# Cyber-Risiko-Workshop für Verwaltungsrat und Geschäftsleitung > Cyber-Risiken als Geschäftsrisiken einordnen: Workshop für Verwaltungsrat und Geschäftsleitung, mit Risikoübersicht und Entscheidungsgrundlage. - Quelle: https://www.sidd.swiss/leistungen/cyber-risiko-workshop-verwaltungsrat - Sprache: de-CH - Stand: 2026-10-20 - Herausgeber: SIDD Institut für Datenschutz und Datensicherheit, eine Marke der Priverion GmbH, Zugerstrasse 32, 6340 Baar (ZG), Schweiz Variante des IT-Sicherheits-Workshops · für Führungsgremien Für Verwaltungsräte und Geschäftsleitungen, die Cyber-Risiken beurteilen müssen, aber keine klare Entscheidungsgrundlage erhalten. Der Workshop ordnet Geschäftsrisiken, offene Fragen und die nächsten Entscheide. Für Verwaltungsrat und Geschäftsleitung Geschäftsrisiken statt Technikdetails Grundlage für Ihre nächsten Entscheide Im Erstgespräch klären wir, ob der Workshop zu Ihrer Situation passt. **Ansprechperson für diese Workshop-Variante** **Philipp Staiger** M.Sc. · ISO 27001 Lead Auditor Philipp Staiger verantwortet bei SIDD die Mandate als externer CISO. Dabei berichtet das Team an Geschäftsleitung und Verwaltungsrat. Den bestehenden IT-Sicherheits-Workshop leitet das Team von Dr. Dominic Staiger. [LinkedIn-Profil](https://www.linkedin.com/in/philippstaiger/) ## Sie kennen Ihr Cyber-Budget. Aber welche Risiken bleiben? > **Kurz erklärt** > > Der Cyber-Risiko-Workshop ist eine führungsorientierte Variante des bestehenden [IT-Sicherheits-Workshops](https://www.sidd.swiss/leistungen/it-sicherheits-workshop-kmu). Er richtet sich an Verwaltungsrat und Geschäftsleitung. Im Mittelpunkt stehen Geschäftsprozesse, Informationslücken und die Entscheide, die das Führungsgremium treffen muss. Ein Budget zeigt, wie viel Sie in Sicherheit investieren. Es zeigt nicht, welche Prozesse gefährdet sind, wie lange sie ausfallen dürfen und welche Risiken bleiben. Genau diese Fragen ordnet der Workshop. Der Workshop ist kein Sicherheitsnachweis. Er garantiert weder Compliance noch Haftungsfreiheit. Er schafft eine strukturierte Grundlage, auf der Sie entscheiden können. ## Für wen der Workshop geeignet ist Der Workshop passt, wenn einer oder mehrere dieser Punkte zutreffen: 1. Sie sitzen im Verwaltungsrat oder in der Geschäftsleitung und müssen Cyber-Risiken beurteilen. 2. Ihre Berichte zeigen vor allem Budget und Aktivitäten, aber kaum Geschäftsrisiken. 3. Sie möchten wissen, welche Fragen Sie der Geschäftsleitung oder der IT stellen sollten. 4. Verantwortung und Berichtswege für Cyber-Risiken sind noch nicht klar geregelt. ## Wann der Workshop nicht passt > **Ein anderer Weg ist besser, wenn** > > Sie gerade einen Sicherheitsvorfall bewältigen. Dann hat die operative Bewältigung Vorrang, etwa mit Ihrem IT-Partner und den zuständigen Stellen. > > Sie einen technischen Nachweis brauchen, etwa für einen Kunden. Dafür eignet sich ein [Penetrationstest](https://www.sidd.swiss/leistungen/penetrationstest) oder ein Audit. > > Sie vor allem Ihre IT-Infrastruktur bewerten lassen möchten. Dafür ist der [IT-Sicherheits-Workshop](https://www.sidd.swiss/leistungen/it-sicherheits-workshop-kmu) gedacht. ## Unterschied zum IT-Sicherheits-Workshop Beide Workshops beginnen mit einer Standortbestimmung. Sie richten sich aber an andere Personen und liefern andere Ergebnisse. | Kriterium | Cyber-Risiko-Workshop | IT-Sicherheits-Workshop | | --- | --- | --- | | Zielgruppe | Verwaltungsrat