Das Schweizer Cyber-Paradox: das digital wettbewerbsfähigste Land der Welt belegt Platz 31 bei der Cyber-Resilienz

Die Schweiz baut Digitales schneller aus als jedes andere Land der Welt und liegt dennoch in der unteren Hälfte, wenn es darum geht, das Aufgebaute zu verteidigen. Eine neue Studie der Abilene Academy, die 66 Länder anhand von vier gewichteten Indikatoren digitaler Stärke und Cyber-Vorbereitung vergleicht, verleiht dem Land perfekte 100 von 100 bei der digitalen Wettbewerbsfähigkeit, dem höchsten Wert aller Nationen, neben einem Cyber-Resilienz-Gesamtwert von nur 5,32 von 10 und Platz 31. Der Abstand zwischen diesen beiden Zahlen, vor dem Hintergrund eines Jahres, in dem Cyberangriffe auf Schweizer Organisationen um rund 35 % zunahmen, ist das, was diese Studie erklären will.

Erster weltweit beim Digitalen, 31. bei der Resilienz

Kein Land der Studie erzielt eine höhere digitale Wettbewerbsfähigkeit als die Schweiz, deren perfekte 100 von 100 sie vor die Vereinigten Staaten mit 99,29, Dänemark mit 97,23, die Niederlande mit 96,82 und Schweden mit 95,42 setzen, was einen Gesamtwert von 5,32 von 10 für dasselbe Land so leicht als Fehler missdeuten lässt. Es ist kein Fehler, sondern das gewichtete Ergebnis von vier Indikatoren: Die Schweiz führt bei der digitalen Wettbewerbsfähigkeit, doch ihre bescheideneren Werte bei der Cyber-Vorbereitung und beim Aufbau von Cyber-Fähigkeiten, zusammen mit einer im Vergleich zu ihren Nachbarn höheren Rate politisch motivierter Cybervorfälle, drücken den Gesamtwert auf 5,32 und den Rang auf 31. Die digitale Stärke ist real, und ebenso die Resilienzlücke dahinter.

Die Nachbarn machen das Paradox unübersehbar

Nichts schärft das Paradox so wie ein Blick auf die Nachbarn der Schweiz. Frankreich liegt siebzehn Plätze höher, auf Rang 14, bei einer digitalen Wettbewerbsfähigkeit von 81,91 gegenüber 100 der Schweiz, und Deutschland erreicht einen Gesamtwert von 6,45 von 10 gegenüber 5,32 der Schweiz, bei einem digitalen Wert von nur 84,25. Dasselbe Muster gilt bei den Vorfällen: Die Rate politisch motivierter Cybervorfälle der Schweiz, aus dem EuRepoC Cyber Incident Dashboard und pro 100 000 Einwohner ausgedrückt, liegt mit 0,0777 höher als jene Frankreichs mit 0,0644, Deutschlands mit 0,0478 oder Italiens mit 0,0255. Land um Land mit schwächeren digitalen Grundlagen erweist sich als besser vorbereitet, sobald jeder Indikator zählt, das deutlichste Zeichen dafür, dass digitale Stärke und Cyber-Resilienz nicht dasselbe sind.

Wer tatsächlich bei der Cyber-Resilienz führt

Die Länder an der Spitze der globalen Tabelle teilen ein Profil, das die Schweiz nicht hat. Singapur führt mit 8,53 von 10, gefolgt von den Vereinigten Arabischen Emiraten mit 8,03, Finnland mit 7,93, Saudi-Arabien mit 7,91 und den Vereinigten Staaten mit 7,86. Was sie auszeichnet, ist selten die reine technologische Kapazität, ein Bereich, in dem die Schweiz Weltklasse ist, und weit häufiger die Governance- und Reaktionsmechanik, die aus Kapazität Resilienz macht. Die Schweiz, mit den stärksten digitalen Grundlagen aller 66 Länder, liegt weit unterhalb dieser Spitzengruppe.

Warum die Lücke eine Frage der Governance ist, nicht der Technologie

Zusammengenommen weisen die Indikatoren von der Technologie als Problem weg. Was die resilientesten Länder und Organisationen auszeichnet, ist das, was hinter der Infrastruktur steht, nämlich wirksame Governance, solides Risikomanagement, klare Rechenschaft und die Fähigkeit, zu reagieren, wenn ein Vorfall eintritt, und nichts davon lässt sich wie ein Werkzeug kaufen. Für die meisten Schweizer Organisationen ist das Schliessen der Lücke weniger eine Beschaffungs- als eine Betriebsentscheidung, und der praktische Weg führt über anerkannte Rahmenwerke wie ISO 27001 für die Informationssicherheit und ein strukturiertes Risikomanagement, das lebendig bleibt statt jährlich.

Was Schweizer Organisationen jetzt tun sollten

Die Erkenntnis für Schweizer Organisationen ist unmissverständlich. Cybersicherheit kann nicht allein in der IT-Funktion angesiedelt sein; sie muss in der Chefetage verantwortet und auf jeder Ebene in Entscheidungen eingebettet werden, im gleichen Tempo wie die digitale Fähigkeit, die sie schützt. Diese Richtung wird zudem zur Pflicht, da die Regeln in Europa strenger werden, von der NIS-2-Richtlinie bis zum Cyber Resilience Act, und aus der heutigen Governance-Lücke die Compliance-Lücke von morgen machen. Fünf Massnahmen trennen die Organisationen, die sie schliessen, von jenen, die sie mitten im Vorfall entdecken:

• Cyber-Risiko in die Chefetage bringen, mit benannter Verantwortung, statt es in der IT zu belassen.
• Ein anerkanntes Managementsystem-Rahmenwerk einführen, damit Kontrollen, Nachweise und Prüfpfade laufend funktionieren, nicht einmal im Jahr.
• Risikobewertungen lebendig halten und regelmässig überprüfen, nicht abheften und vergessen.
• Vorfallreaktion und Wiederherstellung vor einem Vorfall proben, nicht währenddessen.
• Dieselbe Governance-Disziplin auf die KI-Systeme ausdehnen, die jetzt in Produktion gehen.

Die Ausbildung, die die Lücke schliesst

Resilienz wird letztlich von Menschen gebaut, die die Systeme dahinter betreiben können. Als einziger PECB-Titanium-Partner der Schweiz bildet die Abilene Academy genau diese Rollen aus und zertifiziert sie: ISO 27001 Lead Implementer für das Informationssicherheits-Managementsystem, Lead Cybersecurity Manager für die Verteidigung auf Programmebene und ISO 27005 Risk Manager für die Risikobewertungen, die eine resiliente Aufstellung aktuell statt theoretisch halten.