Mit dem Geschäft beginnen
Die erste Frage lautet nicht, welches Sicherheitsprodukt fehlt. Sie lautet: Welche Geschäftsleistung darf wie lange ausfallen? Produktion, Lieferfähigkeit, Zahlungsverkehr oder Kundenkommunikation haben unterschiedliche Abhängigkeiten. Erst wenn diese sichtbar sind, lassen sich technische Maßnahmen sinnvoll priorisieren.
Eine Bestandsaufnahme sollte deshalb Geschäftsprozesse, Verantwortliche, Daten, Anwendungen, Identitäten und Dienstleister zusammenführen. Ein System kann technisch redundant sein und trotzdem an einer einzigen Person oder einer ungeklärten Freigabe hängen. Resilienz entsteht nicht allein in der Architektur.
Risiken in Entscheidungen übersetzen
Ein Managementbericht muss eine Entscheidung ermöglichen. Die Zahl geschlossener Tickets allein erklärt weder die aktuelle Gefährdung noch den Handlungsbedarf. Hilfreicher ist eine kurze Darstellung: betroffener Geschäftsprozess, plausibles Störungsszenario, bestehende Kontrollen, verbleibendes Risiko und konkrete Entscheidungsoption.
Das NIST Cybersecurity Framework 2.0 behandelt Governance als eigene Funktion. Damit wird deutlich: Zuständigkeiten, Erwartungen und der Umgang mit Risiken gehören in die Unternehmenssteuerung. Ein Framework ersetzt jedoch weder die eigene Risikobewertung noch die Entscheidung der verantwortlichen Menschen.
Den Ernstfall mit dem Betrieb durchdenken
Ein Wiederanlaufplan ist nur so gut wie seine praktische Durchführbarkeit. Sind die benötigten Zugänge auch bei Ausfall des üblichen Identitätsdienstes erreichbar? Wer kann einen Dienstleister verbindlich beauftragen? Welche Abhängigkeiten bestimmen die Reihenfolge der Wiederherstellung?
Solche Fragen lassen sich in einer gemeinsamen Übung von Fachbereich, IT, Security und Kommunikation durchspielen. Ziel ist nicht ein makelloser Ablauf auf Papier, sondern das frühe Erkennen unklarer Zuständigkeiten. Auch ein technisch erfolgreicher Restore ist noch kein Beleg dafür, dass der Geschäftsprozess wieder funktioniert.
Wenige Kennzahlen, klare Konsequenzen
Eine brauchbare Steuerung unterscheidet Aktivität, Wirksamkeit und Geschäftsrisiko. Patchquoten oder Alarmzahlen beschreiben einen Teil der Arbeit. Ein überprüfter Wiederanlauf, nachvollziehbare Ausnahmeentscheidungen und geschlossene Maßnahmen aus Übungen zeigen näher am Geschäft, was tatsächlich trägt.
Für jede Kennzahl braucht es einen Verantwortlichen und eine Konsequenz. Wenn ein Ziel verfehlt wird, muss daraus eine Entscheidung folgen können: zusätzliche Ressourcen, eine technische Änderung oder eine bewusst dokumentierte Risikoabwägung. Ein Dashboard ohne diese Verbindung bleibt eine Anzeige.
Drei Fragen für die nächste Führungsrunde
Welche kritische Geschäftsleistung können wir nachweislich wiederherstellen – und unter welchen Voraussetzungen? Welche offene Risikoentscheidung wartet auf das Management? Was haben wir seit der letzten Übung an unserem tatsächlichen Betrieb verändert?
Diese Fragen verbinden Transparenz mit Handlungsfähigkeit. Sie machen Security zu einem gemeinsamen Thema von Geschäftsführung, Fachbereichen und Technologieverantwortlichen. Genau dort gehört die Verantwortung für Cyber Resilience hin.
Quellen & Einordnung
Redaktionelle Einordnung, keine Darstellung eines bestimmten Kundenprojekts. KI wurde für den Textentwurf eingesetzt. KI-Transparenz ↗