Resilienzstrategie für KMU: Warum Cyberresilienz allein nicht mehr reicht

Viele Schweizer KMU haben in den letzten Jahren viel in ihre Cyberresilienz investiert: Firewalls, Backups, Notfallpläne, Schulungen. Das ist richtig und wichtig. Aber es reicht heute nicht mehr aus. Die Bedrohungen, die ein Unternehmen in die Knie zwingen können, kommen längst nicht mehr nur aus dem digitalen Raum. Wer als Geschäftsführer, IT-Leiter oder Verwaltungsrat Verantwortung trägt, muss Resilienz neu denken – breiter, strategischer und als echte Führungsaufgabe.

Was Cyberresilienz leistet – und wo sie aufhört

Cyberresilienz beschreibt die Fähigkeit eines Unternehmens, Cyberangriffe zu erkennen, darauf zu reagieren und den Betrieb danach wiederherzustellen. Das ist eine wichtige Grundlage. Aber der Begriff hat eine unsichtbare Grenze: Er endet dort, wo die Bedrohung nicht aus dem digitalen Raum kommt.

Was passiert, wenn ein zentraler Lieferant aus Fernost plötzlich ausfällt – nicht wegen eines Hackers, sondern wegen eines Handelskonflikts? Was, wenn der einzige Cloud-Anbieter, auf dem Ihre Produktionsdaten liegen, seinen Dienst einstellt oder die Preise verdreifacht? Was, wenn neue regulatorische Anforderungen Ihre Geschäftsbeziehungen mit bestimmten Partnern einschränken?

Diese Szenarien haben nichts mit Cyberangriffen zu tun. Und doch können sie ein Unternehmen genauso hart treffen wie ein Ransomware-Angriff.

Die vier Dimensionen einer modernen Resilienzstrategie

Eine zukunftsfähige Resilienzstrategie denkt in vier Dimensionen gleichzeitig:

1. Cyberresilienz
Die Basis, die bleibt. Schutz vor Angriffen, Wiederherstellungsfähigkeit, Incident-Management. Notwendig – aber allein nicht hinreichend.

2. Geopolitische Resilienz
Die Fähigkeit, auf politische Veränderungen, Sanktionen oder internationale Spannungen zu reagieren. Für exportorientierte KMU und Energieversorger in der Schweiz ist das kein abstraktes Thema mehr.

3. Technologische Resilienz
Die bewusste Steuerung von Abhängigkeiten. Wer von einem einzigen Anbieter, einer einzigen Plattform oder einer einzigen Technologie abhängt, trägt ein Klumpenrisiko. Resilienz bedeutet hier: Alternativen kennen, Ausstiegsszenarien planen, Abhängigkeiten dokumentieren.

4. Lieferkettenresilienz
Die Fähigkeit, auch dann handlungsfähig zu bleiben, wenn Lieferanten ausfallen, Preise explodieren oder Transportwege unterbrochen werden.

Diese vier Dimensionen hängen zusammen. Ein Unternehmen, das nur eine davon im Griff hat, ist nicht resilient – es hat lediglich einen Teil seiner Risiken adressiert.

Was bedeutet das konkret für KMU?

Resilienz klingt nach Grosskonzern. Aber gerade KMU sind oft besonders verwundbar: Sie haben weniger Puffer, weniger Alternativen und weniger interne Ressourcen, um Krisen aufzufangen.

Gleichzeitig haben KMU einen entscheidenden Vorteil: Sie können schneller entscheiden. Wenn die Führung Resilienz als strategische Priorität setzt, zieht das ganze Unternehmen mit – ohne jahrelange Transformationsprogramme.

Konkret bedeutet das:

• Risiken nicht nur aus der IT-Perspektive bewerten, sondern aus der Geschäftsperspektive.

• Abhängigkeiten sichtbar machen – bei Lieferanten, Technologien und Partnern.

