# Cyber-Risiken im Verwaltungsrat: Was ein guter Bericht zeigen muss

> Was ein Cyber-Bericht an den Verwaltungsrat zeigen muss: einseitige Vorlage mit neun Feldern, fiktives Beispiel und Prüffragen für Ihren Bericht.

- Quelle: https://www.sidd.swiss/einblicke/cyber-risiken-verwaltungsrat-bericht/
- Sprache: de-CH
- Veröffentlicht: 2026-10-20
- Stand: 2026-10-20
- Autor:in: Philipp Staiger
- Herausgeber: SIDD Institut für Datenschutz und Datensicherheit, eine Marke der Priverion GmbH, Zugerstrasse 32, 6340 Baar (ZG), Schweiz

## Kurzantwort: Ein guter Bericht bereitet einen Entscheid vor

**Kurzantwort:** Ein guter Cyber-Bericht an den Verwaltungsrat beantwortet drei Fragen: Was steht für das Geschäft auf dem Spiel? Wie gut ist die Einschätzung belegt? Was soll der Verwaltungsrat entscheiden? Aktivitätszahlen und grüne Ampeln allein beantworten keine davon.

Die einseitige Vorlage in diesem Beitrag hilft Ihnen, Ihren bestehenden Bericht zu prüfen. Sie ist eine Arbeitshilfe von SIDD, kein Ergebnis und kein geprüftes Modell der zitierten Studie.

## Was eine Studie zu Board-Berichten zeigt, und was nicht

Opdenbusch, Hielscher und Sasse haben 18 Führungspersonen grosser britischer Organisationen interviewt: Geschäftsleitungsmitglieder, nicht geschäftsführende Board-Mitglieder, Beratende und CISOs. Ein CISO (Chief Information Security Officer) leitet die Informationssicherheit. Die Gespräche fanden im ersten Halbjahr 2021 statt.

Nach den Schilderungen der Befragten liefen Board-Entscheide zu Cyber-Risiken meist auf Budgetfragen hinaus. Rückfragen blieben teils aus Unsicherheit aus. Die Autoren sehen darin eine starke Abhängigkeit von den Berichtenden, welche die Aufsicht schwächt. Die Studie ist qualitativ, nicht repräsentativ und sagt nichts über Schweizer KMU. Ein britisches Board ist zudem anders aufgebaut als ein Verwaltungsrat.

In der Schweiz bleibt die Oberaufsicht über die Geschäftsführung unübertragbar beim Verwaltungsrat ([Art. 716a Abs. 1 Ziff. 5 OR](https://www.fedlex.admin.ch/eli/cc/27/317_321_377/de#art_716_a)). Er muss «für eine angemessene Berichterstattung an seine Mitglieder» sorgen (Abs. 2). Wie diese bei Cyber-Risiken aussieht, regelt das Gesetz nicht im Einzelnen.

Welche Fragen ein Verwaltungsrat dazu stellen kann, zeigt unser Beitrag «[Cyber-Budget ist noch keine Cyber-Aufsicht: Was Verwaltungsräte fragen sollten](https://www.sidd.swiss/einblicke/cyber-budget-cyber-aufsicht-verwaltungsrat)».

## Warum Aktivitätszahlen allein keine Risikobeurteilung ergeben

Viele Berichte zeigen, wie viel die IT tut: gefilterte Phishing-Mails, installierte Updates, Schulungen. Phishing sind gefälschte Nachrichten, die Zugangsdaten erbeuten sollen. Für die Steuerung der IT sind solche Zahlen nützlich.

Für eine Risikobeurteilung fehlt ihnen der Bezug zum Geschäft. Eine sinkende Klickrate bei Phishing-Tests ist erfreulich. Ob ein gestohlenes Passwort trotzdem ins Bestellsystem führt, zeigt sie nicht. Auch die Autoren der Studie halten fest, dass bisher nicht untersucht ist, welche Kennzahlen einem Board tatsächlich helfen.

## Warum ein grüner Status ohne Nachweis wenig aussagt

Eine Ampel zeigt, wie die berichtende Person die Lage einschätzt, nicht worauf sie sich stützt. «Datensicherung: grün» heisst oft nur, dass die Sicherung läuft. Ob sich die Systeme daraus rechtzeitig wiederherstellen lassen, bleibt offen.

Ein Nachweis lässt sich von Dritten prüfen. Er nennt Datum, Ergebnis und Geltungsbereich, also worauf er sich bezieht. Beispiele sind das Protokoll eines Wiederherstellungstests oder ein Penetrationstest-Bericht mit den offenen Befunden. Ein Penetrationstest ist ein beauftragter, kontrollierter Angriff auf die eigenen Systeme.

