Die Informationssicherheit lässt sich nur dann erfolgreich steuern, wenn ihre Entwicklung messbar wird. Trotzdem konzentrieren sich viele Berichte an Geschäftsführung oder Vorstand noch immer auf Listen offener Maßnahmen, technische Details oder einzelne Sicherheitsvorfälle. Das Problem dabei: Diese Informationen beantworten selten die eigentlichen Fragen des Managements. Wie sicher ist unser Krankenhaus? Wo bestehen die größten Risiken? Verbessert sich unsere Sicherheitslage oder verschlechtert sie sich?

Genau an dieser Stelle gewinnen aussagekräftige Kennzahlen stark an Bedeutung. Sie schaffen Transparenz, machen Entwicklungen sichtbar und unterstützen vor allem fundierte Entscheidungen. Gleichzeitig gehören sie zu den anspruchsvollsten Aufgaben eines Informationssicherheitsbeauftragten. Denn nicht jede Zahl eignet sich als Steuerungsinstrument.

Warum reichen Statusberichte heute nicht mehr aus?

Mit NIS-2.0, steigenden Cyberrisiken und einer gewachsenen Verantwortung der Geschäftsführung verändern sich auch die Erwartungen und die Ansprüche an das Berichtswesen. Das Management möchte keine technischen Einzelheiten bewerten. Es benötigt belastbare Informationen, um Risiken einschätzen, Prioritäten setzen und Investitionen begründen zu können.

Ein guter Informationssicherheitsbericht beantwortet deshalb nicht die Frage, welche Firewall aktualisiert wurde oder wie viele Schwachstellen gefunden wurden. Er zeigt vielmehr auf, ob sich das Gesamtrisiko verändert, welche Bereiche besondere Aufmerksamkeit benötigen und ob die eingeleiteten Maßnahmen ihre Wirkung entfalten.

Der Informationssicherheitsbeauftragte übernimmt damit zunehmend die Rolle eines Beraters der Unternehmensleitung. Seine Aufgabe besteht darin, komplexe Sachverhalte verständlich und vor allem entscheidungsorientiert aufzubereiten.

Welche Kennzahlen helfen wirklich?

Nicht jede Kennzahl besitzt einen echten Mehrwert. Viele Organisationen erfassen heute große Mengen an Daten, ohne daraus konkrete Erkenntnisse oder Entscheidungen abzuleiten. Die Folge sind dann umfangreiche Berichte, die viel Aufwand verursachen, aber wenig Nutzen schaffen.

Aussagekräftige Kennzahlen zeichnen sich dadurch aus, dass sie Veränderungen sichtbar machen und eine Handlung auslösen können. Aus unserer Erfahrung sind beispielsweise Kennzahlen zu folgenden Themen besonders geeignet:

  • Entwicklung des Gesamtrisikos im Informationssicherheitsmanagement
  • Umsetzungsgrad beschlossener Sicherheitsmaßnahmen
  • Bearbeitungszeit kritischer Schwachstellen
  • Anzahl und Schwere sicherheitsrelevanter Vorfälle
  • Patch-Compliance kritischer Systeme
  • Ergebnisse interner Audits
  • Erfüllungsgrad regulatorischer Anforderungen
  • Awareness-Status der Mitarbeitenden
  • Entwicklung von Lieferanten- und Drittparteirisiken

Dabei steht nicht die absolute Zahl im Mittelpunkt, sondern viel wichtiger ist ihre Entwicklung über mehrere Monate oder Quartale. Erst Trends ermöglichen eine fundierte Bewertung.

Kennzahlen oder Key Risk Indikatoren?

Ein häufiger Fehler besteht darin, Leistungskennzahlen und Risikokennzahlen miteinander zu vermischen. Beide erfüllen unterschiedliche Aufgaben.

Leistungskennzahlen zeigen, wie gut Prozesse funktionieren. Dazu gehören beispielsweise abgeschlossene Awareness-Schulungen oder die Bearbeitungsdauer von Sicherheitsmeldungen.

Key Risk Indikatoren hingegen geben Hinweise darauf, dass sich Risiken erhöhen könnten. Sie sind wichtige Frühwarnkennzahlen. Dazu zählen beispielsweise steigende Schwachstellenzahlen in kritischen Systemen, zunehmende Ausnahmen von Sicherheitsrichtlinien oder die Anzahl nicht bewerteter Lieferanten mit Zugriff auf kritische Systeme.

Für die Geschäftsführung besitzen gerade diese Frühindikatoren einen hohen Wert. Sie ermöglichen es, Risiken frühzeitig zu erkennen, bevor daraus Sicherheitsvorfälle entstehen.

Was möchte die Geschäftsführung tatsächlich wissen?

 Viele ISB berichten aus ihrer eigenen fachlichen Perspektive. Das Management bewertet die Informationssicherheit jedoch aus einem anderen Blickwinkel.

Typische Fragestellungen der Geschäftsführung oder des Vorstands lauten:

  • Wie entwickelt sich unser Gesamtrisiko?
  • Welche Risiken gefährden den Krankenhausbetrieb unmittelbar?
  • Sind wir regulatorisch ausreichend aufgestellt?
  • Wo besteht Investitionsbedarf?
  • Welche Maßnahmen haben den größten Nutzen?
  • Welche Entwicklungen erfordern Entscheidungen des Vorstands?

