Zentrale Erkenntnisse der Umfrage unter über 100 IT- und Security-Verantwortlichen:

• Cyberrisiken nehmen zu: 71 Prozent der Befragten sehen steigende oder gleichbleibende Risiken – trotz steigender Budgets.
• Formelle Programme – ohne Reife: Zwar verfügen 49 Prozent über ein Cyber-Risikoprogramm, doch nur 30 Prozent priorisieren Risiken auf Basis von Geschäftszielen.
• ROI bleibt aus: Die meisten Sicherheitsinvestitionen zahlen sich nicht aus – fehlende Transparenz und Priorisierung bremsen die Wirkung.
• Mangelnde Asset Intelligence: Nur 13 Prozent können Assets kontinuierlich inventarisieren, 47 Prozent arbeiten noch mit manuellen Prozessen.
• Kommunikationslücke zum Management: Nur 14 Prozent verknüpfen Cyberrisikoberichte mit finanziellen Kennzahlen – nur 22 Prozent binden Finanzteams ein.
• Wunsch nach Kontext statt CVSS: Führungskräfte fordern Entscheidungen basierend auf geschäftlichen Risiken – nicht technischen Scores.

Cybersicherheit wird zunehmend als strategisches Thema wahrgenommen, doch in der praktischen Umsetzung klaffen Lücken. Zwar verfügen fast die Hälfte der befragten Organisationen über formelle Risikoprogramme, doch nur ein Drittel davon priorisiert Risiken anhand geschäftlicher Ziele. Die Studie fordert deshalb eine stärkere Orientierung an geschäftlichen Auswirkungen – beispielsweise an potenziellen Umsatzverlusten oder der Gefährdung sensibler Kundendaten.

Trotz wachsender Budgets steigt das Cyberrisiko bei vielen Unternehmen weiter. Das liegt vor allem daran, dass Tools isoliert arbeiten, die Asset-Transparenz lückenhaft ist und Priorisierungen oft an klaren strategischen Zielen vorbeigehen. Die Risikobewertung erfolgt häufig noch auf Basis starrer Scores wie CVSS, ohne den geschäftlichen Kontext zu berücksichtigen. Führungskräfte verlangen jedoch keine technischen Dashboards mehr, sondern verständliche Antworten auf zentrale Fragen: Wo liegen die größten Risiken? Wie hoch ist die mögliche Auswirkung? Welche Maßnahmen bringen den größten Nutzen?

Hier setzt das von Qualys vorgestellte Konzept eines Risk Operations Center (ROC) an: Es vereint die kontinuierliche Erkennung, Bewertung und Steuerung von Risiken auf Basis kontextualisierter Echtzeitdaten. Das dazugehörige Enterprise TruRisk Management (ETM) konsolidiert technische Informationen und übersetzt sie in geschäftsrelevante Kennzahlen, um Entscheidungen fundiert treffen zu können.

Deshalb müssen Unternehmen ihr Risikomanagement strategisch neu ausrichten – weg vom Technikfokus, hin zur geschäftsrelevanten Risikobetrachtung. Das ROC-Modell (Risk Operations Center) bietet hier eine strukturierte, unternehmensweite Lösung.