Ein Nachweisfeld ist kein Misstrauensvotum. Der Verwaltungsrat kann gezielt nachfragen, und die Geschäftsleitung kann ihre Einschätzung belegen.

## Die Berichtsvorlage: neun Felder auf einer Seite

Die Vorlage beschreibt ein Risiko pro Seite. Beginnen Sie mit den zwei oder drei Prozessen, deren Ausfall Ihr Unternehmen am stärksten träfe. Die rechte Spalte hilft beim Prüfen Ihres bestehenden Berichts.

| Feld | Was hineingehört | Prüffrage an Ihren Bericht |
| --- | --- | --- |
| 1. Kritischer Geschäftsprozess | Ein Prozess, ohne den das Unternehmen nicht arbeiten kann. | Steht dort ein Prozess oder nur ein IT-System? |
| 2. Konkretes Ausfallszenario | Was geschieht, wodurch und mit welchen Systemen. | Liesse sich das Szenario üben? |
| 3. Geschäftliche Auswirkungen | Folgen für Kunden, Umsatz, Verträge, Personendaten und Ruf. | Sind die Annahmen genannt? |
| 4. Von der Führung festgelegte Toleranz | Längste vertretbare Ausfallzeit und grösster vertretbarer Datenverlust. | Hat die Führung entschieden oder die IT? |
| 5. Bestehende Schutzmassnahmen und überprüfbare Nachweise | Jede Massnahme mit Nachweis, Datum und Geltungsbereich. | Ist jede Aussage belegt? |
| 6. Verbleibendes Risiko und Unsicherheit | Was offen bleibt und wie sicher die Einschätzung ist. | Wird Unsicherheit benannt? |
| 7. Handlungsoptionen und Aufwand | Zwei bis drei Optionen, auch das bewusste Tragen des Risikos. | Gibt es eine echte Wahl? |
| 8. Verantwortliche Person | Name und Funktion, keine Abteilung. | Ist klar, wer umsetzt? |
| 9. Benötigter Entscheid und Termin | Was der Verwaltungsrat bis wann beschliessen soll. | Endet der Bericht mit einer Frage an den Verwaltungsrat? |

Fehlen Toleranz, Nachweise oder der benötigte Entscheid, informiert der Bericht, stützt die Aufsicht aber kaum. Verbindlich wird die Vorlage etwa, wenn das Organisationsreglement auf sie verweist. Dieses regelt «insbesondere die Berichterstattung» ([Art. 716b Abs. 3 OR](https://www.fedlex.admin.ch/eli/cc/27/317_321_377/de#art_716_b)).

## Ausgefülltes Beispiel (fiktiv)

Das Beispiel ist frei erfunden: ein Handelsunternehmen mit Lager und Onlineshop. Schadenssummen und Wahrscheinlichkeiten sind bewusst nicht geschätzt.

| Feld | Fiktives Beispiel |
| --- | --- |
| 1. Prozess | Auftragsabwicklung vom Bestelleingang bis zum Versand. |
| 2. Szenario | Schadsoftware verschlüsselt das ERP-System, die zentrale Software für Bestellungen, Lager und Rechnungen. Aufträge lassen sich weder erfassen noch ausliefern. |
| 3. Auswirkungen | Lieferverzug bei Grosskunden, mögliche Vertragsstrafen. Bei betroffenen Kundendaten ist eine Meldung an den EDÖB, die Datenschutzaufsicht des Bundes, zu prüfen ([Art. 24 DSG](https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_24)). Umsatzausfall pro Tag und Vertragsstrafen: noch zu erheben. |
| 4. Toleranz | Vorschlag der Geschäftsleitung: Aufträge spätestens nach 48 Stunden wieder abwickeln, notfalls eingeschränkt. Höchstens ein Arbeitstag Datenverlust. Vom Verwaltungsrat noch zu bestätigen. |
| 5. Massnahmen und Nachweise | Tägliche Datensicherung, eine Kopie vom Netzwerk getrennt (Nachweis: Sicherungsprotokolle). Fernzugriff nur mit zweitem Faktor zusätzlich zum Passwort (Nachweis: Auszug aus der Benutzerverwaltung). Wiederherstellungstest des ERP: noch zu erheben. |
| 6. Restrisiko und Unsicherheit | Ob das ERP innert 48 Stunden wieder läuft, ist nicht belegt. Bisher wurden nur einzelne Dateien zurückgeholt, die IT-Leitung hält das Ziel deshalb für unsicher. |
| 7. Optionen und Aufwand | A: Wiederherstellungstest mit dem IT-Partner, Aufwand noch zu erheben. B: Notfallablauf für die manuelle Auftragserfassung festlegen und üben, geringer interner Aufwand. C: Toleranz auf 72 Stunden erhöhen und das Risiko bewusst tragen. |
| 8. Verantwortung | Leiterin Finanzen und IT, Mitglied der Geschäftsleitung (im echten Bericht mit Namen). |
| 9. Entscheid und Termin | Toleranz bestätigen oder anpassen. Optionen A und B freigeben oder C wählen. Termin: nächste ordentliche Sitzung. |

