Resilienzstrategie für KMUs: Warum Cyberresilienz allein nicht mehr reicht

Viele Unternehmen haben in den letzten Jahren viel in ihre Cyberresilienz investiert: Firewalls, Backups, Notfallpläne, Awareness-Schulungen. Das ist gut so. Aber es reicht nicht mehr.

Die Welt, in der Schweizer KMUs heute operieren, ist komplexer geworden. Geopolitische Spannungen unterbrechen Lieferketten. Abhängigkeiten von einzelnen Cloud-Anbietern oder Softwareherstellern werden zum Klumpenrisiko. Regulatorische Anforderungen steigen. Und Cyberangriffe sind längst nicht mehr die einzige Bedrohung, die ein Unternehmen in die Knie zwingen kann.

Wer als Geschäftsführer, IT-Leiter oder Verwaltungsrat heute Verantwortung trägt, muss Resilienz neu denken — breiter, strategischer und als echte Führungsaufgabe.

Was Cyberresilienz leistet und wo sie aufhört

Cyberresilienz beschreibt die Fähigkeit eines Unternehmens, Cyberangriffe zu erkennen, darauf zu reagieren und den Betrieb danach wiederherzustellen. Das ist wichtig. Aber der Begriff hat eine unsichtbare Grenze: Er endet dort, wo die Bedrohung nicht aus dem digitalen Raum kommt.

Was passiert, wenn ein zentraler Lieferant aus Fernost plötzlich ausfällt. Nicht wegen eines Hackers, sondern wegen eines Handelskonflikts? Was, wenn der einzige Cloud-Anbieter, auf dem Ihre Produktionsdaten liegen, seinen Dienst einstellt oder seine Preise verdreifacht? Was, wenn neue EU-Regulierungen Ihre Geschäftsbeziehungen mit bestimmten Partnern einschränken?

Diese Szenarien haben nichts mit Cyberangriffen zu tun. Und doch können sie ein Unternehmen genauso hart treffen.

Die vier Dimensionen moderner Resilienz

Eine zukunftsfähige Resilienzstrategie denkt in vier Dimensionen gleichzeitig:

1. Cyberresilienz

Die Basis, die bleibt. Schutz vor Angriffen, Wiederherstellungsfähigkeit, Incident-Management. Notwendig, aber nicht hinreichend.

2. Geopolitische Resilienz

Die Fähigkeit, auf politische Veränderungen, Sanktionen oder internationale Spannungen zu reagieren. Für exportorientierte KMUs und Energieversorger in der Schweiz ist das kein abstraktes Thema mehr.

3. Technologische Resilienz

Die bewusste Steuerung von Abhängigkeiten. Wer von einem einzigen Anbieter, einer einzigen Plattform oder einer einzigen Technologie abhängt, hat ein Klumpenrisiko. Resilienz bedeutet hier: Alternativen kennen, Ausstiegsszenarien planen, Abhängigkeiten dokumentieren.

4. Lieferkettenresilienz

Die Fähigkeit, auch dann handlungsfähig zu bleiben, wenn Lieferanten ausfallen, Preise explodieren oder Transportwege unterbrochen werden.

Diese vier Dimensionen hängen zusammen. Ein Unternehmen, das nur eine davon im Griff hat, ist nicht resilient, es hat lediglich einen Teil seiner Risiken adressiert.

Was das für KMUs konkret bedeutet

Resilienz klingt nach Grosskonzern. Aber gerade KMUs sind oft besonders verwundbar, weil sie weniger Puffer haben, weniger Alternativen und weniger interne Ressourcen, um Krisen aufzufangen.

Gleichzeitig haben KMUs einen Vorteil. Sie können schneller entscheiden. Wenn die Führung Resilienz als strategische Priorität setzt, zieht das ganze Unternehmen mit, ohne jahrelange Transformationsprogramme.

Konkret bedeutet das:

Risiken nicht nur aus der IT-Perspektive bewerten, sondern aus der Geschäftsperspektive.
Abhängigkeiten sichtbar machen — bei Lieferanten, Technologien und Partnern.
Szenarien durchdenken: Was wäre, wenn…? Und wer entscheidet dann was?
Verantwortlichkeiten klären: Resilienz ist Chefsache, nicht IT-Sache.

Praxisbeispiel: Ein Maschinenbauer

Ein mittelständischer Maschinenbauer mit rund 80 Mitarbeitenden hatte seine IT-Sicherheit in den letzten Jahren konsequent ausgebaut. Backups liefen, ein Notfallplan existierte, die Mitarbeitenden wurden regelmässig geschult.

Als ein zentraler Zulieferer für Elektronikkomponenten, ein einziger Lieferant aus Asien, wegen geopolitischer Spannungen plötzlich nicht mehr liefern konnte, stand die Produktion still. Nicht wegen eines Hackers. Sondern wegen einer Abhängigkeit, die niemand auf dem Radar hatte.

Die Lösung war kein IT-Projekt. Es war eine strategische Entscheidung: Lieferantendiversifikation, Lageraufbau für kritische Komponenten, und ein klarer Eskalationsprozess für genau solche Szenarien. Heute ist das Unternehmen nicht nur cyber-resilient — es ist resilient.

Erster Schritt: Der Resilience-Check

Der Einstieg muss nicht komplex sein. Ein strukturierter Resilience-Check schafft in kurzer Zeit Klarheit darüber, wo ein Unternehmen heute steht, über alle vier Dimensionen hinweg.

Dabei geht es nicht darum, Angst zu machen. Es geht darum, Führungskräften eine ehrliche Grundlage zu geben: Was sind unsere grössten Abhängigkeiten? Wo sind wir verwundbar? Und was sind die drei wichtigsten Massnahmen, die wir jetzt angehen sollten?

Resilienz ist keine einmalige Aufgabe. Sie ist eine Haltung und eine Führungsentscheidung.

Mein Experten-Tipp

Cyberresilienz ist wichtig. Aber sie ist nur ein Teil eines grösseren Bildes. Unternehmen, die heute zukunftsfähig sein wollen, brauchen eine Resilienzstrategie, die Cyber, Geopolitik, Technologie und Lieferkette zusammendenkt. Das ist keine IT-Aufgabe. Das ist Führungsverantwortung.