Cybersicherheit als Führungsaufgabe: Was GL und VR dokumentieren sollten

«Die Frage im Schadensfall lautet nicht nur, ob ein Tool vorhanden war, sondern ob angemessen entschieden und dokumentiert wurde.» Diese Unterscheidung ist der Kern von Cybersicherheit als Führungsaufgabe. Für Geschäftsleitung (GL) und Verwaltungsrat (VR) heisst das: Wer im Ernstfall zeigen kann, dass er Risiken kannte, Prioritäten setzte und begründete Entscheide traf, steht deutlich besser da als jemand, der nur auf ein einzelnes Sicherheitsprodukt verweist.

Warum Delegation nicht von Verantwortung entbindet

Der Verwaltungsrat kann die operative Umsetzung von Sicherheitsmassnahmen an die Geschäftsleitung oder an eine spezialisierte Fachperson übertragen. Das ist sinnvoll, denn kaum ein VR-Mitglied verfügt über vertieftes technisches Fachwissen. Delegierbar sind zum Beispiel die Auswahl konkreter Schutzmassnahmen, der Betrieb der Systeme oder die technische Umsetzung von Vorgaben wie dem IKT-Minimalstandard, der für Betreiber kritischer Infrastrukturen in der Strom- und Gasbranche inzwischen verbindlich ist und anderen Branchen als Orientierung dient.

Nicht delegierbar ist dagegen die Oberleitung: Der VR muss festlegen, welche Risiken für das Unternehmen relevant sind, welche Organisation dafür zuständig ist und ob die getroffenen Massnahmen angemessen sind. Diese Aufsichtspflicht bleibt auch nach einer Delegation bestehen. Wer delegiert, muss die beauftragte Person sorgfältig auswählen, ihr einen klaren Auftrag geben und die Umsetzung regelmässig überprüfen. Genau das macht Cybersicherheit als Führungsaufgabe aus. Nicht die Technik selbst zu beherrschen, sondern den Umgang damit zu steuern und nachvollziehbar zu machen.

Wichtig ist dabei eine realistische Einordnung der persönlichen Haftung. Eine pauschale Aussage, wonach VR oder GL bei jedem Cybervorfall persönlich haften, trifft nicht zu. Eine aktienrechtliche Verantwortlichkeit setzt kumulativ eine Pflichtverletzung, einen Schaden, einen Kausalzusammenhang und ein Verschulden voraus. Beim revidierten Datenschutzgesetz (revDSG) drohen persönliche Bussen nur bei vorsätzlichen Verstössen gegen bestimmte Pflichten, nicht bei jedem Versäumnis. Entscheidend ist in beiden Fällen, ob nachvollziehbar sorgfältig gehandelt wurde.

Welche Fragen im Verwaltungsrat zählen

Statt sich in technischen Details zu verlieren, sollte sich der VR auf wenige, klare Fragen konzentrieren. Hat die Geschäftsleitung die wichtigsten Risiken für das Unternehmen identifiziert? Sind die Prioritäten nachvollziehbar begründet, zum Beispiel weil bestimmte Systeme besonders kritisch sind? Wurden Entscheide zu Investitionen oder zum Verzicht auf Massnahmen dokumentiert, inklusive der Gründe? Ist klar geregelt, wer im Unternehmen für welchen Teil der Sicherheit zuständig ist und wird regelmässig geprüft, ob die getroffenen Vorkehrungen im Ernstfall tatsächlich funktionieren, etwa durch eine Übung?

Diese Fragen ersetzen keine fachliche IT-Governance-Beratung, sie strukturieren aber die Diskussion im Gremium. Ein VR, der diese Fragen regelmässig stellt und die Antworten protokolliert, erzeugt Vertrauen gegenüber Aktionären, Versicherern und im Schadensfall auch gegenüber Behörden.

Risiken, Entscheide und Nachweise dokumentieren

Fünf Punkte lassen sich aus der Praxis konkret dokumentieren.

