{"id":34518,"date":"2026-08-14T14:07:22","date_gmt":"2026-08-14T12:07:22","guid":{"rendered":"https:\/\/sits.com\/?p=34518"},"modified":"2026-08-14T14:07:22","modified_gmt":"2026-08-14T12:07:22","slug":"cybersecurity-kpi-sicherheit-messbar-machen","status":"publish","type":"post","link":"https:\/\/sits.com\/ch\/blog\/cybersecurity-kpi-sicherheit-messbar-machen\/","title":{"rendered":"Cybersecurity-KPI: Sicherheit messbar machen"},"content":{"rendered":"

[vc_row][vc_column][vc_column_text]Durch die neuen Vorschriften zur Cybersicherheit, insbesondere im Zuge der NIS-2-Richtlinie<\/a>, wird das wirksame Umsetzen<\/strong> von Risikomanagementma\u00dfnahmen gefordert. Diese Wirksamkeit \u00fcber die erreichte Cybersicherheitspraxis muss \u00fcberpr\u00fcfbar sein und ist innerhalb der Lieferkette<\/a> ausdr\u00fccklich nachzuweisen.<\/p>\n

In der Praxis gelingt dies am besten \u00fcber nachvollziehbare Key Performance Indikatoren<\/strong> (KPI), da ein Informations-Sicherheits-Management-System<\/a> (ISMS) sowieso anhand von Kriterien gesteuert werden muss, die das Erreichen gesetzter Ziele belegen. Gleichzeitig l\u00e4sst sich ein h\u00f6herer Reifegrad nur erreichen, wenn aussagekr\u00e4ftige KPI ermittelt, m\u00f6glichst automatisiert gemessen und regelm\u00e4\u00dfig \u00fcberwacht werden. Doch wo setzt man zweckm\u00e4\u00dfigerweise an, um sich nicht heillos in einer Vielzahl einzelner Kennzahlen zu verzetteln?<\/p>\n

Die Bedeutung solcher Kennzahlen nimmt aktuell zu. Regulatorische Anforderungen greifen st\u00e4rker in Sicherheitsprozesse, Governance-Strukturen und Technologieentscheidungen ein. Unternehmen stehen damit vor der Herausforderung, nicht nur Sicherheitsma\u00dfnahmen umzusetzen, sondern deren Wirksamkeit gegen\u00fcber Kunden, Aufsichtsbeh\u00f6rden und Gesch\u00e4ftspartnern nachweisbar darstellen zu k\u00f6nnen. Die Frage lautet daher immer seltener \u201eSind Ma\u00dfnahmen vorhanden?\u201c und immer h\u00e4ufiger \u201eK\u00f6nnen wir ihre Wirksamkeit belegen<\/a>?\u201c.[\/vc_column_text]

<\/div>\n

Cybersecurity-KPI richtig definieren: Darauf kommt es an<\/h2>[vc_column_text]Sinnvolle KPI bekommt man erfahrungsgem\u00e4\u00df nur, wenn man folgenden Ansatz ber\u00fccksichtigt:<\/p>\n
    \n
  1. W\u00e4hle nur etwas als Kennzahl aus, das eine eindeutige Aussage<\/strong> \u00fcber das Erreichen wichtiger Ziele liefert und objektiv, d.h. mit reproduzierbaren Ergebnissen, gemessen werden kann.<\/li>\n
  2. Formuliere nur dann eine Kennzahl, wenn deren Messung tats\u00e4chlich eine R\u00fcckmeldung \u00fcber erforderliche Korrekturma\u00dfnahmen<\/strong><\/li>\n
  3. Ber\u00fccksichtige bei der Auswahl von Kennzahlen, wer Empf\u00e4nger<\/strong> einer Kennzahl sein soll und ob diese zu einem relevanten Erkenntnisgewinn<\/strong> f\u00fchrt.<\/li>\n
  4. Eine Kennzahl ist nur glaubw\u00fcrdig, wenn der Empf\u00e4nger den Eindruck hat, dass er dessen Erhebung<\/strong> bei Bedarf (und ggf. \u00fcber einen eingesetzten Dritten) \u00fcberpr\u00fcfen und<\/strong> damit den ausgewiesenen Wert verifizieren<\/strong> k\u00f6nnte.<\/li>\n<\/ol>\n

