Unternehmen müssen heute gleichzeitig Cyberangriffe, Lieferkettenstörungen, geopolitische Konflikte, Extremwetter, regulatorische Anforderungen und den Ausfall zentraler Dienstleister beherrschen. Mit dem Neustart dieses Blogs wollen wir diese Entwicklungen nicht isoliert betrachten. Wir zeigen, wie Governance, Informationssicherheit, Business Continuity und Krisenmanagement zu einer belastbaren Business Resilience zusammengeführt werden können.

Die vergangenen Jahre haben den Begriff der Krise verändert. Betriebsunterbrechungen entstehen nicht mehr ausschließlich durch spektakuläre Einzelereignisse. Häufig sind es Abhängigkeiten, die über Jahre gewachsen sind: ein zentraler Cloud-Dienstleister, eine nicht mehr lieferbare Komponente, ein fehlerhaftes Softwareupdate, ein überlasteter Netzbetreiber, fehlendes Schlüsselpersonal oder eine kritische Anwendung, für die es keinen realistisch erprobten Ersatzbetrieb gibt.

Gleichzeitig wächst der regulatorische Druck. NIS-2, DORA, der Cyber Resilience Act, der AI Act und weitere nationale wie europäische Vorgaben verlangen von Unternehmen mehr als technische Schutzmaßnahmen und formale Dokumentation. Gefordert wird zunehmend der Nachweis, dass Risiken wirksam gesteuert, Vorfälle rechtzeitig erkannt, kritische Leistungen geschützt und Organisationen auch unter schwierigen Bedingungen geführt werden können.

Business Resilience wird damit zu einer zentralen Managementaufgabe.

Vom Fachblog zur Plattform für operative Resilienz

Der Business Resilience Podcast ist aus der Überzeugung entstanden, dass Krisenmanagement, Business Continuity und Informationssicherheit nicht im theoretischen Raum stattfinden. Sie müssen sich in realen Situationen bewähren – unter Zeitdruck, bei unvollständiger Informationslage und häufig mit erheblichen wirtschaftlichen, rechtlichen und gesellschaftlichen Konsequenzen.

Mit dem Neustart des Blogs führen wir diesen Gedanken konsequent weiter. Der Blog wird die Themen des Podcasts vertiefen, aktuelle Entwicklungen einordnen und praktische Erfahrungen mit regulatorischen, organisatorischen und strategischen Fragestellungen verbinden.

Dabei geht es nicht um die nächste isolierte Methode und nicht um Compliance als Selbstzweck. Entscheidend ist die Frage:

Was muss eine Organisation tatsächlich können, wenn ihre normalen Strukturen nicht mehr ausreichen?

Diese Frage verbindet alle Themen, mit denen wir uns künftig beschäftigen werden.

Governance: Verantwortung lässt sich nicht delegieren

Cybersecurity, Business Continuity und Krisenvorsorge wurden lange als Aufgaben spezialisierter Fachbereiche behandelt. Die Geschäftsleitung erhielt Berichte, genehmigte Budgets und verließ sich darauf, dass die zuständigen Funktionen Risiken angemessen beherrschten.

Dieses Modell reicht nicht mehr aus.

Das Bundesamt für Sicherheit in der Informationstechnik stellt im Zusammenhang mit NIS-2 ausdrücklich fest, dass Cybersicherheit zur Aufgabe der Unternehmensleitung wird. Geschäftsführungen betroffener Einrichtungen müssen Risikomanagementmaßnahmen umsetzen lassen, ihre Umsetzung überwachen und sich selbst zu Cyberrisiken und deren Management schulen lassen. Die Verantwortung für geeignete, verhältnismäßige und wirksame Maßnahmen liegt damit nicht allein bei IT, Informationssicherheit oder Compliance. (⁠BSI)

Für Unternehmen bedeutet das einen grundlegenden Perspektivwechsel. Ein Managementbericht, der ausschließlich technische Kennzahlen enthält, schafft noch keine belastbare Entscheidungsgrundlage. Geschäftsleitungen müssen verstehen:

• Welche Produkte und Leistungen für das Unternehmen existenziell sind.
• Von welchen Prozessen, Personen, Systemen und Dienstleistern diese abhängen.
• Welche Ausfallzeiten wirtschaftlich und rechtlich noch vertretbar sind.
• Welche Vorsorgemaßnahmen tatsächlich umgesetzt und erprobt wurden.
• Welche Restrisiken bewusst akzeptiert werden.

Governance beschreibt deshalb nicht nur Zuständigkeiten. Gute Governance sorgt dafür, dass Risiken sichtbar werden, Entscheidungen nachvollziehbar getroffen und Maßnahmen konsequent umgesetzt werden.

