Das Jahr 2024 ist ein Jahr voller Entwicklungen für die Informations- und Cybersicherheitsbranche. Neue Regulierungen hier, adaptierte Richtlinien dort. Zu den maßgeblichen Regelwerken zählen NIS‑2 (Netz- und Informationssicherheitssystemgesetz), der Cyber Resilience Act (CRA), der Artificial Intelligence (AI) Act, der Digital Operational Resilience Act (DORA) und TISAX® (Trusted Information Security Assessment Exchange). Unter dem Motto des heurigen CIS Compliance Summit: „Gemeinsam die Welle der Vorschriften meistern“ wurden die zunehmenden Bedrohungen durch Cyberkriminalität thematisiert. Während der Gesetzgeber mit Regelungen wie dem AI-Act und der NIS-2-Richtlinie einen wichtigen Rahmen schafft, tragen CISOs die Verantwortung für die Sicherheit der Unternehmen.
Beim CIS Compliance Summit am 10. Oktober stand im Mittelpunkt, wie KI-Ethik zusammen mit Richtlinien und Zertifizierungsstandards Europa vor Cyberangriffen schützen kann. Über 250 Vertreterinnen führender österreichischer Unternehmen folgten der Einladung von Harald Erkinger, Geschäftsführer der CIS — Certification & Information Security Services GmbH. Expertinnen wie Prof. Sarah Spiekermann und Sportlegende Toni Polster erklärten das komplexe Thema anhand praxisnaher Beispiele.
In einer vernetzten Welt nimmt die Bedrohung durch Cyberkriminalität zu
Angesichts des russischen Angriffs auf die Ukraine, des Nahostkonflikts und möglicher politischer Veränderungen in den USA steht Europa vor der Herausforderung, seine Verteidigungsstrategie zu überdenken. Cyberangriffe sind längst nicht mehr nur das Werk von Betrügern; sie gefährden unsere Infrastruktur und können sogar als Terrorakte auftreten. „In den letzten Jahren hat sich die Liste der möglichen Ziele für Cyberangriffe erheblich vergrößert.“
Die rasante Entwicklung neuer KI-Technologien stellt eine Herausforderung dar, da Angriffe nicht mehr nur einzelne Unternehmen betreffen, sondern das gesamte System in einer vernetzten Welt gefährden. „Deshalb müssen immer mehr Unternehmen von Regulierungen und Berichtspflichten erfasst werden“, betonte Harald Erkinger in seinem Eröffnungsvortrag. Er wies auf die Bedeutung der Zusammenarbeit aller Stakeholder hin. Gezielte Angriffe könnten Lebensmittelsicherheit, die Versorgungssicherheit oder das Gesundheitssystem gefährden und damit massive Auswirkungen auf die Infrastruktur haben.
Mit dem AI-Act und der NIS-2-Richtlinie hat die Europäische Union bereits wichtige Grundlagen geschaffen. Diese müssen jedoch kontinuierlich an neue Entwicklungen angepasst werden. Erkinger erläuterte: „Der AI-Act legt Anforderungen auf EU-Ebene fest, während ISO 42001 Unternehmen einen globalen Ansatz bietet, um sichere und vertrauenswürdige KI-Lösungen zu entwickeln und zu betreiben. Beide Rahmenwerke sollen sicherstellen, dass KI-Systeme Cyberbedrohungen proaktiv identifizieren und minimieren.
Die Ethik spielt eine entscheidende Rolle bei der Regulierung von KI. Prof. Sarah Spiekermann, Leiterin des Instituts für Informationssysteme & Gesellschaft an der WU Wien, erklärt: „Die zunehmende Bedeutung der KI-Ethik ist vor allem darauf zurückzuführen, dass Künstliche Intelligenz und Robotik in naher Zukunft massive Auswirkungen auf die Entwicklung der Menschheit haben werden.
Die Werte einer KI sind wichtiger als bloße Compliance-Vorgaben.
Die Ethik, die wir in KI-Systeme einbauen, zwingt uns, über unsere Erwartungen und die Risiken, die wir eingehen wollen, nachzudenken. Aspekte wie Wahrheit, Transparenz, Datenschutz, Fairness, Sicherheit, Kontrolle und Stromverbrauch sollten bei der Entwicklung im Mittelpunkt stehen, um das Vertrauen der Nutzer*innen zu gewinnen.