    Durch gezielte Verdichtung von Kennzahlen, etwa mittels Korrelation oder Verkn\u00fcpfung verschiedener Messwerte, entsteht schlie\u00dflich ein KPI.<\/p>\n

    In der Praxis zeigt sich jedoch, dass Unternehmen zu viele Kennzahlen sammeln und dadurch den \u00dcberblick verlieren. Entscheidend ist nicht die Anzahl, sondern die Aussagekraft. Ein KPI sollte immer eine konkrete Frage beantworten k\u00f6nnen, beispielsweise ob kritische Systeme ausreichend gesch\u00fctzt sind, ob Sicherheitsma\u00dfnahmen nachhaltig wirken oder ob bestehende Risiken tats\u00e4chlich reduziert werden konnten. Nur dann entsteht ein belastbarer Mehrwert f\u00fcr Management und operative Teams.[\/vc_column_text]

    <\/div>\n[\/vc_column][\/vc_row][vc_row custom_background_class=\"gradient-up\"][vc_column]

    ISO 27001: Anforderungen an Cybersecurity-KPI und Messbarkeit<\/h2>[vc_column_text]Nach Abschnitt 6.1.1 der ISO\/IEC 27001<\/a> ist sicherzustellen, dass das ISMS<\/a> beabsichtigte Ergebnisse erzielt, die wiederum nach Abschnitt 6.2 messbar festgelegt worden sind und deren Einhaltung \u00fcberwacht wird. Bereits bei der Planung ist zu bestimmen, wie die Ergebnisse bewertet werden. Die Steuerung der ISMS-Prozesse erfolgt auf Basis festgelegter Kriterien, sodass darauf vertraut werden kann, dass die Prozesse wie geplant durchgef\u00fchrt werden.<\/p>\n

    Es geht hier also um Vertrauen<\/strong>. Genauer gesagt um das Vertrauen darin, dass Erfordernisse und Erwartungen interessierter Parteien zuverl\u00e4ssig durch das ISMS<\/a> erf\u00fcllt werden. Dazu geh\u00f6ren gesetzliche und regulatorische Vorgaben ebenso wie vertragliche Verpflichtungen. Oder anders ausgedr\u00fcckt: Es geht um Vertrauen darin, dass relevante Anforderungen zur Cybersicherheit nachvollziehbar durch das ISMS erf\u00fcllt<\/strong> werden.<\/p>\n

    In Abschnitt 9.1 fordert die Norm dar\u00fcber hinaus, dass \u00dcberwachungs- und Messverfahren g\u00fcltige, vergleichbare und reproduzierbare Ergebnisse liefern. Hierzu muss es eine dokumentierte Information geben, d.h. eine Dokumentation mit Lenkung und Freigabe.<\/p>\n

    Gerade dieser Aspekt gewinnt durch neue regulatorische Anforderungen weiter an Bedeutung. Dokumentierte Nachweise dienen nicht mehr ausschlie\u00dflich internen Audits<\/a>, sondern werden zunehmend zur Grundlage f\u00fcr Compliance-Pr\u00fcfungen<\/a>, Lieferantenbewertungen<\/a> und regulatorische Nachweispflichten<\/a>. Damit wird die F\u00e4higkeit, aussagekr\u00e4ftige Kennzahlen nachvollziehbar zu erheben, zu einem zentralen Bestandteil moderner Security-Governance.[\/vc_column_text]

    <\/div>\n

    NIS2-Anforderungen: Welche Cybersecurity-KPI Unternehmen ben\u00f6tigen<\/h2>[vc_column_text]Um Risiken<\/strong> f\u00fcr die Sicherheit der Netz- und Informationssysteme beherrschen<\/strong> zu k\u00f6nnen,<\/p>\n