Compliance: Nicht nur nachweisen, sondern beherrschen

Die europäische Regulierung verschiebt den Fokus erkennbar von abstrakten Sicherheitsanforderungen hin zur operativen Widerstandsfähigkeit.

DORA wird im Finanzsektor bereits seit dem 17. Januar 2025 angewendet. Die Verordnung verlangt, dass Finanzunternehmen ihre IKT-Risiken systematisch steuern und ihre digitale operative Resilienz in die übergeordneten betrieblichen Strukturen integrieren. Dazu gehören unter anderem das Management von IKT-Vorfällen, Resilienztests und die Steuerung kritischer Drittdienstleister. (⁠EUR-Lex)

Auch der Cyber Resilience Act greift zunehmend praktisch. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei Produkten mit digitalen Elementen melden. Die wesentlichen Produktanforderungen gelten ab dem 11. Dezember 2027. Hersteller müssen sich daher bereits heute mit sicherer Entwicklung, Schwachstellenmanagement, Updatefähigkeit und den Verantwortlichkeiten über den gesamten Produktlebenszyklus auseinandersetzen. (⁠Digitale Strategie Europa)

Diese Vorschriften haben unterschiedliche Anwendungsbereiche. Inhaltlich weisen sie jedoch in dieselbe Richtung: Unternehmen sollen Risiken nicht nur beschreiben, sondern wirksam kontrollieren können.

Ein zertifiziertes Managementsystem, eine Richtlinie oder eine sauber ausgefüllte Checkliste können dafür wichtige Grundlagen schaffen. Sie ersetzen aber nicht die operative Umsetzung. Die entscheidenden Fragen lauten daher nicht nur:

Ist der Prozess dokumentiert?

Sondern auch:

Ist er bekannt? Funktioniert er unter Zeitdruck? Sind die notwendigen Personen erreichbar? Stehen alternative Kommunikationswege zur Verfügung? Wurde der Wiederanlauf tatsächlich getestet?

Der Blog wird deshalb regulatorische Anforderungen regelmäßig aus zwei Perspektiven betrachten: Was verlangt die jeweilige Vorschrift formal – und was muss eine Organisation praktisch tun, damit daraus echte Widerstandsfähigkeit entsteht?

Business Continuity: Kritische Leistungen in den Mittelpunkt stellen

Business Continuity Management wird häufig auf Notfallhandbücher, Wiederanlaufpläne oder eine jährliche Business-Impact-Analyse reduziert. Ein wirksames BCMS beginnt jedoch nicht bei der Dokumentation, sondern bei der Geschäftsleistung.

Welche Leistungen müssen auch während einer Störung weiter erbracht werden? Welche dürfen kurzzeitig eingeschränkt werden? Welche Abhängigkeiten können den Betrieb vollständig zum Stillstand bringen?

Erst aus diesen Fragen lassen sich angemessene Vorsorgestrategien entwickeln.

Dabei reicht es nicht, einzelne Anwendungen nach ihrer technischen Bedeutung zu priorisieren. Kritische Leistungen entstehen aus dem Zusammenspiel von Personal, Gebäuden, Informationen, IT-Systemen, Produktionsanlagen, Lieferanten, Logistik, Energieversorgung und externen Partnern. Der Ausfall nur einer dieser Ressourcen kann genügen, um einen gesamten Prozess zu unterbrechen.

Künftige Beiträge werden sich deshalb unter anderem mit folgenden Fragen beschäftigen:

• Wie werden kritische Geschäftsleistungen nachvollziehbar identifiziert?
• Wie belastbar sind Business-Impact-Analysen in der Praxis?
• Welche Wiederanlaufzeiten sind technisch tatsächlich erreichbar?
• Wie lassen sich IT Service Continuity und fachliches BCM verbinden?
• Wie werden Lieferanten und Cloud-Dienstleister in die Vorsorge einbezogen?
• Wie lässt sich feststellen, ob Notfallpläne im Ernstfall funktionieren?

Besondere Aufmerksamkeit verdient dabei die zunehmende Konzentration auf wenige zentrale Dienstleister und Plattformen. Digitalisierung steigert Effizienz, kann gleichzeitig aber neue systemische Abhängigkeiten erzeugen. Der nächste großflächige Ausfall muss deshalb keineswegs auf einen Cyberangriff zurückgehen. Auch fehlerhafte Updates, Konfigurationsfehler, Netzstörungen oder Kaskadeneffekte können weitreichende Betriebsunterbrechungen verursachen.

Cyber Resilience: Vom Schutzwall zur Wiederherstellungsfähigkeit

Klassische Informationssicherheit konzentriert sich stark auf Prävention: Angriffe sollen verhindert, Schwachstellen geschlossen und unberechtigte Zugriffe abgewehrt werden. Diese Maßnahmen bleiben unverzichtbar. Dennoch kann keine Organisation garantieren, dass ein erfolgreicher Angriff oder ein schwerer technischer Ausfall niemals eintritt.

