“ Weiterleitung von Gefährdungen auf Nutzer und Empfänger möglichst zu vermeiden;
- sind gängige Praktiken und Prinzipien aus dem Bereich der sog. „Cyberhygiene“ einzuhalten wie rechtzeitige & zielgerichtete Updates, angemessener Schutz von Zugängen, zuverlässige Datensicherung, wirksame Abschottung (durch Netzsegmentierung, Härtung und Zero-Trust-Grundsatz) und Erkennen ungewöhnlicher Vorgänge.
Es empfiehlt sich daher, zu diesen vier Bereichen KPI abzuleiten, um eine valide Rückmeldung über den „Gesundheitszustand“ der eigenen Netz- und Informationssysteme zu erhalten. Zweckmäßigerweise liegt der Schwerpunkt dabei auf den Systemen, die maßgeblich für die eigene Wertschöpfung sind.
Von Kennzahlen zu belastbaren Sicherheitsentscheidungen
Ein einzelner Messwert liefert selten ein vollständiges Bild. Erst im Zusammenspiel verschiedener Kennzahlen wird sichtbar, ob Sicherheitsmaßnahmen tatsächlich wirken und welche Risiken weiterhin bestehen.
So kann beispielsweise die Quote erfolgreich geschlossener Schwachstellen mit der Anzahl kritischer Angriffspfade kombiniert werden. Ebenso kann die Verfügbarkeit von Notfallmaßnahmen gemeinsam mit Wiederherstellungstests bewertet werden. Aus mehreren Kennzahlen entsteht dadurch ein KPI, der eine wesentlich aussagekräftigere Bewertung ermöglicht als isolierte Einzelwerte.
Genau dieser Übergang von einzelnen Messwerten hin zu einer ganzheitlichen Bewertung wird künftig immer stärker gefragt sein, wenn Unternehmen den Reifegrad ihrer Cybersicherheit belastbar darstellen möchten.
Praxisbeispiel: Cyberresilienz mit KPI messen
Ein ISMS ist gegenüber Sicherheitsvorfällen resilient, wenn es gegenüber relevanten, nur schwer vorhersehbaren und sich u.U. rasch verändernden Gefährdungen widerstandsfähig ist und einen ausreichenden Schutz durch zuverlässige und stabil laufende Netz- und Informationssysteme erreicht.
Die hierzu benötigte Widerstandsfähigkeit lässt sich daran messen, ob nachweislich jeder Zugang zu den wertschöpfungskritischen Netz- und Informationssystemen einem Kontrollmechanismus unterliegt, der ausdrücklich gewährt wird, also z.B. mittels dedizierter Jump-Hosts bzw. Netzbereiche unter Einsatz von Multi-Faktor-Authentifizierung. Ersteres kann beispielsweise technisch durch Verfolgung möglicher Angriffspfade bewertet werden, etwa mittels automatisierten Attack-Path-Managements, Continuous Threat Exposure Management oder External Attack Surface Management. Die jeweiligen Hersteller lassen sich hierzu immer mal wieder neue Bezeichnungen einfallen, rekurrieren aber letztlich allesamt darauf, ob relevante Angriffspfade ausreichend adressiert worden sind.
In diesem Fall könnte eine aussagekräftige Kennzahl sein, welche Abdeckung durch betreffende technische Lösung aktuell erreicht worden ist. Anbieter betreffender technischer Lösungen bieten hierzu entsprechende Vergleichswerte, so dass recht einfach abgelesen werden kann, ob ein höherer Handlungsbedarf besteht, um einen besseren Wert erreichen zu können. Da meist eine Prozentzahl als Ergebnis dargestellt wird, ist die Kennzahl durch die Empfänger ausreichend einfach zu interpretieren. Bei der Verifikation geht es hierbei vor allem darum, ob ggf. eine wichtige Verbindung versehentlich nicht einbezogen worden ist, die damit zweckmäßigerweise in der nächsten Auswertungsrunde einzubeziehen ist.
Die ebenfalls benötigte Robustheit lässt sich wiederum daran messen, ob für das Netz- oder Informationssystem ein sog. Golden Image zur Verfügung steht, welches auf Basis automatisierter Tests nachweislich fehlerfrei ist und eine ausreichend funktionstüchtige Basis als Fail-Safe-Mechanismus für Serversysteme liefert. Hier bieten Source Code Analyzer, die auf gängige Secure Coding Guidelines und Hardening Guidelines referenzieren, eine gute Basis für eine aussagefähige Kennzahl. Auch hier resultiert am Ende faktisch ein ausgewiesener Umsetzungsgrad, der etwaig bestehenden Handlungsbedarf verdeutlicht.
Beide Kennzahlen zusammen liefern schließlich einen aussagekräftigen KPI zur erreichten Cyberresilienz. Genau darin liegt der eigentliche Nutzen moderner KPI: Sie verdichten komplexe technische Zusammenhänge zu nachvollziehbaren Entscheidungsgrundlagen für Management, Auditoren und Aufsichtsbehörden.
Compliance und NIS2-Reifegrad messbar machen
Selbstverständlich kann auch die Compliance zu Anforderungen der Cybersicherheit mittels KPI ausgewiesen werden. Dies geschieht beispielsweise im Rahmen der NIS2 Assessments. Dadurch erfährt man schnell, übersichtlich, handlungsanleitend und zielgenau, an welchen Stellschrauben prioritär gedreht werden sollte, um einen höheren Vertrauensgrad erreichen zu können. Ganz nach dem Motto „Tue Gutes und berichte darüber“ lässt sich dies wiederum vertrauensbildend etwaigen interessierten Parteien vorlegen.
