Corporate Governance Inside
Europe on the Move – What Boards need to know
Corporate Governance und Cybersicherheit
Welche Verantwortung trägt der Aufsichtsrat und was wird von ihm erwartet?
Cybersicherheit hat sich in den vergangenen Jahren von einer technischen Spezialdisziplin zu einer zentralen Dimension verantwortungsvoller Unternehmensführung entwickelt. Digitalisierung, Vernetzung und die zunehmende Abhängigkeit von IT-gestützten Prozessen machen Cyberrisiken zu einem der maßgeblichen Einflussfaktoren auf Stabilität, Wertschöpfung und Reputation von Organisationen. Cybervorfälle können Geschäftsmodelle unterbrechen, Lieferketten lahmlegen, regulatorische Verfahren auslösen und das Vertrauen von Kunden, Bürgerinnen und Bürgern sowie Partnern nachhaltig beschädigen. Für Vorstand und Aufsichtsrat bedeutet dies eine klare Verschiebung der Perspektive: Cybersicherheit ist heute kein delegierbares IT-Thema mehr, sondern integraler Bestandteil von Corporate Governance. Sie berührt Risikomanagement, Compliance, Strategie, Organisation und – zunehmend – die persönliche Verantwortung von Organmitgliedern. Entscheidender Maßstab ist dabei nicht die Illusion vollständiger Sicherheit, sondern die Fähigkeit der Organisation, Cyberrisiken strukturiert zu steuern, Krisen zu bewältigen und handlungsfähig zu bleiben.
Cyber als Governance-Thema: Verantwortung, Steuerung und Aufsicht
Wirksame Cyber-Governance beginnt mit einer klaren Verantwortungszuordnung. Operativ liegt die Steuerung typischerweise beim CISO und bei den Sicherheitsfunktionen. Die Verantwortung für die Gesamtrisikoposition, Priorisierung, Budgetierung und strategische Entscheidungen liegt jedoch bei Vorstand oder Geschäftsführung.
Der Aufsichtsrat nimmt dabei eine zentrale Überwachungs‑ und Impulsfunktion ein. Er hat sicherzustellen, dass Cyberrisiken angemessen identifiziert, bewertet und gesteuert werden, dass Governance-Strukturen funktionieren und dass die Organisation nicht nur formal „compliant“, sondern tatsächlich resilient ist. Cyberaufsicht bedeutet dabei nicht Mikromanagement, sondern kritisches Hinterfragen von Reifegrad, Wirksamkeit und Entscheidungsfähigkeit.
Damit Aufsicht wirksam werden kann, braucht es eine Übersetzung technischer Risiken in Kategorien, die das Geschäftsmodell abbilden. Berichte an den Aufsichtsrat müssen sich an Auswirkungen auf Geschäftsfähigkeit, Haftung, Reputation und strategische Ziele orientieren – nicht an technischen Detailkennzahlen. Zugleich bleibt der Mensch ein zentraler Faktor: Sicherheitskultur, klare Verantwortlichkeiten und kontinuierliche Befähigung der Organisation sind entscheidend für die Wirksamkeit aller Maßnahmen. Resilienz statt Illusion vollständiger Sicherheit
Ein moderner Governance-Ansatz akzeptiert, dass Cybervorfälle trotz aller Prävention eintreten können. Der zentrale Maßstab ist daher Resilienz: die Fähigkeit, Angriffe zu verkraften, schnell zu reagieren, Schäden zu begrenzen und den Geschäftsbetrieb aufrechtzuerhalten oder zeitnah wiederherzustellen.
Für den Aufsichtsrat bedeutet das, den Fokus bewusst zu erweitern
- von der reinen Erfüllung regulatorischer Mindestanforderungen
- hin zur systematischen Bewertung von Krisen-, Wiederanlauf- und Entscheidungsfähigkeit.
Resilienz ist keine Eigenschaft einzelner Systeme, sondern ein Zusammenspiel aus Technologie, Prozessen, Organisation, Führung und Kommunikation. Genau hier setzt wirksame Aufsicht an.
Befähigung der Organisation als Führungsaufgabe
Cyber-Governance erschöpft sich nicht in Richtlinien und Kontrollen. Entscheidend ist, ob die Organisation tatsächlich befähigt ist, Cyberrisiken zu managen. Dazu gehören
- klar definierte Rollen und Entscheidungswege im Krisenfall,
- ausreichende Ressourcen und Kompetenzen in den Sicherheitsfunktionen,
- aber auch die Fähigkeit des Managements, unter Zeitdruck informierte Entscheidungen zu treffen.