Cyber Resilience beginnt dort, wo reine Prävention an ihre Grenzen stößt.

Sie umfasst die Fähigkeit, Angriffe frühzeitig zu erkennen, Auswirkungen zu begrenzen, kritische Leistungen aufrechtzuerhalten und Systeme kontrolliert wiederherzustellen. Dazu müssen Informationssicherheit, Incident Response, IT-Betrieb, Business Continuity, Krisenmanagement, Kommunikation und Unternehmensleitung zusammenarbeiten.

Wie anspruchsvoll diese Zusammenarbeit ist, zeigt auch die europäische Entwicklung. ENISA übt im Rahmen von „Cyber Europe“ regelmäßig großflächige, grenzüberschreitende Cyberkrisen. 2026 wurde dabei erstmals auch die Aktivierung der europäischen Cybersecurity Reserve in ein Übungsszenario eingebunden. Im Mittelpunkt steht nicht allein die technische Reaktion, sondern die koordinierte Bewältigung komplexer Vorfälle über Organisations- und Staatsgrenzen hinweg. (⁠ENISA)

Für Unternehmen bedeutet dies: Ein Incident-Response-Plan allein ist noch keine Cyberresilienz. Er muss mit geschäftlichen Prioritäten, Wiederanlaufverfahren, Entscheidungsbefugnissen und Krisenkommunikation verbunden werden.

Krisenmanagement: Entscheiden, wenn Gewissheit fehlt

Krisen unterscheiden sich von normalen Betriebsstörungen nicht nur durch ihre Schwere. Sie verändern die Bedingungen, unter denen Entscheidungen getroffen werden.

Informationen sind widersprüchlich. Die Lage entwickelt sich dynamisch. Zuständigkeiten überschneiden sich. Medien, Kunden, Behörden, Beschäftigte und Geschäftspartner erwarten gleichzeitig Antworten. Hinzu kommen rechtliche Risiken, persönliche Betroffenheit und erheblicher Zeitdruck.

Ein funktionierender Krisenstab benötigt deshalb mehr als einen Alarmierungsplan und vorbereitete Protokollvorlagen. Er braucht:

• ein gemeinsames Lageverständnis,
• klare Rollen und Entscheidungsbefugnisse,
• geeignete Kommunikationsstrukturen,
• eine belastbare Arbeitsmethodik,
• vordefinierte Eskalationswege,
• trainierte Führungskräfte,
• und die Fähigkeit, Entscheidungen regelmäßig zu überprüfen.

Das BBK weist darauf hin, dass erfolgreiches Krisenmanagement die Zusammenarbeit staatlicher und privater Akteure erfordert. Gerade bei kritischen Infrastrukturen und großflächigen Störungen können Unternehmen Krisen nicht ausschließlich innerhalb ihrer eigenen Organisationsgrenzen bewältigen.

Im Blog werden wir daher nicht nur über Aufbauorganisationen und Krisenhandbücher schreiben. Wir werden uns auch mit Entscheidungspsychologie, Stabsarbeit, Krisenkommunikation, Übungen und den typischen Fehlern in realen Krisensituationen beschäftigen.

Geopolitik, Lieferketten und kritische Infrastruktur

Die Risikolandschaft wird zunehmend durch miteinander verknüpfte Entwicklungen bestimmt. Der Global Risks Report 2026 des World Economic Forum nennt geoökonomische Konfrontationen als bedeutendstes kurzfristiges globales Risiko. Es folgen zwischenstaatliche Konflikte, Extremwetter, gesellschaftliche Polarisierung sowie Fehl- und Desinformation. (⁠World Economic Forum)

Für Unternehmen sind das keine abstrakten Szenarien. Geopolitische Spannungen können Energiepreise, Handelswege, Rohstoffverfügbarkeit, Absatzmärkte und technologische Abhängigkeiten verändern. Extremwetter kann Produktionsstandorte, Transportachsen oder die Verfügbarkeit von Beschäftigten beeinträchtigen. Desinformation kann in einer ohnehin angespannten Lage zusätzlichen Reputations- und Entscheidungsdruck erzeugen.

Resilienz erfordert deshalb ein breiteres Risikoverständnis. Unternehmen müssen nicht jedes Ereignis exakt vorhersagen. Sie müssen jedoch erkennen, welche Entwicklungen ihre kritischen Leistungen beeinträchtigen könnten, welche Frühindikatoren relevant sind und welche Handlungsoptionen vorbereitet werden sollten.

Szenarioplanung, Horizon Scanning und Stresstests werden daher künftig ebenso Bestandteil des Blogs sein wie klassische BCM- und Cybersecurity-Themen.

