Warum IT-Sicherheit mehr ist als Compliance

IT-Sicherheit entsteht nicht allein durch neue Regulierungen. Sie wächst in Unternehmen, Prozessen und Entscheidungen, die über Jahre hinweg getroffen und weiterentwickelt werden. Mit der neuen Reihe „Behind the Firewall“ gibt Accellence Einblicke in genau diese Arbeit – praxisnah, konkret und mit Blick auf die realen Herausforderungen eines mittelständischen Softwareunternehmens.

Wer über IT-Sicherheit spricht, spricht oft zuerst über neue Bedrohungen, neue Vorgaben oder neue Standards. All das ist wichtig. In der Praxis beginnt Sicherheitsarbeit aber meist an einer anderen Stelle: bei bestehenden Infrastrukturen, gewachsenen Prozessen, begrenzten Ressourcen und der Frage, wie sich Sicherheit im Alltag tatsächlich verbessern lässt.

Mit „Behind the Firewall“ zeigt Accellence, wie sich IT-Sicherheit im Unternehmensalltag tatsächlich weiterentwickeln lässt. In der neuen Artikelreihe werden nicht nur Anforderungen benannt, sondern auch Einblicke in die konkrete Arbeit dahinter geben. Im Mittelpunkt stehen reale Projekte, technische und organisatorische Entscheidungen, Zielkonflikte und Lösungsansätze aus dem Alltag eines mittelständischen Softwareunternehmens.

Accellence ist Mitglied in der Allianz für Cyber-Sicherheit des Bundesamts für Sicherheit in der Informationstechnik (BSI) und beschäftigt sich in der Produktentwicklung bereits seit 2016 intensiv mit Fragen der IT- und Produktsicherheit. Der Anspruch ist dabei aber nicht, Perfektion zu behaupten, sondern die eigene Entwicklung nachvollziehbar zu machen: Was wurde bereits erreicht? Wo liegen die Herausforderungen? Und wie lassen sich Sicherheitsanforderungen in einer gewachsenen Unternehmenslandschaft sinnvoll und praktikabel weiterentwickeln?

Anders als auf der grünen Wiese entstehen Sicherheitsstrukturen in Unternehmen selten unter idealen Bedingungen. Stattdessen treffen neue Sicherheitsanforderungen auf gewachsene IT-Infrastrukturen, bestehende Prozesse, etablierte Arbeitsweisen und ein laufendes Tagesgeschäft. Informationssicherheit muss deshalb nicht nur technisch umgesetzt, sondern auch organisatorisch verankert und dauerhaft in den Unternehmensalltag integriert werden.

Sicherheit als Daueraufgabe

Für Accellence bedeutet das, IT-Sicherheit nicht isoliert zu betrachten, sondern als festen Bestandteil der gesamten Unternehmenspraxis. Dazu gehören unter anderem der Aufbau eines Informationssicherheitsmanagementsystems (ISMS), die Bewertung und Behandlung von Risiken, klare Verantwortlichkeiten, strukturierte Sicherheitsprozesse sowie die Sensibilisierung der Mitarbeitenden. Auch die Sicherheit der eigenen Softwareprodukte spielt dabei eine wichtige Rolle.

Regulatorische Anforderungen wie NIS2, das KRITIS-Dachgesetz oder der Cyber Resilience Act (CRA) geben dabei wichtige Rahmenbedingungen vor, sind aber nicht der alleinige Antrieb. Denn Sicherheitsarbeit beginnt nicht mit einer Verordnung und endet nicht mit ihrer Umsetzung. Sie ist eine kontinuierliche Aufgabe, die technische Maßnahmen, organisatorische Prozesse und das tägliche Handeln aller Mitarbeitenden gleichermaßen umfasst.

Zwischen regulatorischem Rahmen und realer Produktarbeit

Mit „Behind the Firewall“ will Accellence diese Zusammenhänge sichtbar machen. Die Reihe greift Themen auf, die für die Informationssicherheit im Unternehmensalltag entscheidend sind, in der Praxis aber häufig mit Herausforderungen verbunden sind. Dazu gehören beispielsweise der Aufbau eines Informationssicherheitsmanagementsystems (ISMS), die Erfassung und Bewertung von Unternehmenswerten (Asset-Management), die Klassifizierung von Informationen, die Analyse des bestehenden Sicherheitsniveaus sowie ein strukturiertes Risikomanagement. Auch die Sensibilisierung der Mitarbeitenden, das Schwachstellenmanagement und die Vorbereitung auf Sicherheitsvorfälle spielen dabei eine wichtige Rolle.

Als Softwarehersteller beschäftigt sich Accellence darüber hinaus mit den besonderen Anforderungen an die Sicherheit der eigenen Produkte. Themen wie der Cyber Resilience Act (CRA), Software-Stücklisten (SBOMs), sichere Entwicklungsprozesse und die Bewertung von Produktrisiken werden daher ebenfalls Teil der Reihe sein.

Dabei geht es nicht nur um technische Lösungen, sondern vor allem um die praktische Umsetzung: Wo fängt man an? Wie setzt man Prioritäten? Wie lassen sich Sicherheitsanforderungen mit begrenzten Ressourcen vereinbaren? Und wie gelingt es einem mittelständischen Unternehmen, Informationssicherheit Schritt für Schritt aufzubauen und langfristig im Unternehmensalltag zu verankern?