1.3 – Von Szenarien bis zur Risikobereitschaft des Vorstands: Die L2-Taxonomie, die die Governance verändert

Dieses dritte Webinar einer dreiteiligen Reihe konzentrierte sich darauf, wie man von Cyber-Risikoszenarien und quantifizierten Ergebnissen zu Diskussionen auf Vorstandsebene gelangt – insbesondere im Hinblick auf Risikobereitschaft und regulatorische Berichterstattung. Die Sitzung betonte, dass sich Vorstände nicht primär für Cyber-„Szenarien“ interessieren, sondern für Geschäftsergebnisse und deren potenzielle Auswirkungen auf das Unternehmen.

Wichtige Themen

• Prioritäten des Vorstands vs. technische Cyber-Rahmenbedingungen
  • Vorstände konzentrieren sich auf geschäftliche Auswirkungen (z. B. Umsatzverluste, Reputationsschäden, regulatorische Konsequenzen) und nicht auf technische Details von Szenarien.
• Nachweise zur geschäftlichen Auswirkung anhand realer Vorfälle
  • Beispiel Einzelhandel (Marks & Spencer, UK): Die entscheidende Frage ist nicht „Was ist passiert?“, sondern „Wie groß ist die zu erwartende Auswirkung?“ (angegebene Auswirkung: über 300 Mio. £ und Gewinnbeeinträchtigung).
  • Beispiel Fertigung (Jaguar Land Rover): Fokus auf Produktionsverfügbarkeit und Auswirkungen auf die Lieferkette (angegebene Auswirkung: über 5.000 Zulieferer und mehr als 1 Mrd. £ Auswirkung auf die britische Wirtschaft).
  • Beispiel Finanzdienstleistungen (Medibank, Australien): Ein Vorfall im Zusammenhang mit kompromittierten Anmeldedaten Dritter und schwacher MFA führte zur Offenlegung von 9,7 Mio. sensiblen Datensätzen; die Folgewirkungen umfassten regulatorische Anforderungen in Höhe von 250 Mio. $ an zusätzlichem Kapital sowie laufende Sammelklagen (und wichtig: kein Versicherungsschutz durch Cyber-Policen).
• Strukturelle Lücke zwischen Sicherheit und Führungsebene
  • Sicherheitsmaßnahmen sind operativ geprägt (Kontrollen, Schwachstellen, SOC-Warnmeldungen).
  • Die Führungsebene entscheidet in finanziellen oder konsequenten Begriffen (Umsatzverlust, Kundenabwanderung, Kapitalauswirkungen).
  • Das Problem der „Übersetzungsebene“ verhindert eine sinnvolle Entscheidungsfindung auf Vorstandsebene.
• Warum Cyberrisiken in das Enterprise Risk Management (ERM) integriert werden müssen
  • Vorstände haben eine begrenzte „Entscheidungskapazität“ und können nicht über 50+ Szenarien gleichzeitig steuern.
  • Der Wettbewerb um Budgets erfordert eine klare Methode zur Rechtfertigung von Prioritäten.
  • ERM konzentriert sich auf Konsequenzen und ist damit der natürliche Anknüpfungspunkt für Cyberrisiken.
• Level-2-Taxonomie und die Methode der Übersetzungsebene
  • Eine strukturierte Taxonomie verbindet FAIR-Risikoszenarien → Level-2-Kategorien → Unternehmensrisikokategorien.
  • Kategorien der Ebene 2 sind ergebnisorientiert (geschäftliche Auswirkungen) und so konzipiert, dass sie auch bei sich wandelnden Bedrohungen stabil bleiben.
  • Kategorien enthalten aggregierte Zahlen, die aus Szenarien auf niedrigerer Ebene abgeleitet wurden, um die Sichtbarkeit von Trends und eine handlungsorientierte Berichterstattung zu unterstützen.
• Abgleich mit der Risikobereitschaft
  • Die Risikobereitschaft dient als Maßstab: Vergleichen Sie das Risiko mit einer definierten Risikobereitschaft und -toleranz.
  • Die Methode unterstützt Entscheidungen des Vorstands, wie z. B. Akzeptanz gegenüber Investitionen in Minderungsmaßnahmen oder die Überprüfung von Versicherungsgrenzen.
• Kontrollanalytik und weitere Vorgehensweise
  • Das nächste Webinar (2. Juli) befasst sich mit FAIR-CAM/Kontrollanalytik: Wie wirken sich Kontrollen auf die Häufigkeit und das Ausmaß von Verlusten aus?

Wichtige Erkenntnisse

1. Übersetzen Sie Cyberszenarien in für den Vorstand relevante Geschäftsergebnisse (Umsatzverluste, Reputationsschäden, regulatorische Konsequenzen), um Governance zu ermöglichen.
2. Verwenden Sie eine Taxonomie der Ebene 2, die auf geschäftliche Auswirkungen und Risikobereitschaft abgestimmt ist, damit die Berichterstattung vergleichbar, handlungsorientiert und trendbasiert wird – und nicht nur eine lange Liste technischer Szenarien darstellt.
3. Integrieren Sie Cyberrisiken in das ERM sowie in Entscheidungen zu Risikobereitschaft und -toleranz, um Entscheidungen zur Akzeptanz und Minderung vor einem Vorfall zu unterstützen (einschließlich der Überprüfung von Cyberversicherungsgrenzen).

> Die Aufzeichnung ist verfügbar: hier

‍

‍