Künstliche Intelligenz: Neue Fähigkeiten, neue Abhängigkeiten

Künstliche Intelligenz verändert nicht nur Geschäftsmodelle. Sie verändert auch die Sicherheits- und Krisenlandschaft.

KI kann bei der Auswertung großer Informationsmengen, der Lagebeobachtung, der Erkennung von Anomalien und der Vorbereitung von Entscheidungsoptionen unterstützen. Gleichzeitig schafft sie neue Risiken: manipulierte Inhalte, überzeugende Phishing-Angriffe, automatisierte Angriffsmuster, unklare Datenherkünfte und eine zunehmende Abhängigkeit von externen Modellen und Plattformen.

Im Krisenmanagement stellt sich außerdem eine grundsätzliche Frage: Welche Entscheidungen dürfen durch KI vorbereitet oder beeinflusst werden – und wo muss menschliche Verantwortung eindeutig erhalten bleiben?

Der Blog wird KI deshalb weder als universelle Lösung noch ausschließlich als Bedrohung behandeln. Entscheidend ist, wie sie kontrolliert, nachvollziehbar und resilient in bestehende Strukturen integriert werden kann.

Übungen: Der Unterschied zwischen Planung und Können

Viele Organisationen besitzen umfangreiche Notfall- und Krisendokumentationen. Dennoch zeigt sich erst in Übungen oder realen Ereignissen, ob die vorgesehenen Strukturen funktionieren.

Erreicht die Alarmierung tatsächlich alle relevanten Personen? Können Führungskräfte auf die erforderlichen Informationen zugreifen? Ist die Ausweichkommunikation nutzbar? Versteht der Krisenstab seine Rollen? Können IT und Fachbereiche gemeinsam priorisieren? Sind Entscheidungen dokumentierbar? Ist die externe Kommunikation abgestimmt?

Übungen schaffen keine absolute Sicherheit. Sie machen jedoch Annahmen, Schnittstellenprobleme und fehlende Fähigkeiten sichtbar, bevor daraus im Ernstfall erhebliche Schäden entstehen.

Dabei muss nicht jede Übung ein groß angelegtes, mehrtägiges Szenario sein. Tabletop-Übungen, Alarmierungstests, technische Wiederanlauftests und gezielte Funktionstests können bereits wichtige Erkenntnisse liefern. Entscheidend ist, dass Übungen nicht als einmalige Pflichtveranstaltung verstanden werden, sondern als Teil eines kontinuierlichen Lernprozesses.

Worum es in diesem Blog künftig gehen wird

Der neu ausgerichtete Blog verbindet sechs zentrale Themenfelder:

Business Continuity: kritische Leistungen, Abhängigkeiten, Vorsorgestrategien und Wiederanlauf.

Governance: Verantwortung, Entscheidungsstrukturen, Risikosteuerung und Management Accountability.

Compliance: NIS-2, DORA, CRA, AI Act, Standards und ihre praktische Umsetzung.

Informationssicherheit und Cyber Resilience: Schutz, Erkennung, Reaktion und Wiederherstellung.

Notfallmanagement: vorbereitete Verfahren für Situationen, in denen der Normalbetrieb nicht mehr ausreicht.

Krisenmanagement: Führung, Kommunikation und Entscheidungen unter außergewöhnlichen Bedingungen.

Diese Themen werden nicht getrennt nebeneinanderstehen. Der Mehrwert entsteht gerade aus ihren Verbindungen.

Nachweisbar geregelt. Operativ wirksam.

Business Resilience bedeutet nicht, jede Störung verhindern zu können. Es bedeutet auch nicht, für jedes denkbare Szenario einen eigenen Plan zu erstellen.

Resiliente Organisationen kennen ihre kritischen Leistungen. Sie verstehen ihre Abhängigkeiten. Sie treffen Vorsorge, schaffen klare Verantwortlichkeiten und trainieren ihre Entscheidungsfähigkeit. Vor allem aber prüfen sie regelmäßig, ob ihre Konzepte auch außerhalb des Papiers funktionieren.

Mit dem Neustart dieses Blogs wollen wir dazu fachliche Orientierung bieten: fundiert, kritisch und mit einem klaren Blick auf die betriebliche Realität.

Wir werden regulatorische Entwicklungen einordnen, etablierte Methoden hinterfragen, Erfahrungen aus Projekten und Übungen aufgreifen und aktuelle Ereignisse aus der Perspektive der Business Resilience analysieren.

Denn am Ende entscheidet nicht allein, ob eine Organisation ihre Anforderungen dokumentiert hat.

Entscheidend ist, ob sie handlungsfähig bleibt, wenn es darauf ankommt.