Der Aufsichtsrat sollte daher nicht nur fragen, ob Strukturen existieren, sondern auch, ob sie im Ernstfall tragfähig sind. Schulungen des gesamten Managements, regelmäßige Durchsicht der realistischen Szenarien und die dokumentierte Auseinandersetzung mit Cyberrisiken werden zunehmend auch von Regulatoren eingefordert.
Übungen, Lessons Learned und kontinuierliche Verbesserung
Ein zentraler, oft vernachlässigter Baustein guter Cyber-Governance sind Table-Top-Exercises und Krisenübungen. Sie machen sichtbar, wie belastbar Entscheidungsprozesse wirklich sind, wo Unsicherheiten bestehen und ob Verantwortlichkeiten tatsächlich gelebt werden.
Für den Aufsichtsrat ist dabei relevant:
- Sind Krisenübungen auf Vorstandsebene etabliert?
- Werden realistische Szenarien gewählt, die geschäfts- oder bestandskritische Auswirkungen abbilden?
- Werden Ergebnisse systematisch ausgewertet und nachverfolgt?
Die strukturierte Auswertung mit Lessons Learned aus Vorfällen und Übungen ist dabei ein unerlässliches Element. Aufsicht wird dort wirksam, wo nachvollziehbar dokumentiert ist, welche Erkenntnisse gewonnen und welche Verbesserungsmaßnahmen umgesetzt wurden – und wo nicht nur technische, sondern auch organisatorische und kommunikative Schwächen adressiert werden.
KPI-basierte Steuerung und Transparenz für die Aufsicht
Ein häufiges Defizit in der Praxis ist die fehlende konsistente, entscheidungsrelevante Berichterstattung an den Aufsichtsrat. Cyber-Governance benötigt Kennzahlen, die über reine Compliance hinausgehen und Resilienz messbar machen, etwa:
- Abdeckung kritischer Szenarien im Risikomanagement
- Ergebnisse aus Krisenübungen
- Wiederanlaufzeiten für geschäftskritische Prozesse
- Reifegrad der Drittparteiensteuerung
- Status wesentlicher Maßnahmen und Abweichungen
Bewährt haben sich kompakte Cyber-Dashboards für Prüfungs‑ oder Risikoausschüsse, die quantitative Kennzahlen mit qualitativen Einschätzungen und Trendverläufen kombinieren. Sie ermöglichen es dem Aufsichtsrat, Entwicklungen zu erkennen, gezielt nachzufragen und seine Aufsichtsfunktion nachvollziehbar wahrzunehmen.
Regulierung als Governance-Treiber: NIS2 und DORA
Mit NIS2 und DORA wird Cybersicherheit regulatorisch explizit auf Ebene des Management- und Aufsichtsorgans verankert. Beide Regelwerke verschärfen nicht nur operative Anforderungen, sondern verändern die Erwartungshaltung an Führung und Aufsicht grundlegend.
NIS2: Managementverantwortung und Beaufsichtigung
Die NIS2-Richtlinie verpflichtet das Managementorgan, Cyberrisikomanagementmaßnahmen zu billigen, deren Umsetzung zu überwachen und regelmäßig geschult zu werden. Verstöße können nicht nur zu Bußgeldern für die Organisation, sondern auch zu persönlichen Konsequenzen führen.
NIS2 verlagert den Fokus von „IT-Sicherheit“ hin zu Resilienz und Governance. Damit wird Cybersicherheit prüf- und haftungsrelevant für Aufsichtsräte.
DORA: operationale Resilienz als Steuerungs- und Aufsichtsthema
DORA geht noch einen Schritt weiter. Für Finanzinstitute und IKT-kritische Dienstleister verpflichtet DORA das Leitungsorgan u.a. zur Festlegung von
• Risikotoleranzen für IKT-Risiken,
• Budgets und Prioritäten,
• Notfall-, Wiederanlauf- und Krisenstrategien
• sowie zur aktiven Steuerung von ICT-Drittparteien.
