Governance ist nicht das Gegenteil von Handlungsfähigkeit. Es ist ihre Voraussetzung.

Governance. Das Wort tötet jeden Raum. Wer es in einem Meeting ausspricht sieht wie Aufmerksamkeit aus Gesichtern weicht. Wer es in einer Präsentation auf eine Folie schreibt weiß dass die Hälfte der Anwesenden ab diesem Moment an etwas anderes denkt. Und wer versucht es als Priorität zu verkaufen merkt schnell dass Budget lieber in sichtbarere Dinge fließt – neue Systeme, neue Tools, neue Features. Das ist verständlich. Und es ist einer der teuersten Irrtümer in der Cyberresilienz. Denn wenn ein Cyberangriff einen Betrieb trifft – und nicht ob, sondern wann ist die relevantere Frage – dann entscheidet nicht die Firewall wie gut das Unternehmen durch die Krise kommt. Sie entscheidet ob der Angriff eindringt. Was danach passiert liegt woanders. Es liegt in der Frage wer in den nächsten dreißig Minuten die richtigen Entscheidungen trifft. Wer befugt ist den Betrieb herunterzufahren. Wer nach außen kommuniziert und was. Wer die Behörden informiert und bis wann – NIS2 gibt 24 Stunden für die erste Meldung. Wer entscheidet ob gezahlt wird wenn eine Lösegeldforderung kommt. Und wer das alles koordiniert wenn gleichzeitig Kunden anrufen, Medien anfragen und der Betrieb stillsteht. Das sind keine technischen Fragen. Das sind Governance-Fragen. Und sie werden im Moment der Krise nicht gelöst. Sie wurden entweder vorher gelöst – oder sie werden improvisiert. Unter maximalem Druck, mit minimaler Information, ohne Zeit zum Nachdenken. Governance bedeutet konkret: Wer entscheidet was, unter welchen Bedingungen, mit welcher Befugnis und in welchem Zeitrahmen. Das klingt nach Bürokratie. Es ist der Unterschied zwischen einem Unternehmen das eine Krise steuert und einem das von ihr gesteuert wird. Die Unternehmen die Cyberangriffe am besten überstehen sind selten die mit der besten Technologie. Sie sind die mit der klarsten Struktur. Die wissen wer verantwortlich ist. Die geübt haben was im Ernstfall passiert. Die Entscheidungen getroffen haben bevor die Krise die Entscheidungsqualität auf null drückt. Governance ist nicht das Gegenteil von Handlungsfähigkeit. Es ist ihre Voraussetzung.