Der eigentliche Befund steht in Feld 5: Die Sicherung läuft, ihre Wirksamkeit im Ernstfall ist aber nicht belegt.

## Warum finanzielle Schätzungen Annahmen und Bandbreiten brauchen

Eine einzelne Schadenszahl wirkt präzise, verbirgt aber ihre Annahmen. Eine belastbare Schätzung nennt sie: Wie lange fällt der Prozess aus? Welche Kosten entstehen pro Tag, etwa durch Umsatzausfall, Mehrarbeit oder externe Hilfe? Was ist nicht eingerechnet?

Statt einer Zahl gehört eine Bandbreite in den Bericht, mit einem günstigen und einem ungünstigen Fall. Dazu gehört, wer wann geschätzt hat. Fehlt eine Grundlage, steht dort «noch zu erheben».

In der Studie wünschte sich ein Berater, die Folgen von Cyber-Risiken besser beziffern zu können. Ein Board-Mitglied verwies darauf, dass Cyber-Risiken schwer in bestehende Messrahmen passen. Bandbreiten mit offengelegten Annahmen sind ein pragmatischer Mittelweg.

## Workshop oder laufende Sicherheitssteuerung?

Ob Sie Unterstützung brauchen, hängt davon ab, was nach dem ersten Bericht geschieht. Für einen guten Bericht ist keine Zertifizierung nötig.

### Ein punktueller Workshop genügt, wenn

- Sie die Vorlage erstmals ausfüllen und Ihren bestehenden Bericht einordnen möchten.
- wenige kritische Prozesse im Vordergrund stehen.
- jemand intern oder beim IT-Partner die Massnahmen umsetzt und den Bericht nachführt.

Dafür eignet sich der [Cyber-Risiko-Workshop für VR und GL](https://www.sidd.swiss/leistungen/cyber-risiko-workshop-verwaltungsrat), eine führungsorientierte Variante unseres [IT-Sicherheits-Workshops](https://www.sidd.swiss/leistungen/it-sicherheits-workshop-kmu).

### Laufende Sicherheitssteuerung ist sinnvoll, wenn

- der Bericht regelmässig nachzuführen ist und intern niemand diese Rolle übernehmen kann.
- viele Massnahmen über Monate offen sind.
- Kunden, Versicherer oder Aufsicht regelmässig Nachweise verlangen.
- der Verwaltungsrat eine Einschätzung wünscht, die nicht nur von der umsetzenden IT stammt.

Dann kann ein [externer CISO](https://www.sidd.swiss/leistungen/ciso-isb-iso) die Steuerung übernehmen und an Geschäftsleitung und Verwaltungsrat berichten. Möchten Sie Ihren bestehenden Bericht mit uns durchgehen? Nutzen Sie das [Kontaktformular](https://www.sidd.swiss/kontakt).

### Quellen

Alle Quellen abgerufen am 20. Oktober 2026.

- [Opdenbusch, J. C., Hielscher, J., Sasse, M. A.: «Where Are We On Cyber?» A Qualitative Study On Boards’ Cybersecurity Risk Decision Making](https://dx.doi.org/10.14722/ndss.2025.240595), NDSS Symposium 2025, DOI 10.14722/ndss.2025.240595 (in englischer Sprache)
- [Obligationenrecht (OR, SR 220), Art. 716a und 716b](https://www.fedlex.admin.ch/eli/cc/27/317_321_377/de#art_716_a), Fedlex, Stand 1. Oktober 2026
- [Bundesgesetz über den Datenschutz (DSG, SR 235.1), Art. 24](https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_24), Fedlex, Stand 7. Juli 2025

*Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Die Berichtsvorlage ist eine Arbeitshilfe von SIDD und kein Ergebnis der zitierten Studie.*

---

Dieses Dokument ist die Markdown-Fassung der oben verlinkten Seite. Zitieren Sie bitte die HTML-URL.