Kurzantwort: Eine Budgetfreigabe ersetzt keine nachvollziehbare Entscheidung über Geschäftsrisiken. Ein Verwaltungsrat kann ein Cyber-Budget genehmigen und trotzdem offenlassen, welche Prozesse gefährdet sind, wie lange sie ausfallen dürfen und welche Risiken bleiben.

Das hat weniger mit Engagement zu tun als mit dem Format: Sind Bericht und Traktandum auf das Budget zugeschnitten, bleibt für Risiken wenig Raum. Dieser Beitrag zeigt, warum die Budgetfrage allein nicht genügt, und schlägt fünf Fragen für die nächste Sitzung vor.

Den Anlass gibt eine Interviewstudie zur Frage, wie Boards über Cyber-Risiken entscheiden. Die wichtigsten Angaben:

Die Befunde sind deshalb Hinweise, keine Massstäbe. Sie beschreiben ein Muster, das auch in Schweizer Gremien vorkommen kann, aber nicht muss.

Die Budgetfrage ist berechtigt. Sie misst aber den Aufwand, nicht die Wirkung. Ein «Ja» heisst, dass Mittel bereitstehen. Es heisst nicht, dass die wichtigsten Prozesse geschützt sind oder nach einem Angriff rechtzeitig wieder laufen.

Ein befragter CISO berichtete, unzählige Male gefragt worden zu sein, ob Tempo und Budget stimmten. Herausgefordert hätten diese Fragen kaum. Andere CISOs beschrieben ihr Budget mal als zu knapp, mal als zu grosszügig bemessen. Ein Budget ohne Bezug zu konkreten Risiken lässt sich schwer richtig bemessen.

Die Autoren empfehlen, Cyber-Risiken nicht allein über Budgets zu steuern. Als Beispiel für einen strategischen Entscheid nennen sie die Frage, welcher Ausfall durch einen Angriff höchstens tragbar wäre. Daran knüpfen die folgenden Fragen an.

Die fünf Fragen sind eine praktische Ableitung von SIDD aus den Hinweisen der Studie. Sie sind kein Instrument, das die Studie entwickelt oder geprüft hätte. Sie setzen kein Fachwissen voraus, sondern verlangen Antworten in der Sprache des Geschäfts.

1. Welche Geschäftsprozesse sind besonders gefährdet?

Warum sie relevant ist: Cyber-Risiken treffen ein Unternehmen über seine Prozesse, nicht über einzelne Server. Erst wenn die kritischen Prozesse benannt sind, lassen sich Budget und Massnahmen daran messen.

Eine brauchbare Antwort enthält:

• zwei bis fünf Prozesse, etwa Auftragsabwicklung, Lohnlauf oder Kundenportal,
• je Prozess die tragenden Systeme und Dienstleister,
• ein konkretes Szenario, zum Beispiel die Verschlüsselung durch Schadsoftware oder den Ausfall eines Cloud-Dienstes.

2. Wie lange können diese ausfallen?

Warum sie relevant ist: Die tragbare Ausfallzeit ist eine Geschäftsentscheidung, keine IT-Kennzahl. Sie bestimmt, wie viel Schutz und welche Wiederherstellung nötig sind.

Eine brauchbare Antwort enthält:

• je Prozess die längste vertretbare Ausfallzeit und den grössten vertretbaren Datenverlust,
• wer diese Werte vorgeschlagen und wer sie bestätigt hat,
• ob die heutige Wiederherstellung diese Werte erreicht, und falls nicht, wie gross die Lücke ist.

3. Welche Belege zeigen, dass Schutz und Wiederherstellung funktionieren?

Warum sie relevant ist: Aussagen wie «Wir haben Backups» beschreiben Massnahmen, nicht ihre Wirkung. Ein Beleg macht eine Einschätzung überprüfbar, auch ohne technisches Fachwissen. Das verringert die Abhängigkeit vom Bericht.

Eine brauchbare Antwort enthält:

• Datum, Umfang und Ergebnis des letzten Wiederherstellungstests, also des Tests, ob sich Systeme aus der Sicherung zurückholen lassen,
• Ergebnisse von Penetrationstests, also beauftragten und kontrollierten Angriffen auf die eigenen Systeme, oder von Audits, jeweils mit den offenen Punkten,
• wer den Beleg erstellt hat: das eigene Team, der IT-Partner oder eine unabhängige Stelle.