Der ermittelte Cyber Security Score zur NIS2 Compliance zeigt dabei an, wie weit man bereits bei der Implementierung zur NIS2-Regulierung fortgeschritten ist. Ergänzend wird im Rahmen des NIS2 Assessments ausgewiesen, welcher Umsetzungsgrad hinsichtlich Governance, Stand der Technik und gefahrenübergreifendem Ansatz erreicht worden ist. Und das ist genau das, was man zur Vermittlung ausreichenden Vertrauens letztlich braucht.
Für Branchen, die gar der NIS2-Durchführungsverordnung 2024/2690 unterliegen, gehen wir bei unseren NIS2 Assessments sogar noch einen Schritt weiter: Hier wurden durch den Gesetzgeber präzise Vorgaben umzusetzender Maßnahmen erlassen. Damit können wir entsprechenden Einrichtungen dieser Branchen eine detaillierte Rückmeldung über den erreichten Umsetzungsgrad aufbauend zur Basis aus dem allgemeinen NIS2 Assessment geben. Für weitere Branchen hat die Europäische Kommission bereits vergleichbare Rahmenvorgaben angekündigt. Wir verfolgen das konsequent.
Wie unterstützt SITS beim Aufbau aussagekräftiger Cybersecurity-KPI?
Aussagekräftige KPI entstehen nicht durch möglichst viele Kennzahlen, sondern durch die richtige Auswahl, Bewertung und kontinuierliche Weiterentwicklung relevanter Messgrößen. Genau hier unterstützt SITS Unternehmen bei der Einführung, Ausrichtung und Optimierung von KPI für Cybersicherheit, Compliance und Governance.
Mit unserer Erfahrung aus den Bereichen Compliance Management, ISMS, NIS2-Assessments und Security Assessments helfen wir Unternehmen dabei, messbare Sicherheitsziele zu definieren, geeignete Kennzahlen abzuleiten und daraus belastbare KPI für Management, Auditoren und Aufsichtsbehörden zu entwickeln. Dabei stehen nicht möglichst viele Reports im Fokus, sondern Kennzahlen, die tatsächlich steuerungsrelevante Erkenntnisse liefern.
Unsere Expertinnen und Experten unterstützen dabei, Sicherheitsanforderungen, regulatorische Vorgaben und operative Sicherheitsmaßnahmen in ein nachvollziehbares Steuerungsmodell zu überführen. So entsteht ein Ansatz, der Compliance, Risikomanagement und praktische Umsetzbarkeit miteinander verbindet. Denn letztlich geht es nicht nur darum, Cybersicherheit umzusetzen, sondern deren Wirksamkeit auch belastbar nachweisen zu können.
Möchten Sie erfahren, welche KPI für Ihre Organisation wirklich aussagekräftig sind und wie sich der Reifegrad Ihrer Cybersicherheit messbar darstellen lässt?
Unsere Expertinnen und Experten unterstützen Sie dabei, die richtigen KPIs festzulegen, Risiken zu bewerten und eine sichere, nachhaltige Security-Strategie aufzubauen.
Wie verändert sich Cybersicherheit bis 2030?
Viele Unternehmen erfassen bereits Kennzahlen zur Cybersicherheit. Die entscheidende Frage ist aber: Reichen diese aus, um regulatorische Anforderungen, Audits und Governance-Vorgaben künftig belastbar nachzuweisen?
Unsere CxO Security Agenda 2030 zeigt, welche Themen Europas Sicherheitsverantwortliche aktuell priorisieren und welche Veränderungen sie bis 2030 erwarten. Neben NIS2 und Compliance stehen insbesondere Nachweisbarkeit, digitale Souveränität und KI-Governance im Fokus.
Häufige Fragen zu Cybersecurity-KPI
Ein Cybersecurity-KPI ist eine verdichtete Kennzahl, die zeigt, in welchem Umfang ein relevantes Sicherheitsziel erreicht wird. Dafür können mehrere operative Messwerte miteinander verknüpft werden. Ein guter KPI liefert eine klare Aussage, basiert auf objektiv erhobenen Daten und macht notwendigen Handlungsbedarf sichtbar.
Für NIS2 sind vor allem KPI zu Sicherheitsvorfällen, Cyberresilienz, Business Continuity, Schwachstellenmanagement, Lieferkettenrisiken und Cyberhygiene relevant. Welche Kennzahlen ein Unternehmen benötigt, hängt von seinem Risikoprofil, den kritischen Systemen und der regulatorischen Betroffenheit ab.
Es gibt keine allgemeingültige Anzahl. Sinnvoll ist eine begrenzte Auswahl, die alle wesentlichen Sicherheitsziele abdeckt und für die jeweiligen Empfänger relevant bleibt. Zu viele Kennzahlen erschweren die Priorisierung. Zu wenige Kennzahlen können dazu führen, dass kritische Risiken oder Abhängigkeiten nicht sichtbar werden.
Die Aussagekraft lässt sich prüfen, indem Datenquelle, Messmethode, Messintervall und Verantwortlichkeit dokumentiert werden. Das Ergebnis sollte reproduzierbar sein und über mehrere Bewertungszeiträume hinweg verglichen werden können. Zusätzlich ist zu kontrollieren, ob alle relevanten Systeme, Prozesse und Verbindungen in die Messung einbezogen wurden.
