In einer zunehmend hyper-digitalisierten1 Welt ist Cybersicherheit nicht länger ein rein technisches Thema, sondern eine strategische Führungsaufgabe – sowohl auf Vorstandsebene als auch im Aufsichtsrat (vgl. Allianz Risk Barometer 2025). Die schnelle Einführung von Technologien wie Cloud Computing, künstlicher Intelligenz (KI) und dem Internet of Things (IoT) schafft neue Innovationspotenziale, erhöht jedoch gleichzeitig die Angriffsfläche erheblich. Insbesondere generative KI verschärft die Bedrohungslage: Sie ermöglicht die automatisierte Erstellung von Phishing-E-Mails, Deepfakes und synthetischen Identitäten, die klassische Schutzmechanismen umgehen und gezielt menschliches Vertrauen ausnutzen. Parallel dazu verschärfen geopolitische Spannungen die Lage. Staatlich unterstützte Cyberoperationen nehmen zu – häufig ohne eindeutige Zuordnung. Länder wie China und Russland werden in Bedrohungsanalysen regelmäßig genannt (z.B. Office of the Director of National Intelligence: Annual Threat Assessment 2024). Die Angriffe sind zunehmend strategisch, persistent und hochentwickelt – mit Fokus auf kritische Infrastrukturen, Lieferketten und geistiges Eigentum. Die schwierige Attribution und die Vermischung staatlicher und nicht-staatlicher Akteure erschweren effektive Gegenmaßnahmen. Ein exemplarischer Vorfall war 2024 der Angriff auf die U.S. Cybersecurity and Infrastructure Security Agency (CISA), bei dem Schwachstellen in Ivanti-VPN-Produkten ausgenutzt wurden. Trotz intensiver Ermittlungen konnte kein Verursacher identifiziert werden – ein Beispiel für die wachsende Intransparenz und Komplexität moderner Cyberbedrohungen. Neben der technischen Bedrohungslage wächst auch der regulatorische Druck. Neue Vorgaben wie NIS2, der Cyber Resilience Act (CRA) und der Digital Operational Resilience Act (DORA) setzen neue Maßstäbe für Cybersicherheits-Governance. Sie fordern • robuste technische und organisatorische Kontrollen, • klare Meldepflichten bei Sicherheitsvorfällen • sowie die Integration von Cybersicherheit in Risiko- und Compliance-Strategien. Diese Entwicklungen machen deutlich: Cybersicherheit ist heute ein zentraler Bestandteil guter Unternehmensführung – und muss aktiv durch Vorstand und Aufsichtsrat gesteuert werden. Von regulatorischer Compliance zur praktischen Cybersicherheit Die europäische NIS2‑Richtlinie verdeutlicht den wachsenden regulatorischen Fokus auf Verantwortlichkeit. Verstöße – etwa das Unterlassen von Meldungen oder fehlende Risikomanagementmaßnahmen – können zu Bußgeldern von bis zu 10 Mio. € oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche Einrichtungen führen; für wichtige Einrichtungen gelten 7 Mio. € oder 1,4 Prozent. Darüber hinaus können Führungskräfte persönlich haftbar gemacht werden, einschließlich öffentlicher Benennung, Compliance‑Anordnungen und zeitweiligen Managementverboten bei wiederholten Verstößen (Europäische Kommission, 2020, Cyber Resilience Act). Diese Vorschriften betreffen nicht nur klassische kritische Infrastrukturen. Der CRA verpflichtet Hersteller und Softwareanbieter zudem, Cybersicherheitsfunktionen über den gesamten Produktlebenszyklus hinweg zu integrieren. Nicht konforme Produkte können vom EU‑Markt ausgeschlossen werden, was Umsatz und Reputation gefährdet (ENISA, 2020, NIS Directive 2 Overview). Diese Entwicklungen betonen den aktuellen Paradigmenwechsel: Cybersicherheit wird nicht mehr als rein technisches Thema betrachtet, sondern als strategische Notwendigkeit. Immer häufiger berichten Chief Information Security Officers (CISOs) direkt an den Vorstand und den Aufsichtsrat, sodass Cybersicherheit zum Kernbestandteil des Risikomanagements wird. Für viele Unternehmen bedeutet dies, Governance‑Strukturen neu zu denken, in Compliance‑Fähigkeiten zu investieren, funktionsübergreifend zusammenzuarbeiten und Cybersicherheit in alle Entscheidungsebenen einzubetten. Die finale Verantwortung für Cybersicherheit liegt zuletzt jedoch bei der Geschäftsführung. Auch wenn spezialisierte Fachkräfte für die Umsetzung technischer und organisatorischer Schutzmaßnahmen zuständig sind, bleibt die Geschäftsführung in der Pflicht, den umfassenden Schutz vor Cyberrisiken sowie die Einhaltung regulatorischer Anforderungen sicherzustellen. Dazu gehören auch die regelmäßige Kommunikation mit dem Aufsichtsrat sowie die Berichterstattung über den Stand der Cybersicherheit. Der Aufsichtsrat übernimmt dabei eine aktive Kontrollfunktion. Er muss gewährleisten, dass sowohl seine eigenen Prozesse sicher gestaltet sind als auch die Maßnahmen der Geschäftsleitung wirksam greifen. Um dieser Aufgabe gerecht zu werden, ist ein solides Verständnis für die technischen, rechtlichen und strategischen Aspekte der Informationssicherheit erforderlich. Eine kontinuierliche Überprüfung und Bewertung der Sicherheitslage sind unerlässlich. Ein spezialisiertes Cyber-Gremium im Aufsichtsrat kann hierbei eine zentrale Rolle spielen. Dieses sollte mit Expertinnen und Experten besetzt sein, die als Bindeglied zwischen Aufsichtsrat und Unternehmensleitung fungieren. Es informiert über regulatorische Entwicklungen, bewertet die Umsetzung von Sicherheitsmaßnahmen und stellt sicher, dass die Mitglieder des Aufsichtsrats über die notwendige Cyberkompetenz verfügen. Letztlich ist es Aufgabe des Aufsichtsrats, die Geschäftsführung dazu anzuhalten, wirksame Schutzmaßnahmen zu ergreifen – zum Wohl des Unternehmens, seiner Mitarbeitenden, Kunden und Partner.