BCM und Cyber Security allein machen Unternehmen nicht resilient Operational Resilience braucht mehr als Technik und Prozesse

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

BCM und Cyber Security sind für Unternehmen und Behörden unverzichtbar, reichen aber allein nicht aus. Operational Resilience beschreibt die Fä­hig­keit, auch unter komplexen und dynamischen Bedingungen handlungsfähig zu bleiben. Entscheidend dafür ist nicht Technologie, sondern das Zu­sam­men­spiel von Strukturen, Prozessen und menschlichem Verhalten.

Regulatorische Initiativen wie die NIS2-Richtlinie und der Digital Operational Resilience Act (DORA) greifen diese Entwicklung auf und rücken die operative Widerstandsfähigkeit von Unternehmen stärker in den Fokus. Operational Resilience wird dabei häufig als technischer und regulatorischer Rahmen verstanden. Im Folgenden wird der Begriff bewusst weiter gefasst und als Unternehmensresilienz verstanden.

Finnisches Resilienz-Modell vereint Staat, Wirtschaft und Gesellschaft

Was Deutschland vom finnischen Resilienz-Konzept lernen kann

Resilienz zwischen Cyber Security und Business Continuity

Cyber Security, Business Continuity Management (BCM), Notfallmanagement und IT-Operations verfolgen unterschiedliche Perspektiven. Cyber Security konzentriert sich auf den Schutz von Systemen und Daten. BCM stellt die Fortführung kritischer Geschäftsprozesse sicher. Notfallmanagement strukturiert die Reaktion auf Krisensituationen.

Im realen Krisenfall greifen diese Bereiche unmittelbar ineinander. Ein Cyberangriff kann Geschäftsprozesse unterbrechen. Systemausfälle beeinflussen Lieferketten, Produktions­ab­läufe oder Kundendienste. Gleichzeitig müssen Entscheidungen unter Zeitdruck getroffen werden, während technische und organisatorische Maßnahmen parallel greifen.

Operational Resilience beschreibt diese Fähigkeit: auch unter komplexen und dynamischen Bedingungen handlungsfähig zu bleiben. Entscheidend ist dabei nicht nur das Zusammenspiel der Disziplinen, sondern die Fähigkeit, Informationen bereichsübergreifend einzuordnen und unter Unsicherheit Entscheidungen zu treffen.

Unternehmensresilienz funktioniert weniger wie eine Schutzmauer als wie ein Immunsystem. Entscheidend ist nicht die reine Abwehr, sondern die Fähigkeit, Veränderungen zu erkennen, einzuordnen und darauf zu reagieren.

Nicht-menschliche Identitäten brauchen einen Kill Switch

Warum Cyber-Resilienz 2026 die neue Cyber-Recovery wird

Preparedness als unternehmerische Fähigkeit

Ein zentraler Bestandteil von Unternehmensresilienz ist Preparedness – die Vorbereitung auf Krisensituationen. Dazu gehören klare Entscheidungsstrukturen, definierte Kommunikations­wege und regelmäßige Übungen.

In der Praxis zeigt sich jedoch, dass technische Schutzmaßnahmen nur einen Teil der Resilienz ausmachen. Ebenso entscheidend ist, ob Informationen an den Schnittstellen zusammen­ge­führt werden und ob Mitarbeitende Unsicherheiten erkennen und aktiv weitergeben.

Ein anonymisiertes Praxisbeispiel verdeutlicht diese Dynamik. In einem Unternehmen reagierte eine Mitarbeiterin auf eine täuschend echt wirkende Phishing-E-Mail und gab ihre Zugangsdaten ein. Kurz darauf entstand Unsicherheit über die Situation. Die Mitarbeiterin arbeitete in Teilzeit und hatte bislang wenig Berührung mit sicherheitsrelevanten Vorfällen. Die Sorge, einen Fehler gemacht zu haben, führte zunächst zu Zurückhaltung.

Erst einige Stunden später fiel ungewöhnliche Aktivität im System auf. Zu diesem Zeitpunkt hatten Angreifer bereits begonnen, interne Zugänge zu nutzen.

Der Vorfall zeigt, dass Resilienz nicht allein durch technische Maßnahmen entsteht. Entscheidend ist, was an den Schnittstellen passiert: ob Informationen zusammengeführt werden und ob Unsicherheiten erkannt und weitergegeben werden.

