IT-Governance im KMU: Warum klare Rollen zwischen GL, IT und Dienstleister entscheiden

Delegation ist keine Lösung – sie ist ein Risiko

Viele Schweizer KMU haben ihre IT ganz oder teilweise ausgelagert. Das ist sinnvoll: Es reduziert interne Aufwände, bringt spezialisiertes Know-how und schafft Effizienz. Doch dabei entsteht ein Missverständnis, das ich in der Praxis immer wieder antreffe – und das teuer werden kann. Wer operative Aufgaben delegiert, glaubt oft, damit auch die Verantwortung für Risiken, Sicherheit und Stabilität abgegeben zu haben. Das stimmt nicht. Cyberrisiken lassen sich nicht auslagern. Die Verantwortung bleibt bei der Geschäftsleitung – rechtlich, strategisch und unternehmerisch.

IT-Governance bedeutet deshalb nicht Kontrolle im Detail, sondern klare Steuerung über Rollen, Erwartungen und Entscheidungsmechanismen. Dieser Beitrag zeigt, wie das in der Praxis funktioniert – und warum «Steuerung statt Delegation» mehr ist als ein Schlagwort.

Was IT-Governance wirklich bedeutet

Governance beschreibt den Ordnungsrahmen, innerhalb dessen Entscheidungen getroffen, Risiken gesteuert und Verantwortung wahrgenommen wird. Im Bereich Informations- und Cybersicherheit geht es konkret um drei Fragen:

• Wer trägt die Verantwortung für Risiken und Prioritäten?

• Wer bereitet Entscheidungsgrundlagen auf?

• Wer setzt definierte Massnahmen um?

Ein zentrales Prinzip dabei: Verantwortung und Entscheidungsbefugnis müssen zusammengehören. Wird diese Trennung nicht sauber geregelt, entstehen blinde Flecken – besonders bei Cyberrisiken.

Welche Rolle trägt die Geschäftsleitung?

Die Geschäftsleitung trägt die Gesamtverantwortung für den Fortbestand des Unternehmens. Dazu gehören IT-Ausfälle, Cyberangriffe, regulatorische Verstösse und Reputationsschäden. Ihre Kernaufgaben in der Governance sind:

• Festlegung der Risikotoleranz und strategischen Leitplanken

• Priorisierung von Massnahmen entlang der Geschäftsziele

• Sicherstellung von Compliance und regulatorischer Konformität

• Kontrolle, ob Risiken verstanden, bewertet und adressiert werden

Wichtig: Die Geschäftsleitung muss nicht technisch entscheiden. Sie muss jedoch sicherstellen, dass sie entscheidungsfähig ist. Dafür braucht sie verständliche, konsolidierte und regelmässige Entscheidungsgrundlagen.

In vielen Organisationen fehlt genau das. Cyberrisiken werden als technische Details wahrgenommen und damit implizit der IT oder dem Dienstleister überlassen – eine gefährliche Grauzone.

Welche Rolle übernimmt die interne IT?

Die interne IT kennt die technische Realität, Abhängigkeiten und Schwachstellen. Ihre Governance-Rolle umfasst:

• Technische Bewertung von Risiken und Massnahmen

• Umsetzung und Betrieb der definierten Sicherheitsmassnahmen

• Eskalation relevanter Risiken an die Geschäftsleitung

• Übersetzung technischer Sachverhalte in Auswirkungen auf Betrieb, Kosten und Verfügbarkeit

Problematisch wird es, wenn die IT gleichzeitig strategische Priorisierung übernehmen soll, ohne dazu legitimiert oder befähigt zu sein. Dann entsteht eine Grauzone zwischen Technik und Führung – mit hohem Risiko für Fehlentscheide oder Nicht-Entscheide.

Was darf von externen IT-Dienstleistern erwartet werden?

Externe Dienstleister sind zentrale Partner für Betrieb, Support und oft auch Sicherheit. Ihre Stärke liegt in der Umsetzung – nicht in der unternehmerischen Verantwortung. Typische Aufgaben sind:

• Betrieb von Infrastruktur und Applikationen

• Umsetzung vereinbarter Sicherheitsmassnahmen

• Unterstützung bei Projekten und technischen Entscheidungen

• Meldung von Vorfällen und Auffälligkeiten

Was sie jedoch nicht leisten können – und auch nicht sollten – ist die Priorisierung von Geschäftsrisiken oder die Festlegung der Risikostrategie. Ein Dienstleister optimiert innerhalb seines Vertragsrahmens. Unternehmensrisiken gehen darüber hinaus. Wird Governance faktisch an den Dienstleister delegiert, entscheidet dieser implizit über Prioritäten – meist aus technischer oder wirtschaftlicher Sicht, nicht aus strategischer.

Typische Governance-Fehler aus der Praxis

Diese Muster begegnen mir regelmässig – in KMU, aber auch in grösseren Organisationen mit ausgelagerter IT:

• «Unser IT-Dienstleister kümmert sich um Security» – Sicherheit wird als Leistungsbaustein betrachtet, nicht als Führungsaufgabe.

