Cybersicherheit im Einkauf: Zwischen Kostendruck und fehlenden Standards
Die grössten strukturellen Defizite liegen in der Standardisierung von Sicherheitskriterien und der strategischen Gewichtung von Sicherheit gegenüber Kosten. Grosse Unternehmen kämpfen mit interner Abstimmung, kleinere Betriebe mit fehlendem Know-how. Dies brachte eine Umfrage von Sophos zu Tage.
Die Bedeutung von Cybersicherheit im Einkauf wächst, doch viele Einkaufsabteilungen in Unternehmen sehen sich mit erheblichen Herausforderungen konfrontiert. Das zeigt eine aktuelle Umfrage des IT-Security-Dienstleisters Sophos unter 201 Einkaufsverantwortlichen verschiedener Branchen und Unternehmensgrössen in Deutschland.
Kostenoptimierung als grösstes Hindernis
Gemäss der Umfrage die vier grössten Herausforderungen unter allen Befragten sind:
- Fokus auf Kostenreduktion statt langfristiger Sicherheit (45 Prozent)
- Fehlende oder kaum standardisierte Sicherheitskriterien in der Lieferantenbewertung (41,6 Prozent)
- Zu wenig Bewusstsein für Cybersicherheit in Einkaufsabteilungen (40,1 Prozent)
- Mangelnde Abstimmung mit der eigenen IT-/Sicherheitsabteilung (39,6 Prozent)
Mit 45 Prozent stellt die Ausrichtung auf Kostenreduktion die am häufigsten genannte Herausforderung dar. Dieses Spannungsfeld zwischen Effizienz und Schutzmassnahmen zeigt, dass Cybersicherheit im Einkauf möglicherweise noch oft als nachrangig behandelt wird.
Unternehmensgrösse bestimmt Herausforderungen
Rund 42 Prozent der Befragten bemängeln fehlende oder kaum standardisierte Sicherheitskriterien in der Lieferantenbewertung. Zudem beklagen fast 40 Prozent eine mangelnde Abstimmung mit der eigenen IT- oder Sicherheitsabteilung; dieser Faktor wird besonders in grösseren Unternehmen genannt (über 52 Prozent bei Unternehmen mit mehr als 1000 Mitarbeitenden).
Die Umfrage offenbart zudem Unterschiede je nach Unternehmensgrösse. Kleinere Unternehmen (100–249 Mitarbeitende) kämpfen demnach besonders mit fehlendem technischem Know-how (35,8 Prozent) und nicht standardisierten Sicherheitskriterien (54,7 Prozent). Grosse Unternehmen ab 1000 Mitarbeitenden sehen vor allem Abstimmungsprobleme mit der IT- oder Sicherheitsabteilung (52,6 Prozent).
Während bei kleineren Betrieben also offenbar Kompetenzen fehlen, erschweren in grösseren Unternehmen oft komplexe Strukturen eine effektive Sicherheitsintegration.
Verwaltungen fehlt Know-how, Versorger mahnen Cybersicherheitsbewusstsein an
Auch zwischen den Branchen gibt es deutliche Unterschiede. Die öffentliche Verwaltung meldet besonders häufig fehlendes Know-how und fehlende Standards (jeweils 60,0 Prozent). In der Finanzbranche fällt mit 53,8 Prozent vor allem der Mangel an Schulungen ins Gewicht.
Im Handel hingegen sind die Werte durchweg niedrig: Nur 13 Prozent sehen fehlendes Know-how als Problem, lediglich 17,4 Prozent bemängeln mangelnde Lieferantentransparenz. Versorgungsunternehmen beklagen zu beinahe 100 Prozent ein fehlendes Bewusstsein für Cybersicherheit in den Einkaufsabteilungen.
„Dass Versorgungsunternehmen den Mangel an Cybersicherheitsbewusstsein im Einkauf beklagen, ist sehr ernst zunehmen“, kommentiert Michael Veit, Security-Experte bei Sophos. „Gerade in sensiblen Sektoren sollten Sicherheitsaspekte nicht der Kostenoptimierung geopfert werden.“
Der Appell: Noch mehr Priorität auf Cybersicherheit auch in Einkaufsabteilungen
Die Ergebnisse der Umfrage zeigen: Cybersicherheit wird auch im Einkauf der Unternehmen zunehmend als kritischer Faktor erkannt. Allerdings fehlt es vielerorts noch an Wissen, interner Abstimmung und strukturellen Vorgaben. Unternehmen sind daher gefordert, dem Thema mehr Priorität einzuräumen – sowohl durch Schulungen als auch durch klare Richtlinien in der Lieferantenbewertung.
„Viele Einkaufsabteilungen stehen heute vor der Herausforderung, Cybersicherheitsaspekte strukturiert in ihre Prozesse zu integrieren“, so Michael Veit. „Doch oft fehlen Know-how, klare Kriterien oder der enge Schulterschluss mit der IT. Dabei ist gerade die Lieferkette ein entscheidender Hebel für die Sicherheitslage eines Unternehmens. Deshalb braucht es im Einkauf klare Sicherheitsvorgaben, geschulte Mitarbeitende und enge Abstimmung mit den IT-Verantwortlichen. Die Resilienz zum Beispiel ganzer Versorgungsnetze hängt längst nicht mehr nur von Firewalls ab, sondern auch davon, welche Entscheidungen im Einkauf getroffen werden.“
Quelle: Sophos
Dieser Beitrag erschien ursprünglich auf m-q.ch - https://www.m-q.ch/de/cybersicherheit-im-einkauf-zwischen-kostendruck-und-fehlenden-standards/