Wenn wir KI sinnvoll nutzen wollen, müssen wir ihr ethisches Design vertrauen können. KI-Ethik ist aus Sicht der Nutzer*innen und der Gesellschaft sogar wichtiger als die rechtlichen Vorschriften“, sagt Spiekermann. Ein Weg, um Vertrauen aufzubauen, ist die praktische Anwendung: „Wertethische gestaltete KI kann sowohl der Gesellschaft als auch Organisationen einen echten Mehrwert bieten. Dazu müssen wir uns jedoch von der Fixierung auf reine Funktionalität und gängigen amerikanischen Lösungen abwenden und stattdessen fragen: Welchen Wert möchte ich von dieser mächtigen Technologie und zu welchem Preis?
Die Antwort auf diese Frage kann durch Entwicklungsprozesse wie das „Value-based Engineering mit ISO/IEC/IEEE 24748–7000“ (VbE) gefunden werden. Dies ist die erste weltweit standardisierte Methode für eine wertethische Systemgestaltung. Sie integriert menschliche und soziale Werte in das IT-Design, basierend auf Kernwerten und Wertequalitäten. Beispiele für Wertequalitäten sind die Art der Ansprache, die Berücksichtigung des sozialen Status oder die Ablehnung von unhöflichem Verhalten. Mit dem VbE können Organisationen ein Wertmonitoring einführen, das zeigt, wie sozialverträglich ihre KI agiert und damit das Vertrauen der Nutzer*innen fördert oder gefährdet.
Erfolg basiert immer auf Teamarbeit
Um die KI-Ethik und eine effektive Cybersecurity erfolgreich zu etablieren und weiterzuentwickeln, sind alle Beteiligten gefordert. Fußball-Legende Toni Polster bringt es auf den Punkt: „Man gewinnt ein Spiel nicht, indem man die Verteidigung im Regen stehen lässt. Der Sieg ist immer das Ergebnis einer gemeinsamen Anstrengung, und das Team muss gut zusammenarbeiten. Jeder muss seine Rolle kennen und das große Ganze im Auge behalten. Man muss auf die Bewegungen der anderen Teammitglieder reagieren können. Ähnlich ist es in der Wirtschaft: Hier müssen Technologieunternehmen und alle, die Technologien nutzen, sich an den Bedürfnissen der Nutzer orientieren und gleichzeitig potenzielle Gefahren im Blick haben.
Der Gesetzgeber legt mit Regulierungen wie dem AI-Act und der NIS-2-Richtlinie die notwendigen Grundlagen für den sicheren Umgang mit neuen Technologien. Gleichzeitig sind die Nutzer*innen gefordert, verantwortungsbewusst damit umzugehen. In diesem Zusammenhang spielen Chief Information Security Officers (CISOs) eine zentrale Rolle. „Die Verantwortlichen in den Unternehmen leisten oft Außergewöhnliches und setzen sich persönlich stark ein, selbst unter schwierigen Bedingungen. CISOs und ihre Teams schützen nicht nur interne Daten, sondern tragen auch aktiv zu einer sichereren Gesellschaft bei“, erklärt Andreas Tomek, Partner IT Advisory bei KPMG. Um die Infrastruktur langfristig zu sichern, ist es wichtig, dass alle Akteure ein gegenseitiges Verständnis entwickeln und zusammenarbeiten.
Herzlichen Dank an alle Vortragenden für ihre wertvollen und informativen Beiträge, die diese Veranstaltung bereichert haben. Ein besonderes Dankeschön auch an das Team des Austria Trend Hotel Savoyen für die exzellente Betreuung und Bewirtung – Ihre Gastfreundschaft hat maßgeblich zum Erfolg der Veranstaltung beigetragen!
Gratulation an die beiden CISO of the Year 2024
Richard Thron ist seit 2018 Head of Information Security und Group CISO der Umdasch Group AG, einem der führenden Anbieter in der Bau- und Einzelhandelsbranche.
Fabian Cholewa ist seit Anfang 2023 CISO der Software GmbH in Düsseldorf. Das Unternehmen verfolgt das Ziel, Unternehmen digital und sicher zu vernetzen.