Je besser ein Bericht diese Fragen beantwortet, desto größer wird sein strategischer Nutzen.

Dabei gilt ein wichtiger Grundsatz: Weniger Kennzahlen erzeugen häufig mehr Wirkung. Zehn sorgfältig ausgewählte Kennzahlen besitzen oft einen deutlich höheren Informationswert als fünfzig Detailinformationen.

Kennzahlen müssen verständlich sein

Ein häufiger Fehler besteht darin, Kennzahlen ausschließlich aus Sicht der IT zu formulieren. Begriffe wie Patch-Level oder Netzwerksegmentierung besitzen für viele Mitglieder der Geschäftsführung nur eine begrenzte Aussagekraft. Der Informationssicherheitsbeauftragte sollte deshalb jede Kennzahl in ihren Auswirkungen auf den Krankenhausbetrieb übersetzen.

Ein Beispiel aus der Praxis:

Statt zu berichten, dass lediglich 78 Prozent aller kritischen Systeme innerhalb der definierten Frist gepatcht wurden, lässt sich formulieren:

„Mehr als jedes fünfte kritische System weist aktuell bekannte Sicherheitslücken auf. Dadurch steigt das Risiko erfolgreicher Cyberangriffe auf betriebsrelevante Systeme.“

Die zugrunde liegenden technischen Daten bleiben identisch. Die Aussage wird jedoch unmittelbar verständlich und entscheidungsrelevant.

Wie häufig sollte berichtet werden?

Die optimale Berichtsfrequenz hängt erfahrungsgemäß von der Größe und dem Risikoprofil des Krankenhauses ab.

In vielen Klinikgruppen hat sich ein gestuftes Berichtswesen bewährt. Operative Kennzahlen werden monatlich ausgewertet. Strategische Managementberichte erscheinen vierteljährlich. Ergänzend erfolgt eine jährliche Gesamtbewertung des Informationssicherheitsmanagements im Rahmen des Management-Reviews.

Dieses Vorgehen ermöglicht einerseits eine kontinuierliche Steuerung und verhindert andererseits eine Überlastung der Geschäftsführung mit Detailinformationen.

Ohne Zielwerte verlieren Kennzahlen ihren Nutzen

Eine Tatsache, die vielen ISB mittlerweile bewusst wird: Eine Kennzahl allein besitzt kaum Aussagekraft. Erst durch einen definierten Zielwert entsteht eine fundierte Grundlage für Entscheidungen.

Ein Beispiel aus unserer Praxis:

Eine Patch-Compliance von 91 Prozent klingt zunächst positiv. Liegt das festgelegte Ziel jedoch bei 98 Prozent, besteht weiterhin erheblicher Handlungsbedarf.

Deshalb sollte jede Managementkennzahl mindestens vier Elemente enthalten:

  • aktueller Messwert
  • definierter Zielwert
  • Entwicklung gegenüber den Vorperioden
  • kurze Bewertung mit Handlungsempfehlung

Gerade die letzte Komponente wird häufig vernachlässigt. Dabei erwartet die Geschäftsführung vom ISB nicht nur Daten, sondern eine fachliche Einordnung und eine klare Ansage für notwendige Maßnahmen.

Kennzahlen sind ein Führungsinstrument

Die Informationssicherheit entwickelt sich zunehmend zu einer Managementaufgabe. Entsprechend verändern sich auch die Anforderungen an den Informationssicherheitsbeauftragten. Er wird immer stärker zum strategischen Berater der Unternehmensleitung.

Dafür benötigt er Kennzahlen, die Risiken transparent machen, Entwicklungen frühzeitig erkennen lassen und fundierte Entscheidungen ermöglichen. Gut ausgewählte Kennzahlen schaffen Vertrauen, unterstützen Investitionen in die Informationssicherheit und fördern eine risikoorientierte Unternehmenssteuerung.

Wer dagegen lediglich Zahlen sammelt, ohne ihre Aussagekraft kritisch zu hinterfragen, erzeugt zwar Berichte, liefert aber kaum Entscheidungsgrundlagen.

Fazit

Ein wirksames Berichtswesen gehört heute zu den wichtigsten Instrumenten eines modernen Informationssicherheitsmanagements. Gute Kennzahlen reduzieren Komplexität, schaffen Transparenz und helfen der Geschäftsführung, ihre Verantwortung für die Informationssicherheit aktiv wahrzunehmen.

Gerade Krankenhäuser und Klinikgruppen stehen vor der Herausforderung, regulatorische Anforderungen, Cyberrisiken und den Schutz der Patientenversorgung miteinander in Einklang zu bringen. Ein professionelles Kennzahlensystem bildet hierfür eine unverzichtbare Grundlage.

Die Entwicklung geeigneter Kennzahlen sowie der Aufbau eines managementgerechten Berichtswesens stellen viele Organisationen jedoch vor erhebliche Herausforderungen. Die Berater der Adiccon unterstützen Krankenhäuser und Klinikgruppen dabei, aussagekräftige Sicherheitskennzahlen zu entwickeln, Management-Reports aufzubauen und die Informationssicherheit als wirksames Steuerungsinstrument im gesamten Unternehmen zu etablieren.

Wenn Sie mehr darüber wissen möchten, wie wir Sie bei dieser wichtigen Thematik konkret unterstützen können, dann nehmen Sie Kontakt zu uns auf: walter.schaefer@adiccon.de oder mobil unter 0160 90997764.