Unternehmen müssen beginnen, Cybersicherheit als Teil der ESG-Strategie zu sehen

Environmental Social Governance – kurz ESG (deutsch: Umwelt, Soziales und Unternehmensführung) ist ein Thema, das viele Unternehmen beschäftigt. Damit gemeint ist der freiwillige Beitrag der Wirtschaft zu einer nachhaltigen Entwicklung. Die Tatsache, dass auch Cybersicherheit eine relevante ESG-Kennzahl ist, ist in vielen Unternehmen allerdings noch nicht angekommen. Es tritt jedoch immer deutlicher zutage, dass IT-Sicherheit weit mehr ist als nur ein technologisches Thema. Stehen Umweltaspekte, Soziales und verantwortungsvolle Unternehmensführung nicht in Einklang mit IT-Sicherheit, kann dies fatale Folgen haben. Cyberrisiken gehören zu den unmittelbarsten und finanziell bedeutendsten ESG-Risiken, mit denen Unternehmen heute konfrontiert sind. Diejenigen, die es versäumen, eine gute Governance für die Cybersicherheit einzuführen und geeignete Instrumente und Messgrössen dafür anzuwenden, werden in Zukunft weniger widerstandsfähig sein und als weniger nachhaltig wahrgenommen. Angriffe auf Lieferketten, kritische Infrastrukturen sowie die Auswirkungen von Cyberspionage und -sabotage werden von der Öffentlichkeit wahrgenommen und bedeuten einen erheblichen Vertrauensverlust. Investor:innen prüfen in der Regel Datenschutz- und Informationssicherheitsrichtlinien, um die Cybersicherheitsrisiken eines Unternehmens zu bewerten.

IT Security spielt nicht nur eine entscheidende Rolle beim Schutz von Systemen, Netzwerken und Programmen. Der vielleicht wichtigste immaterielle Vermögenswert eines Unternehmens sind heutzutage Daten – seien es persönliche Daten, Finanzinformationen, Sicherheits- oder Verhaltensdaten. Deshalb ist die naheliegende Konsequenz, dass Cyberkriminalität weiter zunehmen wird. Um ihre Cybersicherheit ganzheitlich in den Griff zu bekommen, müssen Unternehmen ihre Denkweise ändern.

Die überwiegende Mehrheit der CIOs konzentriert sich derzeit auf eher traditionelle Sicherheitsbelange. Diejenigen, die sich mit ESG-Fragen befassen, forcieren die Integration von IT-Sicherheitsthemen und Umwelt- und Nachhaltigkeitsansprüchen. Fragen wie beispielsweise «Nutzen wir nachhaltige Cloud-Dienste? Wie können wir durch Server verursachte CO2-Emissionen reduzieren und kompensieren (beispielsweise Umweltprojekte unterstützen)? Wie schulen wir neue Mitarbeitende in ESG und IT Security? Wie recyceln wir veraltete Geräte?» müssen gestellt und beantwortet werden. Obwohl einige dieser Fragen nur bedingt mit Cybersicherheit zu tun haben, können sie Führungskräfte dennoch darin unterstützen, ihre ESG-Ziele zu erreichen.

In der Praxis bedeutet das, dass ESG- und Cybersicherheitsverantwortliche eng zusammenarbeiten müssen. Nutzen Sie die Erkenntnisse Ihrer ESG-Manager:innen, um Massnahmen zu identifizieren und so anzuwenden, dass die Geschäftskosten gesenkt und die Genauigkeit der Berichterstattung verbessert werden. In gemeinsamen Diskussionen werden Sie herausfinden, welche Aspekte in die ESG-Berichterstattung gehören, und erkennen zusätzliche Punkte, die es wert sind, offengelegt zu werden, um mehr als die gesetzlichen Anforderungen zu erfüllen. Der regelmässige Austausch über Richtlinien, Agenden, neue Technologien und strategische Wege zur Konzeption neuer Entwicklungen wird Ihr Unternehmen seinen ESG-Zielen näher bringen.

Folgende Aspekte können beispielsweise in Ihre Dokumentation bzw. Berichterstattung einfliessen:

• Die Erwähnung der Compliance in den ESG eines Unternehmens bietet die Gewissheit, dass sensible Daten verantwortungsvoll und im Einklang mit staatlichen und behördlichen Vorschriften verwaltet werden
• Schulungen für Mitarbeitende zum Schutz vor Phishing-Angriffen oder anderen Sicherheitsrisiken
• Notfallwiederherstellungsplan, der im Fall von böswilligen oder versehentlichen Schäden oder bei Verlust Daten schnell wiederherstellen kann
• Das Nutzen alternativer Energie
• Die Kompensation nicht vermeidbarer Emissionen

Das Weltwirtschaftsforum empfiehlt Organisationen einen Standardrahmen für die Messung von Cyberrisiken, der dazu beiträgt, diese besser zu verstehen und als Teil ihrer ESG-Strategie zu managen. Denn staatliche Vorschriften allein können aufgrund der Komplexität der sich ständig weiterentwickelnden neuen Geschäftsmodelle und der wachsenden Grösse vieler Technologieunternehmen nicht realistisch alle Unternehmen steuern. Zu ihrem eigenen Schutz ist hier dringend die Initiative von Unternehmensführungen gefragt.