Resilienz braucht übergreifende Führungsverantwortung

Die Perspektive auf die gesamte Organisation richten

Ein Sicherheitsdashboard kann zeigen, welche Systeme der Informationstechnik (IT) verfügbar sind und welche technischen Risiken bearbeitet werden. Für die Bewertung organisationaler Resilienz ist zusätzlich zu klären, welche Leistungen die Organisation unter Störungen erbringen muss und welche Voraussetzungen dafür außerhalb der IT liegen.

Dazu gehören Personal, Gebäude, Lieferanten, Entscheidungsbefugnisse und die Zusammenarbeit mit externen Akteuren. Die IT-Sicherheit bringt eine wichtige Fachperspektive ein. Sie kann diese unterschiedlichen Voraussetzungen aber nicht allein aufgrund ihrer technischen Zuständigkeit verantworten.

Sichtbare Nachweise können die Aufmerksamkeit lenken

Aus meiner Sicht besteht ein organisatorisches Risiko, wenn gut verfügbare Metriken und Auditnachweise zugleich die Themenauswahl der Führung bestimmen. Dann erhalten Fragen mit klaren Kennzahlen möglicherweise mehr Aufmerksamkeit als schwerer darstellbare Abhängigkeiten oder ungeklärte Entscheidungswege.

Für die Verwendung technischer Ergebnisse muss daher erkennbar bleiben, welchen Teil der Vorbereitung sie beschreiben. Ein günstiger Befund zur Cybersicherheit lässt andere Voraussetzungen der Bewältigungsfähigkeit offen, deren Bedeutung sich aus den betroffenen Leistungen und nicht aus ihrer einfachen Messbarkeit ergibt.

Fachzuständigkeit und Gesamtverantwortung unterscheiden

Die Führung muss festlegen, welche Leistungen unter welchen Bedingungen aufrechterhalten werden sollen. Die Fachbereiche erläutern ihre Voraussetzungen und Grenzen. Wo Anforderungen miteinander konkurrieren, ist eine organisationsübergreifende Entscheidung erforderlich, etwa über den Einsatz knappen Personals oder die Reihenfolge der Wiederherstellung.

Ich empfehle deshalb, einen Resilienzbericht an den kritischen Leistungen auszurichten und die Beiträge der Fachbereiche daran zusammenzuführen. Die technische Wiederherstellung bleibt ein eigener Bestandteil. Daneben muss erkennbar werden, welche organisatorischen Voraussetzungen erfüllt sind und welche Entscheidung noch offen ist.

Eine gemeinsame Arbeitsgrundlage schaffen

Unser veröffentlichtes Working Paper „Bewertung von organisationaler Krisen-Resilienz anhand des Resilienzrisikoreifegrades“ (Rico Kerstan und André Röhl, NBS Northern Business School, Nr. 1/2025) betrachtet interne und externe Perspektiven sowie Widerstands- und Bewältigungsfähigkeit. Diese Unterscheidung hilft, einen rein technischen Betrachtungsrahmen zu erweitern, ohne den Beitrag der IT abzuwerten.

Für die Führung folgt daraus eine Koordinationsaufgabe: Die verschiedenen Fachbewertungen müssen auf dieselbe Leistung und dasselbe Szenario bezogen werden. Erst dann lässt sich diskutieren, ob sie zusammen eine tragfähige Vorbereitung ergeben. Die Gesamtverantwortung liegt damit über den einzelnen Fachzuständigkeiten; die Bearbeitung bleibt auf deren Wissen angewiesen.

→ Wie Rico Kerstan Resilienz als Führungsthema behandelt: Leistungen → Das konzeptionelle Modell: Denkansatz