Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führte eine Erhebung bei Betreibern kritischer Infrastruktur (KRITIS) zur Wirksamkeit der gesetzlichen Maßnahmen des IT-Sicherheitsgesetzes durch. Herauskam, dass die Unternehmen insbesondere bei organisatorischen Sicherheitsmaßnahmen noch Nachholebedarf haben und die Sicherheitsbudgets zu klein ausfallen.

Die Umsetzung technischer Sicherheitsmaßnahmen ist bei den meisten Unternehmen weit vorangeschritten, insbesondere sind VPN und Zugangskontrollen nur in Einzelfällen noch nicht implementiert. Bei der Umsetzung organisatorischer Sicherheitsmaßnahmen liegen die Unternehmen etwas weiter zurück. Weitgehend flächendeckend eingeführt sind jedoch die Aufrechterhaltung des aktuellen Informationsstandes und die Sensibilisierung/Schulung der Mitarbeitenden. Die größten Defizite zeigen sich bei der Einführung von Security Operations und einer sicheren Dokumentenerstellung.

Das IT-Sicherheits-Budget wird von der Mehrheit als nicht angemessen beurteilt, auch wenn sechs von zehn Unternehmen es in den letzten zwei Jahre erhöhten: Den Anteil am gesamten IT-Budget – im Durchschnitt 14 Prozent – hält nur jedes dritte Unternehmen für ausreichend. KMU, die über einen etwas höheren prozentualen Anteil verfügen als Großunternehmen, äußern sich häufiger zufrieden.

Sieben von zehn Unternehmen, deutlich stärker jedoch Großunternehmen als KMU, nehmen gegenwärtig eine erhöhte IT-Bedrohungslage wahr. Als Hauptursachen werden der Ukraine-Krieg bzw. die geopolitische/ weltpolitische Lage sowie die zunehmenden und gezielten Angriffe auf KRITIS-Betreiber genannt. Nicht alle, aber immerhin doch ein Großteil der besorgten Unternehmen erlebte in den vergangenen zwei Jahren eine stärkere Gefährdungslage speziell aufgrund häufigerer Cyber-Angriffe auf das eigene IT-System. Auch hier waren Großunternehmen stärker betroffen als KMU. Die mit Abstand häufigsten Cyber-Attacken erfolgten in Form von Phishing und Schadsoftware in Mailanhängen.