Am Dienstag hat unser zweiter nubibase Innovation Talk gezeigt, was viele Unternehmen aktuell täglich spüren: Cybersicherheit ist längst kein reines Technikthema mehr. Es geht um Struktur, Verantwortlichkeiten, schnelle Reaktionsfähigkeit und vor allem um die Frage, wie Organisationen handlungsfähig bleiben, wenn es ernst wird.
Schon in der Ankündigung war klar, worum es uns bei diesem Format geht: Praxisnahe Einblicke, konkrete Impulse und Austausch auf Augenhöhe. Genau das hat der Talk geliefert. Denn Unternehmen stehen heute aus mehreren Richtungen gleichzeitig unter Druck: Bedrohungslagen entwickeln sich schneller, Lieferketten werden komplexer, regulatorische Anforderungen steigen und gleichzeitig muss der Betrieb stabil laufen. Genau dort setzte der zweite nubibase Innovation Talk an
Carsten Pickel von der Experts Institut Beratungs GmbH hat den Talk mit einer Perspektive eröffnet, die vielen aus der Praxis bekannt vorkommt: Viele Organisationen haben bereits Sicherheitsmaßnahmen, Richtlinien oder sogar Zertifizierungsziele. Trotzdem bleibt Sicherheit oft fragmentiert, wenn es keine saubere Struktur gibt, nach der Entscheidungen getroffen und Maßnahmen priorisiert werden.
Seine zentrale Botschaft: IT-Risikomanagement ist nicht einfach ein Kapitel im Informationssicherheitsmanagement. Es ist die Grundlage, die dafür sorgt, dass Sicherheitsmaßnahmen sinnvoll gesteuert werden können.
Spannend war vor allem der praktische Blick: IT Risikomanagement hilft nicht nur dabei, Anforderungen zu erfüllen, sondern sorgt auch dafür, dass Management Entscheidungen transparenter werden. Wo sind die größten Hebel. Wo ist der erwartbare Schaden am höchsten. Und welche Maßnahmen bringen den größten Nutzen, ohne Ressourcen zu verbrennen.
Auch im Kontext NIS2 wurde deutlich: Viele Anforderungen betreffen nicht nur technische Controls, sondern vor allem die Fähigkeit, Risiken zu erkennen, zu priorisieren und den eigenen Reifegrad nachvollziehbar zu dokumentieren. Dazu gehören Themen wie Incident Handling, Monitoring, Backup und Wiederherstellung, Lieferkettenrisiken und Awareness.
Ein wichtiger Punkt war außerdem: Restrisiken lassen sich nie vollständig vermeiden. Entscheidend ist, dass man sie sauber dokumentiert, bewertet und verantwortet. Genau hier trennt sich „Sicherheitsgefühl“ von echter Governance.
Bernd Sommerfeldt von der Risk Cautio GmbH hat den Blick auf einen Bereich gelenkt, der im Sicherheitsalltag gerne unterschätzt wird: Was passiert mit den Risiken, die trotz aller Maßnahmen bleiben.
Denn auch wenn Organisationen immer besser werden in Prävention, Detektion und Reaktion: Es bleibt ein Anteil an Risiken, der nicht vollständig eliminierbar ist. Genau an dieser Stelle kommt das Thema Restrisiko Management und Absicherung ins Spiel.
Das zentrale Thema seines Vortrags war die Cyber Versicherung. Dabei hat er sehr klar gemacht: Cyber Versicherungen sind nicht automatisch „die Lösung“, sondern können nur dann sinnvoll sein, wenn sie zum tatsächlichen Risiko passen.
Seine Warnung war deutlich:
Auch der organisatorische Aspekt wurde stark betont: Restrisiken entstehen nicht nur technisch, sondern oft durch Prozesse, Rollen und unklare Verantwortlichkeiten. Themen wie privilegierte Konten, Sichtbarkeit in Systemen, Reaktionsfähigkeit und Krisenprozesse sind dabei entscheidend.
Ein besonders wichtiger Gedanke: Notfallfähigkeit ist nicht ein Dokument, das im SharePoint liegt. Notfallfähigkeit ist ein geübter Prozess. Wer nur „Pläne hat“, ist im Ernstfall oft trotzdem handlungsunfähig. Wer Abläufe geübt und Verantwortlichkeiten klar hat, reduziert Chaos, Zeitverlust und Folgeschäden deutlich.
Der Vortrag hat damit einen sehr wertvollen Realitätscheck geliefert: Sicherheitsstrategie endet nicht bei Maßnahmen. Sie endet bei der Frage, wie gut man mit dem Rest umgehen kann, wenn es trotzdem passiert.
Zum Abschluss hat Marius Heß von der Ontinue AG die operative und technische Perspektive geliefert: Wie kann ein Unternehmen Sicherheit nicht nur planen, sondern dauerhaft wirksam betreiben.
Gerade im Mittelstand ist das oft die größte Herausforderung. Denn viele Unternehmen wissen, was sie tun müssten, aber ihnen fehlen Zeit, spezialisierte Ressourcen oder die Möglichkeit, eine 24/7 Security Organisation intern aufzubauen.
Hier wurde sehr anschaulich erklärt, wie Security Operations Center as a Service in der Praxis funktioniert: mit kontinuierlichem Monitoring, klaren Response Prozessen, Automatisierung und einer Kombination aus menschlicher Expertise und KI gestützten Abläufen.
Besonders greifbar war dabei der Fokus auf Geschwindigkeit und Klarheit:
Auch der Gedanke der Zusammenarbeit war wichtig: Moderne SecOps ist kein isolierter „Sicherheitsblock“, sondern arbeitet integriert in bestehende Abläufe. Zum Beispiel über Ticket Systeme, definierte Freigaben und transparente Kommunikation, damit alle Beteiligten wissen, was passiert und warum.
Damit wurde ein klarer Punkt deutlich: Resilienz braucht nicht nur Prävention, sondern vor allem auch Reaktionsfähigkeit.
Wenn man die drei Vorträge zusammendenkt, ergibt sich eine sehr klare Gesamtsicht:
Oder kurz gesagt:
Sicherheit ist keine einzelne Maßnahme. Sicherheit ist ein System. Genau deshalb sind Themen wie Risk Management, Business Continuity und Security Operations heute so eng miteinander verbunden.
Unser Innovation Talk ist bewusst als Austauschformat gedacht. Und genau das hat dieser Abend wieder bestätigt: Viele Fragen drehen sich weniger um einzelne Tools und mehr um Prioritäten, Verantwortlichkeiten, Prozesse und die Fähigkeit, handlungsfähig zu bleiben.
Wenn Sie beim nächsten Innovation Talk dabei sein möchten oder sich zu Themen wie IT Risikomanagement, Security Operations, Resilienz und sicheren Datenflüssen austauschen wollen, melden Sie sich gerne bei uns.
Schon mal als kleiner Teaser: Der nächste Talk mit dem Thema Förderinstrumente für mittelständische IT ist bereits in Planung!