1. Die erkannten Risiken: eine kurze, verständliche Übersicht, welche Bedrohungen für das Unternehmen relevant sind.

2. Die Prioritäten: welche Risiken zuerst angegangen werden und warum.

3. Die Entscheide: welche Massnahme beschlossen, verschoben oder bewusst nicht umgesetzt wurde, inklusive Begründung.

4. Die Zuständigkeiten: wer welche Aufgabe trägt, innerhalb der Geschäftsleitung, der IT oder bei externen Partnern.

5. Die Übungen: ob und wie regelmässig getestet wird, ob die Organisation im Ernstfall reagieren kann.

Diese fünf Punkte lassen sich in wenigen Zeilen pro Sitzung festhalten:

• Erkannte Risiken und ihre Einschätzung

• Gesetzte Prioritäten mit Begründung

• Getroffene oder bewusst aufgeschobene Entscheide

• Klar zugewiesene Zuständigkeiten

• Durchgeführte Übungen und deren Ergebnisse

Diese Form der Nachweisbarkeit ist keine Bürokratie, sondern der Kern der Sorgfaltspflicht. Sie zeigt, dass Cyberrisiken im Verwaltungsrat ernsthaft behandelt wurden, statt erst nach einem Vorfall zum Thema zu werden. Cyberrisiken im Verwaltungsrat

Vom Bericht zur wirksamen Governance

Ein einzelner Sicherheitsbericht reicht nicht aus, wenn er nur einmal erstellt und danach abgelegt wird. Wirksam wird Cybersicherheit als Führungsaufgabe erst, wenn Risiken, Entscheide und Zuständigkeiten regelmässig aktualisiert und im GL- oder VR-Protokoll festgehalten werden. So entsteht eine durchgehende Spur von Entscheiden, die im Ernstfall zeigt, dass angemessen gehandelt wurde. Unternehmen, die diesen Schritt nicht intern leisten können, lassen sich oft durch eine externe IT-Governance-Beratung oder eine punktuelle Sicherheitsstrategie-beratung unterstützen, um die Struktur einmal sauber aufzusetzen.

Ein Beispiel aus dem KMU-Alltag

Ein Industrieunternehmen mit 90 Mitarbeitenden wurde Ziel eines Verschlüsselungsangriffs. Die IT konnte die Systeme innert zwei Tagen wiederherstellen. Im Nachgang wollte die Versicherung wissen, welche Risiken dem Unternehmen bekannt waren und welche Entscheide die Geschäftsleitung dazu getroffen hatte. Weil die GL seit einem Jahr konsequent Risiken, Prioritäten und Zuständigkeiten in den Sitzungsprotokollen festhielt, konnte sie lückenlos zeigen, dass die Investition in ein Backup-System bewusst priorisiert und eine Übung durchgeführt worden war. Die Schadenregulierung verlief ohne Komplikationen. Hätte das Unternehmen nur auf ein installiertes Antivirenprogramm verweisen können, wäre die Ausgangslage deutlich schwieriger gewesen.

Mein Experten-Tipp

Nehmen Sie sich für die nächste GL- oder VR-Sitzung zehn Minuten Zeit und halten Sie fest, welche Risiken aktuell als relevant gelten und welcher Entscheid dazu getroffen wurde. Das ist ein kleiner, sofort machbarer Schritt in Richtung Nachweisbarkeit.

Häufig gestellte Fragen

Haftet der Verwaltungsrat automatisch, wenn ein Cyberangriff Schaden verursacht?
Nein. Eine persönliche Haftung setzt eine nachgewiesene Pflichtverletzung, einen Schaden, einen Kausalzusammenhang und ein Verschulden voraus. Massgebend ist, ob angemessen entschieden und dokumentiert wurde.

Was darf der Verwaltungsrat an die Geschäftsleitung delegieren?
Die operative Umsetzung von Sicherheitsmassnahmen ist delegierbar. Die Oberleitung, also die grundsätzliche Risikoeinschätzung und die Aufsicht über die Umsetzung, bleibt beim VR.

Welche Rolle spielt der IKT-Minimalstandard für KMU ausserhalb der Energiebranche?
Für die Strom- und Gasbranche ist er verbindlich. Andere Branchen können ihn als Orientierungshilfe nutzen, um eine nachvollziehbare Struktur für Risiken und Massnahmen aufzubauen.

Reicht ein einmaliger Sicherheitsbericht als Nachweis?
Nein. Wirksam ist eine Dokumentation erst, wenn Risiken, Entscheide und Zuständigkeiten regelmässig aktualisiert und protokolliert werden.