Business Continuity und Notfallmanagement

Sind Sie auf den Ernstfall vorbereitet?

BCM als verbindendes Element

Business Continuity Management schafft Transparenz über kritische Geschäftsprozesse, Abhängigkeiten und mögliche Auswirkungen von Störungen. Im Zusammenspiel mit Cyber Security und Incident Management entsteht ein umfassender Blick auf die Widerstandsfähigkeit eines Unternehmens.

Regulatorische Initiativen wie DORA greifen genau diese Verbindung auf. Operational Resilience wird hier als Fähigkeit verstanden, kritische Dienstleistungen auch unter außergewöhnlichen Bedingungen aufrechtzuerhalten.

Unternehmensresilienz als Entscheidungsfähigkeit

Mit zunehmender Digitalisierung wächst die Bedeutung einer integrierten Perspektive auf Sicherheit und Resilienz. Technische Systeme, Geschäftsprozesse und regulatorische Anforderungen entwickeln sich parallel weiter.

Unternehmensresilienz beschreibt dabei keine einzelne Disziplin, sondern eine Fähigkeit von Unternehmen. Sie entsteht dort, wo technische Sicherheit, unternehmerische Strukturen und menschliches Handeln zusammenwirken.

Cyber-Resilienz für industrielle Steuerungssysteme

Wie Industrieanlagen nach einem Cyberangriff sicher wieder starten

Mit steigender Komplexität reicht es nicht aus, Systeme abzusichern oder Prozesse zu definieren. Entscheidend wird die Fähigkeit, unter dynamischen Bedingungen handlungsfähig zu bleiben.

In vielen Unternehmen zeigt sich, dass Strukturen und Prozesse vorhanden sind, Entscheidungen jedoch weiterhin entlang etablierter Muster getroffen werden. Gerade in dynamischen Situationen entsteht dadurch ein Spannungsfeld zwischen bestehenden Strukturen und der Notwendigkeit situativer Entscheidungen.

Der Human Factor spielt dabei eine zentrale Rolle. Resilienz entsteht nicht allein durch Systeme, sondern durch das Verhalten von Menschen innerhalb dieser Strukturen. Entscheidend ist, ob Mitarbeitende Zusammenhänge erkennen, Informationen richtig einordnen und Entscheidungen an den richtigen Stellen ermöglichen.

Unternehmensresilienz entsteht deshalb nicht primär durch Technologie oder einzelne Disziplinen, sondern durch die Fähigkeit von Unternehmen, unter Unsicherheit Ent­schei­dung­en zu treffen und umzusetzen.

Security-Insider Podcast – Folge 84

Gehackt! Was jetzt?

Interdisziplinäre Awareness als Voraussetzung

Die praktische Umsetzung von Unternehmensresilienz zeigt, wie wichtig das Verständnis zwischen unterschiedlichen Bereichen ist. IT-Sicherheit, Risikomanagement, BCM, Datenschutz und Management bringen unterschiedliche Perspektiven ein.

Interdisziplinäre Awareness geht dabei über klassische Zusammenarbeit hinaus. Sie beschreibt die Fähigkeit, Zusammenhänge zwischen technischen, organisatorischen und wirtschaftlichen Auswirkungen zu erkennen und in Entscheidungen zu überführen.

Unternehmen, die Unternehmensresilienz konsequent weiterentwickeln, fördern bewusst dieses gemeinsame Verständnis. Workshops, Szenarioübungen und abgestimmte Governance-Strukturen unterstützen dabei, Informationen bereichsübergreifend nutzbar zu machen.

Resilienz entfaltet ihre Wirkung dort, wo ein gemeinsames Verständnis über Risiken und Abhängigkeiten besteht – und wo Unternehmen in der Lage sind, dieses Verständnis in koordiniertes Handeln zu überführen.

Über die Autorin: Susanne Aukes ist Beraterin für Cyber-Resilienz und Krisenkoordination. Sie arbeitet an der Schnittstelle von Technik, Recht und Führung. Ihr Hintergrund in Soziologie, Politik und Rechtswissenschaft prägt ihre Governance-orientierte Perspektive.

Leitfaden zur Bewältigung von Cyberangriffen

Fünf Schritte für den Ernstfall

(ID:50862153)