• Keine klare Risikoverantwortung – Unklar, wer Risiken bewertet, akzeptiert oder eskaliert.

• Technische Reports ohne Entscheidungsrelevanz – Die Geschäftsleitung erhält Statusberichte, aber keine Entscheidungsgrundlagen.

• Incident-Reaktion ohne Führung – Im Ernstfall fehlen Entscheidungswege, Rollen und Prioritäten.

Steuerung statt Delegation: Ein praxistaugliches Governance-Modell

Ein wirksames Governance-Setup trennt klar zwischen Verantwortung, Steuerung und Umsetzung:

Geschäftsleitung: Definiert Ziele, Risikotoleranz und Prioritäten. Trifft Entscheide auf Basis verständlicher Berichte.

Sicherheitsverantwortung (z. B. CISO oder CISO-as-a-Service): Konsolidiert Risiken, bewertet Auswirkungen, bereitet Entscheidungsgrundlagen vor und überwacht die Wirksamkeit der Massnahmen.

IT und Dienstleister: Setzen Massnahmen um, liefern technische Informationen und Status, melden Abweichungen und Vorfälle.

Gerade hier bewährt sich ein Modell wie CISO-as-a-Service – als verbindendes Element zwischen Führung, IT und externen Partnern. Die Rolle sorgt dafür, dass Governance nicht theoretisch bleibt, sondern im Alltag wirkt.

Governance, Regulierung und Haftung – was das für Sie bedeutet

Regulatorische Vorgaben wie der IKT-Minimalstandard oder ISO 27001 fordern explizit eine klare Rollen- und Verantwortlichkeitsstruktur. Im Schadensfall stellt sich nicht die Frage, welcher Dienstleister zuständig war – sondern ob die Geschäftsleitung ihre Sorgfaltspflicht wahrgenommen hat.

Governance ist damit kein bürokratischer Selbstzweck, sondern ein zentrales Element der Unternehmensführung und Risikovorsorge.

Praxisbeispiel: Energieversorger

Ein Energieversorger mit rund 80 Mitarbeitenden hat seine IT vollständig an einen externen Dienstleister ausgelagert. Sicherheitsthemen wurden im Jahresgespräch kurz erwähnt, aber nie strukturiert bewertet. Als ein Sicherheitsvorfall eintrat, fehlten klare Entscheidungswege: Wer eskaliert? Wer entscheidet über Massnahmen? Wer informiert den Verwaltungsrat?

Mit einer einfachen Governance-Struktur – klare Rollen, ein monatliches Reporting und eine externe CISO-Funktion – konnte das Unternehmen innerhalb weniger Monate Klarheit schaffen. Die Geschäftsleitung trifft heute informierte Entscheide, ohne technische Details verstehen zu müssen.

Jetzt einen konkreten ersten Schritt machen

Prüfen Sie, ob in Ihrem Unternehmen klar geregelt ist, wer Cyberrisiken bewertet, wer Entscheide trifft und wer im Ernstfall handelt. Wenn diese Fragen offen sind, ist das der Startpunkt – nicht ein Problem, sondern eine Chance zur Klarheit.

Bereit, Governance in Ihrem Unternehmen zu verankern?

Ich unterstütze Geschäftsleitungen, IT-Verantwortliche und Verwaltungsräte dabei, klare Strukturen aufzubauen – pragmatisch, verständlich und auf Ihre Situation zugeschnitten. Nehmen Sie Kontakt auf und wir schauen gemeinsam, wo bei Ihnen der grösste Handlungsbedarf liegt.

Häufig gestellte Fragen

Was versteht man unter IT-Governance im KMU-Kontext?
IT-Governance beschreibt den Rahmen, innerhalb dessen Entscheidungen zu IT-Risiken getroffen, Verantwortlichkeiten geregelt und Massnahmen gesteuert werden. Im KMU bedeutet das konkret: Wer entscheidet was – und auf welcher Grundlage?

Kann ich Cyberrisiken an meinen IT-Dienstleister auslagern?
Nein. Operative Aufgaben lassen sich auslagern, die unternehmerische Verantwortung für Risiken bleibt bei der Geschäftsleitung. Ein Dienstleister handelt innerhalb seines Vertragsrahmens – strategische Prioritäten muss das Unternehmen selbst setzen.

Was ist CISO-as-a-Service und wie hilft es bei der Governance?
CISO-as-a-Service stellt eine externe Sicherheitsverantwortung zur Verfügung, die zwischen Geschäftsleitung, IT und Dienstleistern vermittelt. Die Funktion bereitet Entscheidungsgrundlagen vor, überwacht Massnahmen und sorgt dafür, dass Governance im Alltag wirkt – ohne dass eine interne Vollzeitstelle nötig ist.

Was passiert, wenn Governance-Rollen nicht klar geregelt sind?
Es entstehen blinde Flecken: Risiken werden nicht eskaliert, Entscheide werden nicht getroffen oder landen beim falschen Ansprechpartner. Im Ernstfall – etwa bei einem Cyberangriff – fehlen klare Handlungswege, was den Schaden erheblich vergrössern kann.