Ein erfolgreicher Cyberangriff bleibt selten ein IT-Problem. Die Produktion steht still, Kundendaten sind abgeflossen, die Presse fragt nach – und plötzlich sitzt das Thema in der Geschäftsleitung, nicht im Serverraum. Dorthin gehört es auch, und zwar bevor etwas passiert.

Sicherheit ist eine Frage der Perspektive

Solange Cyber Security als Kostenstelle der IT gilt, bleibt sie reaktiv: Man kauft Werkzeuge und hofft, dass sie reichen. Sobald sie als Beitrag zur Widerstandsfähigkeit des Geschäfts verstanden wird, ändern sich die Fragen. Nicht mehr «Welche Firewall?», sondern:

  • Welche Geschäftsprozesse dürfen auf keinen Fall ausfallen?
  • Was würde ein Ausfall kosten, in Franken und vor Gericht?
  • Welches Restrisiko sind wir bereit zu tragen?

Die richtigen Fragen aus dem Verwaltungsrat

Ein Verwaltungsrat muss keine Sicherheitsarchitektur lesen können. Aber er muss hartnäckig nachfragen und sich mit «läuft alles» nicht zufriedengeben:

  1. Kennen wir unsere kritischen Werte und die grössten Risiken?
  2. Sind unsere Massnahmen angemessen, und wer bestätigt das unabhängig?
  3. Was genau würden wir in den ersten Stunden eines ernsten Vorfalls tun?
  4. Wie gut sind eigentlich unsere Lieferanten und Partner abgesichert?

Vorbereitung schlägt Reaktion

Die unbequeme Wahrheit lautet: Der Ernstfall ist keine Frage des Ob, sondern des Wann. Den Unterschied macht, was vorher geschehen ist. Wer Reaktionspläne geübt und Zuständigkeiten geklärt hat, verliert im Vorfall Stunden statt Wochen. Genau diese Stunden entscheiden über Schadenshöhe und Reputation.

Was bleibt

Cyber-Risiken sind Geschäftsrisiken, und Geschäftsrisiken gehören auf den Tisch der Führung. Wer sie dort aktiv steuert, statt sie nach unten zu delegieren, schützt nicht nur Daten, sondern die Handlungsfähigkeit des Unternehmens.

Möchten Sie Cyber-Risiken auf Führungsebene greifbar machen? Vereinbaren Sie ein Erstgespräch.