Rollen und Verantwortlichkeiten in der Cyber-Governance: ein umfassender Leitfaden

Die Entwicklung der Cyber-Risiko-Governance-Landschaft

Angesichts zunehmend komplexer Bedrohungsumgebungen müssen Governance-Modelle sich weiterentwickeln. Noch vor wenigen Jahren behandelten viele Organisationen Cyber-Risikomanagement als isolierte IT-Funktion. Heute betrachten leistungsstarke Führungskräfte Cybersicherheit als Governance-Thema auf Vorstandsebene, das mit dem unternehmensweiten Risikomanagement verschmolzen ist.

Die Klarheit darüber, wer das Risiko trägt (treuhänderische Verantwortung) und wer es managt (operative Verantwortung), ist zentral für den Aufbau von Cyber-Resilienz. Diese Unterscheidung ermöglicht es Organisationen, bei Vorfällen entschlossen zu reagieren, Ressourcen effizient einzusetzen und eine Kultur aufrechtzuerhalten, in der Verantwortlichkeit von der strategischen Aufsicht bis zur operativen Umsetzung reicht.

Cyber-Governance auf Vorstandsebene

Aufsichtsräte, die in die Cyber-Governance eingebunden sind, überwachen die Einhaltung der festgelegten Risikoakzeptanzgrenzen. Dies erfordert eine kontinuierliche Zusammenarbeit mit bereichsübergreifenden Teams und Ausschüssen, um die erforderlichen Ressourcen und den notwendigen Support zu verstehen. Aus Compliance-Sicht stehen Aufsichtsräte zudem unter wachsendem Druck, Cybersicherheit von oben zu steuern.

Die Einführung von NIS2 in der EU macht Führungskräfte nun direkt für das Management digitaler Risiken verantwortlich. Ebenso verlangen die SEC-Regeln von 2023 von börsennotierten Unternehmen, wesentliche Cyber-Vorfälle offenzulegen und ihre Governance-Praktiken in Jahresberichten darzulegen. Diese Entwicklungen prägen den Ansatz der Aufsichtsräte bei der Aufsicht – von distanzierter Kontrolle hin zu aktivem Engagement in der Governance.

Das Weltwirtschaftsforum hat sechs Leitprinzipien für Aufsichtsräte in der Cyber-Governance entwickelt:

• Cybersicherheit als strategischen Unternehmensenabling-Faktor integrieren
• Die wesentlichen Sicherheitsgrundlagen etablieren und aufrechterhalten
• Die wirtschaftlichen Treiber und Auswirkungen von Cyber-Risiken verstehen
• Cyber-Resilienz-Governance in die Unternehmensstrategie einbetten
• Cyber-Risikomanagement mit den Geschäftsanforderungen abstimmen
• Sicherstellen, dass die Organisationsstruktur die Cybersicherheit unterstützt

Cyber-Strategie und Betrieb verknüpfen: die Rolle der Ausschüsse

In vielen Organisationen wird die Cybersicherheitsaufsicht an einen Unterausschuss des Aufsichtsrats delegiert – häufig den Prüfungsausschuss oder den Risikoausschuss. Diese Ausschüsse fungieren als Brücke zwischen strategischer Aufsicht und operativer Umsetzung.

• Prüfungsausschüsse konzentrieren sich auf die Zuverlässigkeit interner Kontrollen, prüfen die Ergebnisse von Cybersicherheitsaudits und stellen sicher, dass Abhilfemaßnahmen verfolgt und abgeschlossen werden.
• Risikoausschüsse bewerten, ob die Cyber-Risikoniveaus innerhalb des definierten Risikoappetits bleiben und ob die Minderungsmaßnahmen wirksam und mit den übergeordneten unternehmensweiten Risikomanagementstrategien abgestimmt sind.

Der Rhythmus der Ausschusssitzungen und des Vorstandsreportings ist entscheidend. Leistungsstarke Organisationen führen vierteljährliche Ausschussüberprüfungen durch, ergänzt durch außerordentliche Sitzungen bei kritischen Bedrohungen oder schwerwiegenden Vorfällen. Diese Ausschüsse stützen sich auf die Expertise des CISOs, des CROs, des CFOs und des Rechtsbeistands, um ein Reporting zu erstellen, das sowohl technisch fundiert als auch strategisch ausgerichtet ist.

Welche Rolle spielt die Geschäftsführung in der Cyber-Governance?

Während Aufsichtsräte den Ton vorgeben, operationalisieren Führungskräfte die Cyber-Risiko-Governance. Ihre koordinierten Maßnahmen bestimmen, ob die Cyber-Strategie effektiv in den Geschäftsbetrieb integriert wird:

• CEO: Stellt sicher, dass Cyber-Risikomanagement in Unternehmensstrategie und -kultur integriert ist
• CFO: Stimmt Cybersicherheitsinvestitionen mit der Finanzstrategie ab und bewertet deren Rentabilität
• CRO: Integriert Cyber-Risiken in den übergeordneten unternehmensweiten Risikomanagement-Rahmen für eine einheitliche Behandlung neben anderen wesentlichen Risiken: finanziellen, operativen und regulatorischen
• Rechtsbeistand: Klärt rechtliche und vertragliche Fragen, insbesondere bei der Vorfallsbehandlung
• CISO: Trägt die operative Verantwortung für die Bewertung und das Management von Cyber-Risiken und erstellt Berichte zu: Cyber-Risikoposture, Bedrohungslandschafts-Updates, Kontrollreife, operativen und geschäftlichen Auswirkungen sowie geplanten und laufenden Cyber-Resilienz-Investitionen

Die Integration der CISO-Rolle in die Führungsebene variiert. In einigen Organisationen berichtet der CISO direkt an den Vorstand, in anderen über den CIO, COO oder CEO. ISACA-Forschungen zeigen, dass eine direkte Verbindung zum Vorstand Cyber-Investitionen fördert und die Eskalation kritischer Bedrohungen beschleunigt.

