Am 5. Mai hat die US-amerikanische Cybersecurity-Behörde CISA eine Initiative lanciert, die auf den ersten Blick nur für Betreiber kritischer Infrastruktur relevant scheint: CI Fortify. Die zentrale Botschaft: Organisationen sollen sich darauf vorbereiten, ihre Kernprozesse auch dann aufrechtzuerhalten, wenn IT-Systeme kompromittiert sind, Telekommunikation ausfällt und Internetverbindungen instabil werden. Gleichzeitig.
Klingt nach einem Szenario für Energieversorger und Spitäler. Ist es auch – aber nur auf den ersten Blick. Wer genauer hinschaut, findet darin Lektionen, die jedes Schweizer KMU betreffen. Und die meisten davon sind unangenehm.
Was CI Fortify fordert
Im Kern dreht sich die Initiative um zwei Dinge: Isolation und Recovery. Isolation heisst, Sie können kritische Systeme von kompromittierten Netzwerken und unzuverlässigen externen Abhängigkeiten abtrennen. Recovery heisst, Sie kriegen den Betrieb nach einem Vorfall wieder zum Laufen – und zwar in einer Zeitspanne, die Sie vorher definiert haben. Nicht «irgendwann».
Der bemerkenswerte Punkt ist, wovon CISA bei der Planung ausgeht. Angreifer befinden sich bereits im Netzwerk. Telekommunikation und Internet können gleichzeitig betroffen sein. Zulieferer und externe Dienstleister? Nicht erreichbar. Das klingt nach Paranoia, ist aber schlicht die Realität, die mehrere staatliche Akteure in den letzten Jahren demonstriert haben. Volt Typhoon in US-Infrastruktur. Sandworm in der Ukraine. Das ist passiert.
Wichtig dabei: CI Fortify ist keine Verordnung. Hat keine rechtliche Bindung, auch nicht in den USA. Aber – und das ist der Punkt, den man nicht überlesen sollte – CISA stellt klar, dass diese Erwartungen nach dem nächsten grossen Vorfall zum Massstab werden. In regulatorischen Prüfungen, Versicherungsfällen und vor Gericht.
Was hat das mit Schweizer KMU zu tun?
Ehrlich gesagt: auf den ersten Blick wenig. Schweizer KMU betreiben keine Stromnetze und keine Wasserwerke. Aber sie sind Teil von Lieferketten, die in kritische Infrastruktur münden. Ein Zulieferer eines Spitals. Ein IT-Dienstleister einer Gemeinde. Ein Logistikunternehmen im Pharmabereich. Das sind alles Glieder einer Kette, die zunehmend nach Resilienz bewertet wird – ob Sie das wollen oder nicht.
Und mal ganz unabhängig von der Lieferkette: Die Kernfrage von CI Fortify betrifft schlicht jedes Unternehmen. Was passiert, wenn Ihre IT ausfällt? Nicht für eine Stunde – für drei Tage. Können Sie dann noch Aufträge bearbeiten? Rechnungen stellen? Mit Kunden kommunizieren? Die Lohnzahlung durchführen? Hand aufs Herz.
In der Schweiz gibt es dafür kaum regulatorischen Druck. Das neue Informationssicherheitsgesetz (ISG) und die zugehörige Verordnung setzen Meldepflichten für kritische Infrastrukturen. Aber für die breite Masse der KMU? Keine verbindlichen Vorgaben zur Betriebskontinuität. Das heisst nicht, dass das Risiko nicht existiert. Es heisst nur, dass niemand Sie zur Planung zwingt. Was – wenn wir ehrlich sind – das Problem eher verschärft als entschärft.
Die häufigsten Lücken, die wir sehen
Wir führen regelmässig Assessments bei Schweizer Unternehmen durch, und es sind immer wieder dieselben Baustellen. Backups existieren – aber niemand hat je getestet, ob die Wiederherstellung tatsächlich funktioniert. (Spoiler: In erstaunlich vielen Fällen tut sie das nicht.) Die IT-Dokumentation ist lückenhaft oder veraltet, manchmal beides gleichzeitig. Keiner weiss, wer im Notfall welche Entscheidungen trifft. Und die Abhängigkeit von einzelnen Cloud-Diensten ist selten zu Ende gedacht. Was passiert, wenn Microsoft 365 drei Tage lang nicht erreichbar ist? Die ehrliche Antwort lautet meistens: Chaos.
Und hier wird es fast komisch: Die meisten dieser Lücken lassen sich mit relativ wenig Aufwand schliessen. Ein dokumentierter Notfallplan, eine getestete Backup-Wiederherstellung und eine einfache Kommunikationskette für den Ernstfall – das sind zusammen ein bis zwei Arbeitstage. Die meisten KMU investieren mehr Zeit in die jährliche Inventur. Aber die Inventur hat halt einen Termin, und der Notfallplan hat keinen. Bis er einen hat.
Fünf Fragen als Selbsttest
Können Sie Ihre geschäftskritischen Systeme auflisten? Nicht die IT-Systeme allgemein, sondern die drei bis fünf, ohne die der Betrieb stillsteht.
Haben Sie Ihre Backups in den letzten sechs Monaten getestet – nicht ob sie laufen, sondern ob eine vollständige Wiederherstellung funktioniert?
Gibt es einen Plan, wie Sie Kunden und Partner informieren, wenn Ihre E-Mail und Ihr Telefon gleichzeitig ausfallen?
Wissen Ihre Mitarbeitenden, an wen sie sich wenden sollen, wenn sie morgens ins Büro kommen und nichts mehr funktioniert?
Haben Sie mit Ihrem IT-Dienstleister eine definierte Reaktionszeit vereinbart – und steht diese vertraglich fest?
Mehr als zwei Mal «Nein»? Dann lohnt sich ein kurzes Projekt zur Grundlagenarbeit. Kein umfassendes Business-Continuity-Management nach ISO 22301 – das wäre für die meisten KMU überdimensioniert. Sondern ein pragmatischer Notfallplan, der auf zwei Seiten passt und den alle kennen. Klingt simpel, ist es auch. Und genau deshalb machen es so wenige.
Resilienz ist keine Versicherung – sie ist Grundkompetenz
CI Fortify ist ein amerikanisches Programm, das primär auf geopolitische Bedrohungen zielt. Aber die Grundidee ist so simpel wie universell: Wer seine Abhängigkeiten kennt, seine Wiederherstellung getestet hat und weiss, wie der Betrieb im Notfall weiterläuft, steht nach einem Vorfall deutlich besser da. Ob der Vorfall ein Ransomware-Angriff ist, ein Cloud-Ausfall oder ein Hochwasser – das spielt dann keine Rolle mehr. Dann zählt nur noch, ob jemand vorher mal darüber nachgedacht hat.
Wir unterstützen Schweizer KMU bei der Erstellung pragmatischer Notfallpläne und testen in unseren Assessments, wie robust Ihre IT-Infrastruktur wirklich ist – oft mit überraschenden Ergebnissen. Melden Sie sich, wenn Sie wissen möchten, wo Sie stehen.
Quellen und weiterführende Informationen: CISA CI Fortify Ankündigung, The Record: CISA Initiative, Schweizer Informationssicherheitsgesetz