Cyber-Risiko-Workshop für Verwaltungsrat und Geschäftsleitung
Für Verwaltungsräte und Geschäftsleitungen, die Cyber-Risiken beurteilen müssen, aber keine klare Entscheidungsgrundlage erhalten. Der Workshop ordnet Geschäftsrisiken, offene Fragen und die nächsten Entscheide.
Im Erstgespräch klären wir, ob der Workshop zu Ihrer Situation passt.
Variante des bestehenden IT-Sicherheits-Workshops
Sie kennen Ihr Cyber-Budget. Aber welche Risiken bleiben?
Kurz erklärt
Der Cyber-Risiko-Workshop ist eine führungsorientierte Variante des bestehenden IT-Sicherheits-Workshops. Er richtet sich an Verwaltungsrat und Geschäftsleitung. Im Mittelpunkt stehen Geschäftsprozesse, Informationslücken und die Entscheide, die das Führungsgremium treffen muss.
Ein Budget zeigt, wie viel Sie in Sicherheit investieren. Es zeigt nicht, welche Prozesse gefährdet sind, wie lange sie ausfallen dürfen und welche Risiken bleiben. Genau diese Fragen ordnet der Workshop.
Der Workshop ist kein Sicherheitsnachweis. Er garantiert weder Compliance noch Haftungsfreiheit. Er schafft eine strukturierte Grundlage, auf der Sie entscheiden können.
Für wen der Workshop geeignet ist
Der Workshop passt, wenn einer oder mehrere dieser Punkte zutreffen:
Sie sitzen im Verwaltungsrat oder in der Geschäftsleitung und müssen Cyber-Risiken beurteilen.
Ihre Berichte zeigen vor allem Budget und Aktivitäten, aber kaum Geschäftsrisiken.
Sie möchten wissen, welche Fragen Sie der Geschäftsleitung oder der IT stellen sollten.
Verantwortung und Berichtswege für Cyber-Risiken sind noch nicht klar geregelt.
Wann der Workshop nicht passt
Ein anderer Weg ist besser, wenn
Sie gerade einen Sicherheitsvorfall bewältigen. Dann hat die operative Bewältigung Vorrang, etwa mit Ihrem IT-Partner und den zuständigen Stellen.
Sie einen technischen Nachweis brauchen, etwa für einen Kunden. Dafür eignet sich ein Penetrationstest oder ein Audit.
Sie vor allem Ihre IT-Infrastruktur bewerten lassen möchten. Dafür ist der IT-Sicherheits-Workshop gedacht.
Unterschied zum IT-Sicherheits-Workshop
Beide Workshops beginnen mit einer Standortbestimmung. Sie richten sich aber an andere Personen und liefern andere Ergebnisse.
| Kriterium | Cyber-Risiko-Workshop | IT-Sicherheits-Workshop |
|---|---|---|
| Zielgruppe | Verwaltungsrat und Geschäftsleitung | IT-Verantwortliche und Geschäftsleitung |
| Blickwinkel | Geschäftsprozesse, Informationslücken und Entscheide | IT-Infrastruktur, Risiken und Schwachstellen |
| Ergebnis | Entscheidungsgrundlage und Massnahmenplan mit Verantwortlichkeiten | Aktionsplan mit Schutzmassnahmen und Prioritäten |
Welche Variante zu Ihnen passt, klären wir im Erstgespräch.
Typische Anlässe
Eine VR-Sitzung steht bevor
Cyber-Risiken sind traktandiert. Sie möchten mit klaren Fragen und einer gemeinsamen Sicht in die Sitzung gehen.
Der Sicherheitsbericht ist unklar
Der Bericht enthält Ampeln, Kennzahlen und Budgets. Welche Geschäftsrisiken dahinter stehen und was zu entscheiden ist, bleibt offen.
Kunden stellen Anforderungen
Kunden oder Partner fragen nach Ihrer Informationssicherheit. Die Führung möchte wissen, was das für Prioritäten und Zuständigkeiten heisst.
Zuständigkeiten fehlen
Niemand ist klar für Cyber-Risiken verantwortlich, oder die Rollen von Verwaltungsrat, Geschäftsleitung und IT überschneiden sich.
Worauf der Workshop zielt
Der Workshop ist auf vier Ergebnisse ausgerichtet. Form und Tiefe legen wir vorab mit Ihnen fest.
- Übersicht prioritärer Cyber-Geschäftsrisiken: die Prozesse, deren Ausfall Ihr Unternehmen am stärksten träfe, mit einem konkreten Szenario je Prozess.
- Dokumentierte Informationslücken: welche Angaben, Belege oder Zuständigkeiten heute fehlen, um diese Risiken zu beurteilen.
- Entscheidungsgrundlage für die Führung: die Fragen und Optionen, über die Verwaltungsrat und Geschäftsleitung entscheiden sollten.
- Priorisierter Massnahmenplan mit Verantwortlichkeiten: wer was bis wann klärt oder umsetzt.
Ablauf
Der Workshop hat drei Schritte. Dauer und Termine stimmen wir im Erstgespräch ab.
Vorbereitung
Wir sichten vorhandene Unterlagen, etwa den letzten Sicherheitsbericht. Vorab klären wir die wichtigsten Geschäftsprozesse und Ihre offenen Fragen.
Gemeinsamer Workshop
Verwaltungsrat und Geschäftsleitung besprechen mit uns die Risiken, die Informationslücken und die nötigen Entscheide.