• Szenarien durchdenken: Was wäre, wenn…? Und wer entscheidet dann was?

• Verantwortlichkeiten klären: Resilienz ist Chefsache, nicht IT-Sache.

Praxisbeispiel: Maschinenbauer

Ein mittelständischer Maschinenbauer mit rund 80 Mitarbeitenden hatte seine IT-Sicherheit in den letzten Jahren konsequent ausgebaut. Backups liefen, ein Notfallplan existierte, die Mitarbeitenden wurden regelmässig geschult.

Als ein zentraler Zulieferer für Elektronikkomponenten – ein einziger Lieferant aus Asien – wegen geopolitischer Spannungen plötzlich nicht mehr liefern konnte, stand die Produktion still. Nicht wegen eines Hackers. Sondern wegen einer Abhängigkeit, die niemand auf dem Radar hatte.

Die Lösung war kein IT-Projekt. Es war eine strategische Entscheidung: Lieferantendiversifikation, Lageraufbau für kritische Komponenten und ein klarer Eskalationsprozess für genau solche Szenarien. Heute ist das Unternehmen nicht nur cyber-resilient – es ist resilient.

Erster Schritt: Der Resilience-Check

Der Einstieg muss nicht komplex sein. Ein strukturierter Resilience-Check schafft in kurzer Zeit Klarheit darüber, wo ein Unternehmen heute steht – über alle vier Dimensionen hinweg.

Dabei geht es nicht darum, Angst zu machen. Es geht darum, Führungskräften eine ehrliche Grundlage zu geben: Was sind unsere grössten Abhängigkeiten? Wo sind wir verwundbar? Und was sind die drei wichtigsten Massnahmen, die wir jetzt angehen sollten?

Resilienz ist keine einmalige Aufgabe. Sie ist eine Haltung – und eine Führungsentscheidung.

Jetzt den ersten Schritt machen

Prüfen Sie, welche Abhängigkeiten in Ihrem Unternehmen heute nicht sichtbar sind – bei Lieferanten, Technologien und Partnern. Machen Sie diese Abhängigkeiten in einem ersten Schritt sichtbar. Das ist der einfachste und wirkungsvollste Einstieg in eine echte Resilienzstrategie.

Bereit für den nächsten Schritt?

Fordern Sie jetzt Ihren Resilience-Check an und erfahren Sie, wie resilient Ihr Unternehmen wirklich ist – über alle vier Dimensionen hinweg.

Resilience-Check anfragen

Häufig gestellte Fragen

Was ist der Unterschied zwischen Cyberresilienz und einer umfassenden Resilienzstrategie?
Cyberresilienz schützt vor digitalen Bedrohungen wie Hackerangriffen oder Datenverlust. Eine umfassende Resilienzstrategie geht weiter: Sie berücksichtigt auch geopolitische Risiken, technologische Abhängigkeiten und Lieferkettenausfälle – also alle Bedrohungen, die den Betrieb gefährden können.

Ist eine Resilienzstrategie auch für kleine KMU sinnvoll?
Ja – gerade für KMU ist sie besonders wichtig. Kleine Unternehmen haben weniger Puffer, um Krisen aufzufangen. Gleichzeitig können sie schneller entscheiden und Massnahmen umsetzen, wenn die Führung das Thema zur Priorität macht.

Wo fange ich mit einer Resilienzstrategie an?
Der einfachste Einstieg ist ein strukturierter Resilience-Check: Er zeigt in kurzer Zeit, wo die grössten Abhängigkeiten und Schwachstellen liegen – und welche drei Massnahmen den grössten Unterschied machen.

Wer ist im Unternehmen für Resilienz verantwortlich?
Resilienz ist Chefsache. Die IT kann technische Massnahmen umsetzen, aber die strategische Verantwortung liegt bei der Geschäftsleitung und dem Verwaltungsrat. Nur von dort aus lassen sich alle vier Dimensionen gleichzeitig steuern.