4. Welche Risiken bleiben trotz Massnahmen?

Warum sie relevant ist: Kein Budget beseitigt jedes Risiko. Ein Bericht ohne verbleibende Risiken lässt dem Verwaltungsrat nichts zu entscheiden. Erst offen genannte Restrisiken lassen sich bewusst tragen oder weiter senken.

Eine brauchbare Antwort enthält:

• die wichtigsten offenen Punkte mit ihrer Wirkung auf die Prozesse aus Frage 1,
• wie sicher die Einschätzung ist und welche Angaben dafür noch fehlen,
• ob das verbleibende Risiko innerhalb der Ausfallzeiten aus Frage 2 liegt.

5. Welche Entscheidung braucht es jetzt von uns?

Warum sie relevant ist: Aufsicht wird konkret, wenn der Verwaltungsrat etwas beschliesst: eine Ausfallzeit, eine Priorität, ein bewusst getragenes Risiko. Das Budget folgt dann aus diesen Entscheiden und ersetzt sie nicht.

Eine brauchbare Antwort enthält:

• einen klar formulierten Antrag mit zwei bis drei Optionen,
• Aufwand und Folgen jeder Option, auch der Option, nichts zu ändern,
• eine verantwortliche Person und einen Termin für die Rückmeldung.

Nicht jede Frage lässt sich beim ersten Mal vollständig beantworten. Eine offene Antwort ist dann ein Ergebnis: Sie zeigt, wo Informationen fehlen.

Der Verwaltungsrat hat die Oberaufsicht über die Personen, die mit der Geschäftsführung betraut sind (Art. 716a Abs. 1 Ziff. 5 OR). Die Geschäftsführung selbst kann er an eine Geschäftsleitung übertragen (Art. 716b Abs. 1 OR). Für Cyber-Risiken ergibt sich daraus eine einfache Aufteilung:

• Der Verwaltungsrat überwacht. Er stellt die fünf Fragen, bestätigt tragbare Ausfallzeiten, verlangt Belege und entscheidet über Anträge. Sicherheitsprojekte führt er nicht selbst.
• Die Geschäftsleitung steuert. Sie setzt Prioritäten, stellt Mittel bereit, schlägt Ausfallzeiten vor und verantwortet die Umsetzung.
• Die Sicherheitsverantwortlichen liefern belastbare Informationen. Ob CISO, IT-Leitung oder externer Partner: Sie beschreiben Szenarien, legen Belege vor und benennen Unsicherheiten offen.

Die meisten Befragten der Studie sahen die Rolle des Boards in einer Krise nicht im operativen Eingreifen. Es solle informiert sein und der Geschäftsleitung Zeit und Raum für die Bewältigung verschaffen.

Nehmen Sie die fünf Fragen in die Traktandenliste Ihrer nächsten Sitzung auf. Bitten Sie die Geschäftsleitung, sie vorab für zwei oder drei kritische Prozesse schriftlich zu beantworten. So bleibt in der Sitzung Zeit für die Entscheide statt für die Einführung.

Wie ein Bericht aussehen kann, der diese Fragen beantwortet, zeigt unser Beitrag «Cyber-Risiken im Verwaltungsrat: Was ein guter Bericht zeigen muss». Er enthält eine einseitige Vorlage und ein ausgefülltes, fiktives Beispiel.

Wenn Sie die Antworten gemeinsam mit Fachleuten erarbeiten möchten, kann der Cyber-Risiko-Workshop für VR und GL ein Ausgangspunkt sein. Er ist eine führungsorientierte Variante unseres IT-Sicherheits-Workshops.

Quellen

Alle Quellen abgerufen am 20. Oktober 2026.

• Opdenbusch, J. C., Hielscher, J., Sasse, M. A.: «Where Are We On Cyber?» A Qualitative Study On Boards’ Cybersecurity Risk Decision Making, NDSS Symposium 2025, DOI 10.14722/ndss.2025.240595 (in englischer Sprache)
• Obligationenrecht (OR, SR 220), Art. 716a und 716b, Fedlex, Stand 1. Oktober 2026

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Die fünf Fragen sind eine Arbeitshilfe von SIDD und kein Ergebnis der zitierten Studie.