IKT steht für Informations- und Kommunikationstechnik. IKT-Sicherheit meint den Schutz von Systemen, Netzen, Software und Daten. Im Alltag sagt man meist IT-Sicherheit. Der Begriff steht heute in mehreren Gesetzen, vom BSI-Gesetz bis zu den Regeln für die Finanzbranche. Fragt ein Kunde Sie danach, muss er meist nachweisen, dass er seine Dienstleister im Griff hat. Dafür braucht er Unterlagen von Ihnen.
Was der Begriff meint
IKT ist die Abkürzung für Informations- und Kommunikationstechnik. Dazu gehören Rechner und Server, Netze, Software, Rechenzentren und Cloud-Dienste. IKT-Sicherheit bedeutet, diese Technik und die Daten darauf zu schützen.
Es geht dabei um drei Ziele. Vertraulichkeit: Nur Berechtigte sehen die Daten. Integrität: Daten werden nicht unbemerkt verändert. Verfügbarkeit: Systeme laufen, wenn sie gebraucht werden.
In der Sache ist IKT-Sicherheit dasselbe wie IT-Sicherheit. Informationssicherheit ist etwas weiter gefasst. Sie schützt Informationen in jeder Form, also auch auf Papier oder im Gespräch.
Wo der Begriff vorkommt
Das Kürzel IKT stammt aus dem EU-Recht. Die EU-Cybersicherheitsverordnung von 2019 unterscheidet IKT-Produkte, IKT-Dienste und IKT-Prozesse. Ein IKT-Dienst ist dort vereinfacht gesagt jeder Dienst, der Informationen über Netze und IT-Systeme überträgt, speichert oder verarbeitet. Das deutsche BSI-Gesetz übernimmt diese Begriffe.
Je nach Regelwerk heißt das Gleiche etwas anders. Das schafft Verwirrung, ändert aber wenig an dem, was Ihr Kunde von Ihnen braucht.
| Begriff | Regelwerk | Wen es betrifft |
|---|---|---|
| IKT-Produkt, IKT-Dienst | EU-Cybersicherheitsverordnung 2019/881, BSI-Gesetz | Hersteller und Anbieter von IT |
| Sicherheit in der Informationstechnik | BSI-Gesetz, § 2 Nr. 39 BSIG | Unternehmen unter NIS-2 und Betreiber kritischer Anlagen |
| Sicherheit von Netz- und Informationssystemen | NIS-2-Richtlinie (EU) 2022/2555 | Wichtige und besonders wichtige Einrichtungen in der EU |
| IKT-Risiko, IKT-Drittdienstleister | DORA, Verordnung (EU) 2022/2554 | Banken, Versicherungen, Zahlungsdienstleister |
| Informationssicherheit | ISO/IEC 27001 | Jedes Unternehmen, das sich zertifizieren lässt |
Warum Ihr Kunde danach fragt
Viele Unternehmen müssen heute nicht nur ihre eigene IT absichern, sondern auch die ihrer Dienstleister. Fällt Ihr Kunde unter das BSI-Gesetz, muss er die Sicherheit seiner Lieferkette regeln (§ 30 Abs. 2 Nr. 4 BSIG). Das gilt etwa für Energieversorger, Krankenhäuser, Wasserwerke, Logistiker und viele mittlere Unternehmen. Für Finanzunternehmen gilt Entsprechendes nach DORA. Auch wer sich nach ISO 27001 zertifizieren lässt, muss seine Lieferanten steuern.
In allen Fällen landet die Frage bei Ihnen. Ihr Kunde schickt einen Fragebogen, einen Vertragsanhang mit Sicherheitsklauseln oder kündigt ein Audit an. Er will wissen, wie Sie Zugänge schützen, Vorfälle melden, Daten sichern und den Betrieb im Notfall aufrechterhalten.
Mehr dazu in den Beiträgen Lieferkette unter NIS-2 und KRITIS, Sicherheitsfragebogen beantworten und Art. 30 DORA.
Was Sie als IT-Dienstleister tun können
- Klären Sie, nach welchem Regelwerk Ihr Kunde fragt. Steht BSI-Gesetz, NIS-2, DORA oder ISO 27001 in der Anfrage, wissen Sie, welche Anforderungen dahinterstehen.
- Prüfen Sie, welche Ihrer Leistungen der Kunde für wichtige Abläufe nutzt. Dafür gelten die strengsten Anforderungen.
- Halten Sie Sicherheitsleitlinie, Notfallkonzept, Vorfallprozess und eine Liste Ihrer Unterauftragnehmer bereit. Damit beantworten Sie die meisten Fragen.