Cyberresilienz entsteht nicht durch eine einzelne Technologieinvestition. Sie entsteht durch eine Reihe bewusster Führungsentscheidungen – getroffen b

Ein Medizintechnikunternehmen in Irland wird von iranischen Hackern angegriffen. Nicht weil ihre IT schwach war. Nicht weil sie selbst ein strategisches Ziel sind. Sondern weil sie mit israelischen Interessen in Verbindung gebracht wurden. Das ist der neue Normalzustand. Geopolitische Spannungen verändern das Cyberrisiko-Profil europäischer Unternehmen grundlegend – und zwar unabhängig davon was diese Unternehmen selbst tun oder nicht tun. Wer an internationalen Lieferketten beteiligt ist, wer kritische Infrastrukturen unterstützt, wer professionelle Dienstleistungen für strategisch relevante Einrichtungen erbringt, wer Geschäftsbeziehungen in geopolitisch sensiblen Regionen hat – der kann zum Ziel werden. Nicht wegen seiner eigenen Schwäche. Wegen seiner Verbindungen. Das verändert was Führungskräfte vorbereiten müssen. Es reicht nicht mehr aus gute IT-Sicherheitsmaßnahmen zu haben. Die entscheidende Frage ist ob das Unternehmen handlungsfähig bleibt wenn ein schwerwiegender Vorfall eintritt. Und Handlungsfähigkeit entsteht nicht im Moment der Krise. Sie entsteht vorher – durch Entscheidungen die bereits getroffen wurden bevor der Angriff kommt. Eine Frage die jeder Geschäftsführer heute beantworten können sollte: Wer in unserem Unternehmen ist befugt eine Lösegeldforderung zu bezahlen – oder abzulehnen? Wer diese Frage erst im laufenden Ransomware-Angriff beantwortet, beantwortet sie zu spät. Zu teuer. Unter maximalem Druck. Mit minimaler Information. Dasselbe gilt für weitere Fragen die vorhersehbar sind und trotzdem selten vorab geklärt werden. Wer kommuniziert im Ernstfall nach außen – und was? Wer entscheidet wann der Betrieb heruntergefahren wird? Wer hat die Entscheidungsbefugnis wenn der Geschäftsführer nicht erreichbar ist? Wie werden konkurrierende Prioritäten abgewogen wenn gleichzeitig Kunden, Behörden und Medien reagieren wollen? Diese Fragen sind keine IT-Fragen. Sie sind Führungsfragen. Und sie gehören auf die Agenda von Geschäftsführung und Aufsichtsrat – nicht weil ein Gesetz es verlangt, auch wenn NIS2 genau das tut. Sondern weil ein Unternehmen das diese Fragen nicht beantwortet hat strukturell verwundbar ist. Unabhängig davon wie gut seine Firewall ist. Cyberresilienz entsteht nicht durch eine einzelne Technologieinvestition. Sie entsteht durch eine Reihe bewusster Führungsentscheidungen – getroffen bevor die Krise kommt.