Für die Aufsicht ist entscheidend: Der DORA zielt darauf ab, dass operative Resilienz auch wirklich funktionsfähig bleibt. Funktionstests, Szenarien und Lessons Learned sind auch hier keine Kür, sondern integraler Bestandteil der Steuerung.
Besonderheiten des öffentlichen Sektors
Für öffentliche Organisationen und Unternehmen der öffentlichen Hand gewinnen diese Fragestellungen zusätzliche Bedeutung. Cybersicherheit betrifft hier nicht nur wirtschaftliche Interessen, sondern staatliche Handlungsfähigkeit, öffentliche Sicherheit und gesellschaftliches Vertrauen. Gleichzeitig erschweren historisch gewachsene Strukturen, hohe Abhängigkeiten von Dienstleistern sowie enge vergabe- und haushaltsrechtliche Rahmenbedingungen die Umsetzung.
Gerade deshalb ist eine klare, Governance-getriebene Perspektive zentral. Hohe Sichtbarkeit führt dazu, dass Cybervorfälle im öffentlichen Sektor besonders stark auf das Vertrauen in Institutionen wirken. Verfügbarkeit, Integrität und Verlässlichkeit digitaler Leistungen werden damit zu Kernzielen verantwortungsvoller Aufsicht.
Sieben erweiterte Fragen, die jeder Aufsichtsrat stellen sollte
Vor diesem Hintergrund lassen sich die Leitfragen für Aufsichtsräte wie folgt weiterentwickeln:
- Welche bestands‑ oder geschäftsgefährdenden Cyberszenarien sind Teil unseres Risikobildes – und warum gerade diese? Entscheidend ist nicht Vollständigkeit, sondern die bewusste Fokussierung auf kritische Szenarien mit hoher Auswirkung. Die Betrachtung geht über die direkten Geschäftsprozesse hinaus und sollte die Supply Chain mit einbeziehen.
- Ist die Cyber-Governance klar geregelt, dokumentiert und wirksam gelebt? Wer entscheidet was – im Normalbetrieb und in der Krise? Und ist dies auch der Organisation bekannt?
- Wie misst der Vorstand Cyberresilienz – jenseits formaler Compliance? Gibt es belastbare Kennzahlen zu Reaktions-, Wiederanlauf- und Entscheidungsfähigkeit?
- Sind Cyberkrisenübungen etabliert, realistisch und auf Vorstand und Aufsichtsrat abgestimmt? Und werden Ergebnisse sowie erkannte Schwächen systematisch adressiert?
- Wie werden Software-, Cloud- und Drittparteienrisiken entlang der Lieferkette gesteuert? Sind kritische Abhängigkeiten transparent, und ist die Organisation auch bei Ausfällen handlungsfähig?
- Sind das Managementorgan – und der Aufsichtsrat selbst – ausreichend befähigt? Gibt es regelmäßige Schulungen, externe Expertise und eine dokumentierte Befassung mit Cyberrisiken?
- Ist Cybersicherheit in relevante Zustimmungs-, Vorbehalts- und Investitionsentscheidungen integriert? Oder wird sie erst nachgelagert behandelt, wenn Architektur- und Sourcing-Entscheidungen bereits gefallen sind?
Diese Fragen unterstützen Aufsichtsräte dabei, die Rolle aktiv, prüfbar und wiederholbar wahrzunehmen – ohne operativ in die Verantwortung des Vorstands einzugreifen.
Fazit
Cyberrisiken lassen sich nicht eliminieren – aber sie lassen sich steuern. Wirksame Corporate Governance im Cyberzeitalter bedeutet, Cybersicherheit als dauerhaftes Führungs- und Aufsichtsthema zu etablieren, Resilienz systematisch aufzubauen und Transparenz über Wirksamkeit zu schaffen.
Der Aufbau und der Regelbetrieb von Cyberaktivitäten zielen auf die resiliente Absicherung von technischen Maßnahmen, Prozessen in der Cybersicherheit und in kritischen Geschäftsprozessen. Unabhängig von Richtlinien oder Regularien das ist die Zielausrichtung.
Gute Aufsicht zeigt sich nicht daran, dass Angriffe ausbleiben, sondern daran, dass Organisationen unter Cyberstress entscheidungs-, handlungs- und lieferfähig bleiben – und dass der Aufsichtsrat diese Fähigkeit aktiv, kritisch und nachvollziehbar überwacht.
Hier können Sie das gesamte Magazin als PDF herunterladen: