Cybersicherheit als Führungsaufgabe: Warum die Geschäftsleitung entscheiden muss

Cybersicherheit ist keine technische Spezialaufgabe, die sich vollständig an die IT-Abteilung delegieren lässt. Sie ist eine Führungsaufgabe – mit direkten Auswirkungen auf Betrieb, Haftung und Reputation. Wer als Geschäftsführer oder Verwaltungsrat Cyberrisiken ausschliesslich der IT überträgt, delegiert die Verantwortung, nicht aber die Konsequenzen. Das ist ein strukturelles Risiko, das viele KMU unterschätzen.

Warum Cyberrisiken keine rein technischen Risiken sind

In vielen Unternehmen ist die Zuordnung klar: Cybersicherheit gehört zur IT. Firewalls, Backups, Monitoring – das klingt nach Technik, also nach IT-Aufgabe. Auf den ersten Blick wirkt das logisch. In der Praxis führt diese Sichtweise jedoch zu einem gefährlichen Missverständnis.

Ein erfolgreicher Cyberangriff ist selten ein technisches Einzelereignis. Er ist fast immer die Folge von Entscheidungen – oder von fehlenden Entscheidungen. Und diese Entscheidungen liegen nicht in der IT, sondern in der Unternehmensführung:

• Welche Geschäftsprozesse sind kritisch und müssen priorisiert geschützt werden?

• Welche Risiken akzeptieren wir bewusst – und welche nicht?

• Welche Abhängigkeiten bestehen zu Cloud-Anbietern, Lieferanten oder Dienstleistern?

• Wer entscheidet im Krisenfall und auf welcher Grundlage?

Diese Fragen kann keine IT-Abteilung allein beantworten. Sie sind Teil der Unternehmenssteuerung und gehören damit klar in die Verantwortung der Geschäftsleitung.

Wo beginnt die Haftung der Geschäftsleitung?

Ein verbreiteter Irrtum lautet: «Für Cyber ist die IT verantwortlich.» Rechtlich und organisatorisch ist das nicht haltbar.

Die Geschäftsleitung trägt die Gesamtverantwortung für die Organisation des Unternehmens, für ein angemessenes Risikomanagement und für die Einhaltung regulatorischer Anforderungen. Dazu gehören heute ausdrücklich auch Cyber- und Informationsrisiken.

Vorgaben wie der IKT-Minimalstandard oder ISO 27001 fordern keine perfekten technischen Lösungen. Sie fordern nachvollziehbare Entscheidungen, klare Zuständigkeiten und ein wirksames Steuerungsmodell.

Im Schadenfall wird nicht gefragt, welches Tool fehlte. Es wird gefragt:

• ob Risiken bekannt waren,

• ob Verantwortlichkeiten klar geregelt waren,

• ob Entscheidungen dokumentiert und angemessen getroffen wurden.

Haftung beginnt nicht beim Angriff – sie beginnt bei der Organisation.

Was delegiert werden darf – und was nicht

Natürlich muss die Geschäftsleitung Cybersicherheit nicht operativ umsetzen. Delegation ist richtig und notwendig. Entscheidend ist jedoch, was delegiert wird und was nicht.

Nicht delegierbar sind:

• die Definition der Risikobereitschaft,

• die Priorisierung kritischer Geschäftsprozesse,

• die Festlegung von Verantwortlichkeiten,

• die Steuerung und Kontrolle der Massnahmen.

Delegierbar sind:

• die operative Umsetzung,

• technische Detailentscheide,

• der Betrieb von Sicherheitsmassnahmen.

Fehlt diese Trennung, entstehen typische Symptome: Die IT soll «Sicherheit machen», ohne klaren Entscheidungsrahmen. Risiken werden technisch beschrieben, aber nicht geschäftlich bewertet. Massnahmen bleiben liegen, weil Prioritäten unklar sind. Cybersicherheit wird dann teuer, ineffizient und im Ernstfall wirkungslos.

Cybersicherheit als Führungsaufgabe: Drei konkrete Aufgaben

Cybersicherheit als Führungsaufgabe bedeutet nicht mehr Arbeit, sondern bessere Steuerung. In der Praxis bewähren sich drei klare Aufgaben der Geschäftsleitung:

1. Risiken verstehen – nicht Technik beherrschen
Die Geschäftsleitung muss Risiken in einer Sprache verstehen, die Entscheidungen ermöglicht. Nicht «Zero Trust» oder «SIEM», sondern: Was sind die Auswirkungen auf Umsatz, Betrieb, Haftung und Reputation?

2. Verantwortung klar zuweisen
Wer ist wofür zuständig? Wer bereitet Entscheidungen vor? Wer berichtet regelmässig? Unklare Rollen sind eines der grössten Risiken in KMU.

3. Entscheidungen sichtbar machen
Dokumentierte Entscheide, priorisierte Massnahmen und regelmässige Reviews schaffen Nachvollziehbarkeit – intern wie extern.

Praxisbeispiel: Ein KMU aus der Industrie

Ein Industrieunternehmen mit rund 80 Mitarbeitenden hat seine IT vollständig an einen externen Dienstleister ausgelagert. Die Geschäftsleitung geht davon aus, dass damit auch die Cybersicherheit geregelt ist. Als ein Ransomware-Angriff die Produktion für drei Tage lahmlegt, zeigt sich: Es gibt keine dokumentierten Verantwortlichkeiten für den Krisenfall, keine priorisierten Wiederherstellungsprozesse und keine klare Kommunikationslinie zur Geschäftsleitung.

Der Schaden ist erheblich – nicht weil die Technik versagt hat, sondern weil Führungsentscheide gefehlt haben. Genau hier setzt eine strukturierte Sicherheitsverantwortung auf Führungsebene an: mit klaren Rollen, dokumentierten Entscheiden und einem Steuerungsmodell, das im Ernstfall funktioniert.

Wenn das Know-how intern fehlt: Externe Unterstützung als Lösung

Viele KMU stehen vor einem strukturellen Dilemma: Die Verantwortung liegt bei der Geschäftsleitung, das Fachwissen jedoch nicht immer im Unternehmen. Modelle wie CISO-as-a-Service schliessen diese Lücke. Sie schaffen eine klare Sicherheitsverantwortung, übersetzen zwischen Technik und Management und ermöglichen eine kontinuierliche Steuerung statt punktueller Aktion.

Entscheidend ist nicht die Form, sondern die Wirkung: Klarheit, Priorität und Verlässlichkeit.

Sicherheit entsteht durch Führung, nicht durch Tools

Cybersicherheit wirkt nur dann nachhaltig, wenn sie dort verankert ist, wo Entscheidungen getroffen werden. Nicht als IT-Thema, sondern als Bestandteil guter Unternehmensführung. Unternehmen, die das erkennen, gewinnen mehr Kontrolle über Risiken, bessere Entscheidungsgrundlagen und spürbar mehr Ruhe im Alltag.

Ein erster konkreter Schritt: Klären Sie intern, wer in Ihrem Unternehmen für Cyberrisiken verantwortlich ist – und ob diese Person die nötige Entscheidungskompetenz hat.

Möchten Sie Klarheit über Rollen und Verantwortung in Ihrer Cybersicherheit?

Ich zeige Ihnen, welche Cyberrisiken für Ihr Unternehmen wirklich relevant sind, wer wofür Verantwortung trägt und wo Delegation sinnvoll – oder gefährlich – ist. Vereinbaren Sie ein unverbindliches Erstgespräch und gewinnen Sie Klarheit über Rollen, Verantwortung und Entscheidungslogik in Ihrer Cybersicherheit.

Häufig gestellte Fragen

Warum ist Cybersicherheit eine Führungsaufgabe und nicht nur eine IT-Aufgabe?
Weil Cyberrisiken den Geschäftsbetrieb, die Lieferfähigkeit, die Reputation und die persönliche Haftung der Geschäftsleitung betreffen. Technische Massnahmen allein reichen nicht – es braucht Entscheidungen auf Führungsebene: Welche Risiken akzeptieren wir? Welche Prozesse sind kritisch? Wer trägt Verantwortung?

Was kann die Geschäftsleitung an die IT delegieren – und was nicht?
Delegierbar sind operative Umsetzung, technische Detailentscheide und der Betrieb von Sicherheitsmassnahmen. Nicht delegierbar sind die Definition der Risikobereitschaft, die Priorisierung kritischer Prozesse und die Steuerung der Massnahmen. Diese Trennung ist entscheidend.

Was fordert der IKT-Minimalstandard von der Geschäftsleitung?
Der IKT-Minimalstandard verlangt keine perfekte Technik, sondern nachvollziehbare Entscheidungen, klare Zuständigkeiten und ein wirksames Steuerungsmodell. Im Schadenfall wird geprüft, ob Risiken bekannt waren und ob Verantwortlichkeiten geregelt waren.

Was ist CISO-as-a-Service und wann ist es sinnvoll?
CISO-as-a-Service bedeutet, eine erfahrene externe Sicherheitsverantwortung zu nutzen, ohne eine interne Vollzeitstelle zu besetzen. Es ist sinnvoll, wenn die Verantwortung bei der Geschäftsleitung liegt, das Fachwissen aber intern fehlt. Das Modell schafft Klarheit, Kontinuität und eine direkte Verbindung zwischen Technik und Management.