Ergebnisbesprechung
Wir legen die Ergebnisse vor und besprechen den Massnahmenplan und die offenen Punkte mit den Verantwortlichen.
Was der Workshop nicht ist
Der Workshop ordnet Risiken und Entscheide. Eine Prüfung ersetzt er nicht.
Nicht Teil des Workshops
Kein Penetrationstest: Ein beauftragter, kontrollierter Angriff, der technische Schwachstellen aufdeckt, ist eine eigene Leistung, der Penetrationstest.
Kein vollständiges Audit: Der Workshop prüft Massnahmen und Nachweise nicht systematisch anhand eines Standards.
Keine Zertifizierung: Die Konformität, etwa mit ISO 27001, bestätigt nur eine akkreditierte Stelle.
Keine operative Krisenintervention: Bei einem laufenden Vorfall hat die Bewältigung Vorrang.
Kein Sicherheitsnachweis und keine Garantie: Der Workshop bestätigt weder Sicherheit noch Compliance oder Haftungsfreiheit.
Der Workshop kann zeigen, wo solche Leistungen sinnvoll wären. Ob und bei wem Sie sie beauftragen, entscheiden Sie.
Beratung, Steuerung und Prüfung
Diese drei Rollen sollten getrennt bleiben. Nur dann bleibt Ihre Entscheidungsgrundlage glaubwürdig.
Drei Rollen
Beratung: Der Workshop ordnet Risiken und Entscheide. Massnahmen setzt er nicht um.
Laufende Sicherheitssteuerung: Eine benannte Person führt Massnahmen, Nachweise und Berichte über das Jahr. Das kann intern geschehen oder über ein externes CISO-Mandat.
Unabhängige Prüfung: Eine Stelle, die nicht selbst steuert, prüft, ob die Massnahmen wirken. Übernimmt SIDD die laufende Steuerung, prüft SIDD diese Arbeit nicht zugleich unabhängig.
Optionale Fortsetzung
Nach dem Workshop entscheiden Sie, ob und wie es weitergeht. Eine Fortsetzung ist keine Voraussetzung.
- Laufende Steuerung: Fehlt intern eine Person, die Massnahmen und Berichte nachführt, kann ein externer CISO diese Rolle übernehmen.
- ISO 27001 nur bei tatsächlichem Bedarf: Verlangen Kunden, Aufsicht oder Ihr Geschäftsmodell ein Zertifikat, begleiten wir den Aufbau eines ISMS nach ISO 27001. Ein ISMS ist ein Managementsystem für Informationssicherheit. Für gute Entscheide im Verwaltungsrat ist es keine Voraussetzung.
Hintergrund: was eine Studie zu Board-Entscheiden zeigt
Studie
Opdenbusch, Hielscher und Sasse haben im ersten Halbjahr 2021 18 Führungspersonen grosser britischer Organisationen befragt (NDSS 2025). Board-Entscheide zu Cyber-Risiken liefen dort meist auf das Budget hinaus. Rückfragen blieben teils aus Unsicherheit aus.
Die Studie ist qualitativ, nicht repräsentativ und sagt nichts über Schweizer Unternehmen oder die Wirksamkeit dieses Workshops. Sie beschreibt ein Muster, an dem der Workshop ansetzt.
Mehr dazu in unseren Beiträgen Cyber-Budget ist noch keine Cyber-Aufsicht und Was ein guter Bericht zeigen muss.
Häufige Fragen
Wer sollte teilnehmen?
Mitglieder des Verwaltungsrats und der Geschäftsleitung. Je nach Thema ist es sinnvoll, die für Informationssicherheit verantwortliche Person für Rückfragen beizuziehen. Die Zusammensetzung klären wir im Erstgespräch.
Wie bereiten wir uns vor?
Hilfreich sind vorhandene Unterlagen wie der letzte Sicherheitsbericht, eine Übersicht wichtiger Geschäftsprozesse und offene Fragen aus dem Gremium. Was wir konkret benötigen, stimmen wir vorab ab. Technisches Fachwissen ist nicht nötig.
Was erhalten wir als Ergebnis?
Ziel sind eine Übersicht prioritärer Cyber-Geschäftsrisiken, dokumentierte Informationslücken, eine Entscheidungsgrundlage für die Führung und ein priorisierter Massnahmenplan mit Verantwortlichkeiten. Form und Umfang legen wir vorab fest.
Ist der Workshop ein Nachweis für Kunden, Versicherer oder Aufsicht?
Nein. Der Workshop prüft keine Massnahmen und bestätigt weder Sicherheit noch Compliance oder Haftungsfreiheit. Brauchen Sie einen Nachweis, zeigen wir Ihnen, welche Prüfung dafür in Frage kommt.
Worin unterscheidet er sich vom IT-Sicherheits-Workshop?
Der IT-Sicherheits-Workshop bewertet vor allem die IT-Infrastruktur. Der Cyber-Risiko-Workshop richtet sich an Verwaltungsrat und Geschäftsleitung und stellt Geschäftsrisiken und Entscheide in den Mittelpunkt.
Was kostet der Workshop, und wie lange dauert er?
Umfang, Dauer und Kosten hängen von den Teilnehmenden, den Unterlagen und der Zahl der betrachteten Prozesse ab. Wir legen sie nach dem Erstgespräch fest.
Diese Seite ersetzt keine Rechtsberatung im Einzelfall.
Passt der Workshop zu Ihrer Situation?
Im Erstgespräch besprechen wir Ihre Ausgangslage und die Beteiligten. Gemeinsam klären wir, ob der Workshop der richtige nächste Schritt ist.