38 DSD 3 | 2026 Anwendungen und technische Abhängigkeiten berücksichtigt werden. Ein einzelnes System wiederherzustellen, hilft wenig, wenn andere für seinen Betrieb notwendige Dienste noch fehlen. Damit wird die Wiederherstellung Teil des Business Continuity Managements (BCM). Es regelt, wie wichtige Geschäftsprozesse während einer Störung weitergeführt oder möglichst schnell wieder aufgenommen werden können. Die dafür notwendigen Wiederanlaufzeiten sollten sich am tatsächlichen Geschäft orientieren. Eine Anwendung, ohne die ein Betrieb mehrere Tage weiterarbeiten kann, hat eine andere Priorität als ein System, dessen Ausfall nach wenigen Stunden Produktion oder Auslieferung blockiert. Wie lange eine Wiederherstellung tatsächlich dauert, lässt sich testen. Dabei können Probleme auftreten, die in einem Notfallplan zunächst nicht sichtbar sind: Sicherungen sind unvollständig, einzelne Anwendungen benötigen zusätzliche Systeme oder für einen Wiederanlauf fehlt eine notwendige Zugangsberechtigung. Auch organisatorische Schwächen werden bei Übungen sichtbar, etwa wenn ein Ansprechpartner nicht erreichbar ist oder für eine wichtige Entscheidung keine Vertretung festgelegt wurde. Solche Tests liefern der Geschäftsleitung Informationen, die für die Bewertung des Betriebsrisikos wesentlich aussagekräftiger sind als die Feststellung, dass „ein Back-up vorhanden“ ist. Aus einer angenommenen Wiederherstellungszeit von vier Stunden können im Test zwölf oder 24 Stunden werden. Für die IT ist das ein technischer Befund. Für einen Betrieb, der nach sechs Stunden keine Ware mehr ausliefern kann, hat dieselbe Information eine andere Bedeutung. Verantwortung auf Leitungsebene Mit der Umsetzung der europäischen NIS2-Richtlinie ist die Rolle der Geschäftsleitung auch gesetzlich deutlicher gefasst worden. Das deutsche BSI-Gesetz erfasst wesentlich mehr Unternehmen als die frühere KRITIS-Regulierung und verpflichtet besonders wichtige und wichtige Einrichtungen zu Maßnahmen des Cybersicherheitsrisikomanagements. Die Verantwortung dafür wird ausdrücklich auf Leitungsebene verankert. Geschäftsführungen müssen die vorgeschriebenen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Hinzu kommen Schulungspflichten, damit sie Cyberrisiken und deren mögliche Auswirkungen beurteilen können. Das macht aus Geschäftsführern keine IT-Spezialisten. Technische Bewertung und Umsetzung bleiben Aufgabe der zuständigen Fachleute. Die Leitung muss jedoch die Voraussetzungen schaffen, unter denen Risiken angemessen behandelt werden können, und die dafür notwendigen Entscheidungen treffen. In der Praxis setzt das eine verständliche Kommunikation zwischen IT und Geschäftsleitung voraus. Eine Meldung über eine kritische Schwachstelle in einer Software beschreibt zunächst ein technisches Problem. Für die Unternehmensleitung muss daraus hervorgehen, welche Systeme betroffen sind, welche Folgen ein erfolgreicher Angriff für den Betrieb hätte und welche Möglichkeiten zur Behebung bestehen. Diese Informationen werden besonders wichtig, wenn nicht alle Risiken gleichzeitig beseitigt werden können. Ältere Produktionssysteme lassen sich möglicherweise nicht kurzfristig ersetzen, ein Update würde einen längeren Stillstand erfordern oder mehrere Investitionen konkurrieren um dasselbe Budget. Dann muss die Geschäftsleitung entscheiden, welches Risiko sie vorrangig reduziert und welche Übergangslösung vertretbar ist. NIS2 erhöht damit den Druck, solche Entscheidungen nachvollziehbar zu treffen. Der größere praktische Nutzen liegt jedoch darin, Cyberrisiken nicht getrennt von ihren möglichen Auswirkungen auf das Geschäft zu betrachten. Ein Ausfall Bild: # 1979406539 / istockphoto.com CYBERSICHERHEIT
RkJQdWJsaXNoZXIy Mjc4MQ==