Wie beeinflussen externe Stakeholder Governance-Entscheidungen?

Cyber-Governance erstreckt sich über die Unternehmensgrenzen hinaus. Externe Parteien spielen oft eine entscheidende Rolle bei der Gestaltung von Governance und Cyber-Assurance:

• Externe Prüfer und Berater liefern unabhängige Bewertungen der Risikoposture und geben Rückmeldungen zur Verbesserung von Priorisierung, Kontrollen oder Reporting
• Regulierungsbehörden verlangen dokumentierte Nachweise der Governance-Aktivitäten
• Aktionäre möchten verstehen, wie ihre Interessen geschützt werden
• Kunden und Partner fordern Nachweise der Cyber-Governance als vertragliche Voraussetzung
• Investoren, insbesondere bei Fusionen und Übernahmen, bewerten Cyber-Resilienz im Rahmen ihrer Due Diligence

Eine Studie im Verizon 2025 Data Breach Report ergab, dass 30 % der Datenschutzverletzungen einen Dritten involvierten – was die Bedeutung unterstreicht, Cyber-Governance auf das gesamte Ökosystem auszudehnen.

Wie Verantwortlichkeiten für effektive Governance strukturiert werden

Effektive Governance hängt von einem strukturierten Ansatz zur Definition und Koordination von Verantwortlichkeiten ab:

• Klare Rollendefinitionen: Festlegen, wer Risikoregister aktualisiert, Sicherheitsinvestitionen validiert und die Krisenkommunikation steuert
• Messbare Ergebnisse: Verantwortlichkeiten an messbare Resultate knüpfen: Reduzierung der Risikoexposition, Verbesserung der Auditergebnisse
• Definierte Eskalationsprozesse: Alarmmeldungen erleichtern und Geschäftskontinuität sichern
• Adaptive Strukturen: Governance im Einklang mit Unternehmenstransformationen, neuen Bedrohungen und wachsender Reife weiterentwickeln

Silos aufbrechen: eine gemeinsame Risikosprache

Eine der hartnäckigsten Herausforderungen in der Cyber-Governance ist der Silo-Effekt – die Isolation von Informationen in spezifischen Abteilungen. Silomanagement verlangsamt die Entscheidungsfindung und erzeugt Redundanzen zwischen Teams.

Eine gemeinsame Risikosprache ist der Schlüssel zur besseren Kommunikation. Durch den Einsatz von Quantifizierungsrahmenwerken wie FAIR verwandeln CISOs technische Bedrohungen in finanzielle Auswirkungen, die für alle verständlich sind. Dies ermöglicht es Teams, Cyber-Investitionen neben anderen Aktivitäten zu messen und die greifbaren, realen Auswirkungen eines Vorfalls zu kontextualisieren. Gemeinsame Reviews, einheitliche Dashboards und harmonisiertes Reporting sorgen dafür, dass alle Entscheidungsträger dieselben Daten und Arbeitsannahmen teilen.

Kontinuierliche Verbesserung Ihrer Cyber-Resilienz vorantreiben

Effektive Cyber-Governance ist dynamisch. Cyber-Bedrohungen entwickeln sich ständig weiter, während Regulierungsbehörden bestrebt sind, Unternehmen, Verbraucher und Aktionäre zu schützen. Der Erfolg eines Governance-Programms misst sich am Informationsfluss, der Entscheidungskoordination und der Wiederherstellungsfähigkeit nach einem Cyberangriff.

In leistungsstarken Organisationen legt der Aufsichtsrat die Risikoakzeptanz fest, Führungskräfte übersetzen sie in Strategie, und Teams operieren innerhalb dieses definierten Rahmens. Diese Verantwortlichkeitskette ist besonders wichtig, wenn Regulierungsbehörden, Investoren oder Kunden Nachweise verlangen. Im Rahmen der EU-NIS2-Richtlinie kann ein Regulierer beispielsweise die Protokolle von Vorstandssitzungen anfordern, in denen Cybersicherheit behandelt wurde: Bewertungen, Kontrollen, getroffene Entscheidungen. Die Fähigkeit, schnell und umfassend zu antworten, ist sowohl eine Compliance-Anforderung als auch ein Zeichen von Governance-Reife.

Cyber-Resilienz entsteht durch bereichsübergreifende Zusammenarbeit. Ohne gemeinsame Vision zwischen Risikomanagern, Juristen, CISOs und operativen Teams sind Fehlfunktionen vorprogrammiert. Sobald jedoch Risiken in objektiven, quantifizierten Daten ausgedrückt werden, weichen subjektive Einschätzungen konkreten und priorisierten Entscheidungen.