Jemand ist verantwortlich. Der Name steht im Organigramm. Die Aufgabe ist klar beschrieben. Im Ernstfall weiß jeder auf wen gezeigt werden kann.

Es gibt eine Rolle in vielen Unternehmen die auf dem Papier gut aussieht. Jemand ist verantwortlich. Der Name steht im Organigramm. Die Aufgabe ist klar beschrieben. Im Ernstfall weiß jeder auf wen gezeigt werden kann. Das Problem: Dieselbe Person hat nicht die Befugnis die nötig wäre um dieser Verantwortung tatsächlich gerecht zu werden. Ich nenne das formale Zuständigkeit ohne reale Befugnis. Und es ist eine der teuersten Konstruktionen die Organisationen sich leisten. Das Muster ist immer dasselbe. Der IT-Sicherheitsbeauftragte ist verantwortlich für die Cybersicherheit – aber darf keine Investitionen genehmigen und hat keine Weisungsbefugnis gegenüber den Abteilungen die er absichern soll. Der Qualitätsmanager ist verantwortlich für die Produktqualität – aber kann einen Lieferstopp nicht anordnen wenn ein Problem erkannt wird. Der Risikoverantwortliche ist zuständig für das Frühwarnsystem – aber hat keine Möglichkeit eine Entscheidung der Geschäftsführung auszulösen wenn ein Schwellenwert überschritten wird. iese Menschen tragen Verantwortung. Sie haben keine Macht. as im Alltag noch funktionieren kann weil informelle Strukturen vieles auffangen wird in der Krise zum strukturellen Problem. Wenn es darauf ankommt wer entscheidet ist die Antwort klar: derjenige der die Befugnis hat. Nicht derjenige der die Verantwortung trägt. Und wer dann zur Rechenschaft gezogen wird ist ebenfalls klar: derjenige dessen Name im Organigramm steht. er Sündenbock wurde im Voraus definiert. Nicht absichtlich. Aber vorhersehbar. IS2 und der AI Act verschärfen dieses Problem. Beide Regelwerke verlangen nicht nur dass jemand benannt wird. Sie verlangen dass diese Person tatsächlich handlungsfähig ist. Wer einen IT-Sicherheitsbeauftragten ohne Budgethoheit und Weisungsbefugnis benennt hat die formale Anforderung erfüllt. Die inhaltliche nicht. Die Frage die jede Führungskraft sich stellen sollte: Haben die Menschen in Ihrem Unternehmen die Verantwortung tragen auch die Befugnis zu handeln wenn es darauf ankommt? Oder haben Sie die Verantwortung delegiert ohne die Macht dazu?