Ein Schweizer Kanton mit rund 37.000 Einwohnern hat gerade eine Gefährdungs- und Risikoanalyse verabschiedet. Hochwasser, Stromausfälle, Cyberangriffe

Ein Schweizer Kanton mit rund 37.000 Einwohnern hat gerade eine Gefährdungs- und Risikoanalyse verabschiedet. Hochwasser, Stromausfälle, Cyberangriffe, Epidemien, Erdbeben, militärische Konflikte – systematisch bewertet, mit kontinuierlichem Risikomanagement statt einmaliger Bestandsaufnahme. Das letzte vergleichbare Papier war von 2010. Ein Kanton, kleiner als viele deutsche Mittelstädte, hält es für notwendig, regelmäßig zu überprüfen, was ihn bedrohen könnte und wie er reagieren würde. Die Mehrheit der deutschen KMU hat so etwas nie gemacht. Kein einziges Mal. Das ist keine rhetorische Spitze gegen den deutschen Mittelstand. Es ist eine ehrliche Frage: Wenn eine Verwaltungseinheit mit begrenztem Budget und begrenztem Personal es für sinnvoll hält, ihre Gefährdungslage alle paar Jahre systematisch neu zu bewerten – warum hält ein Unternehmen mit Umsatzverantwortung, Mitarbeitern und eigenem Vermögen das für verzichtbar? Die Logik hinter dem Kanton Uri ist eigentlich simpel und lässt sich eins zu eins auf ein Unternehmen übertragen. Risiken verändern sich. Was vor zehn Jahren relevant war, ist es heute vielleicht nicht mehr – und umgekehrt sind Bedrohungen entstanden, die es 2010 schlicht nicht gab. Cyberangriffe in der heutigen Form. Lieferkettenabhängigkeiten, die durch Globalisierung entstanden sind. Eine Marktdynamik, die sich durch neue Technologien plötzlich verschiebt. Wer seine letzte Risikoanalyse vor zehn oder fünfzehn Jahren gemacht hat – oder noch nie – bewertet eine Gefährdungslage, die es so nicht mehr gibt. Der Kanton unterscheidet außerdem zwischen Risiken nach Schadenspotenzial, nicht nach Wahrscheinlichkeit allein. Eine Pandemie ist selten. Ihr potenzieller Schaden ist trotzdem so groß, dass sie eine eigene Vorsorge verdient. Das ist exakt die Denkweise, die auch in einem Unternehmen fehlt: Nicht nur fragen, was wahrscheinlich passiert, sondern auch, was im Fall der Fälle den größten Schaden anrichten würde, selbst wenn es selten eintritt. Der Ausfall des Hauptkunden. Der Cyberangriff, der die Produktion lähmt. Der Ausfall der Geschäftsführung selbst. Was den Kanton von vielen KMU unterscheidet, ist nicht die Größe der Bedrohung. Es ist die Selbstverständlichkeit, mit der die Aufgabe angegangen wird. Niemand im Regierungsrat hat gefragt, ob eine Risikoanalyse überhaupt nötig ist. Die Frage war nur, wie sie aussehen soll. In vielen Unternehmen wird genau diese erste Frage nie gestellt. Stattdessen gilt: Es ist bisher gut gegangen, also wird es das vermutlich weiter tun. Das ist keine Strategie. Das ist eine Wette auf die Vergangenheit.