und Geschäftsleitung | IT-Verantwortliche und Geschäftsleitung | | Blickwinkel | Geschäftsprozesse, Informationslücken und Entscheide | IT-Infrastruktur, Risiken und Schwachstellen | | Ergebnis | Entscheidungsgrundlage und Massnahmenplan mit Verantwortlichkeiten | Aktionsplan mit Schutzmassnahmen und Prioritäten | Welche Variante zu Ihnen passt, klären wir im Erstgespräch. ## Typische Anlässe ### Eine VR-Sitzung steht bevor Cyber-Risiken sind traktandiert. Sie möchten mit klaren Fragen und einer gemeinsamen Sicht in die Sitzung gehen. ### Der Sicherheitsbericht ist unklar Der Bericht enthält Ampeln, Kennzahlen und Budgets. Welche Geschäftsrisiken dahinter stehen und was zu entscheiden ist, bleibt offen. ### Kunden stellen Anforderungen Kunden oder Partner fragen nach Ihrer Informationssicherheit. Die Führung möchte wissen, was das für Prioritäten und Zuständigkeiten heisst. ### Zuständigkeiten fehlen Niemand ist klar für Cyber-Risiken verantwortlich, oder die Rollen von Verwaltungsrat, Geschäftsleitung und IT überschneiden sich. ## Worauf der Workshop zielt Der Workshop ist auf vier Ergebnisse ausgerichtet. Form und Tiefe legen wir vorab mit Ihnen fest. - **Übersicht prioritärer Cyber-Geschäftsrisiken:** die Prozesse, deren Ausfall Ihr Unternehmen am stärksten träfe, mit einem konkreten Szenario je Prozess. - **Dokumentierte Informationslücken:** welche Angaben, Belege oder Zuständigkeiten heute fehlen, um diese Risiken zu beurteilen. - **Entscheidungsgrundlage für die Führung:** die Fragen und Optionen, über die Verwaltungsrat und Geschäftsleitung entscheiden sollten. - **Priorisierter Massnahmenplan mit Verantwortlichkeiten:** wer was bis wann klärt oder umsetzt. ## Ablauf Der Workshop hat drei Schritte. Dauer und Termine stimmen wir im Erstgespräch ab. ### Vorbereitung Wir sichten vorhandene Unterlagen, etwa den letzten Sicherheitsbericht. Vorab klären wir die wichtigsten Geschäftsprozesse und Ihre offenen Fragen. ### Gemeinsamer Workshop Verwaltungsrat und Geschäftsleitung besprechen mit uns die Risiken, die Informationslücken und die nötigen Entscheide. ### Ergebnisbesprechung Wir legen die Ergebnisse vor und besprechen den Massnahmenplan und die offenen Punkte mit den Verantwortlichen. ## Was der Workshop nicht ist Der Workshop ordnet Risiken und Entscheide. Eine Prüfung ersetzt er nicht. > **Nicht Teil des Workshops** > > **Kein Penetrationstest:** Ein beauftragter, kontrollierter Angriff, der technische Schwachstellen aufdeckt, ist eine eigene Leistung, der [Penetrationstest](https://www.sidd.swiss/leistungen/penetrationstest). > > **Kein vollständiges Audit:** Der Workshop prüft Massnahmen und Nachweise nicht systematisch anhand eines Standards. > > **Keine Zertifizierung:** Die Konformität, etwa mit ISO 27001, bestätigt nur eine akkreditierte Stelle. > > **Keine operative Krisenintervention:** Bei einem laufenden Vorfall hat die Bewältigung Vorrang. > > **Kein Sicherheitsnachweis und keine Garantie:** Der Workshop bestätigt weder Sicherheit noch Compliance oder Haftungsfreiheit. Der Workshop kann zeigen, wo solche Leistungen sinnvoll wären. Ob und bei wem Sie sie beauftragen, entscheiden Sie. ## Beratung, Steuerung und Prüfung Diese drei Rollen sollten getrennt bleiben. Nur dann bleibt Ihre Entscheidungsgrundlage glaubwürdig. > **Drei Rollen** > > **Beratung:** Der Workshop ordnet Risiken und Entscheide. Massnahmen setzt er nicht um. > > **Laufende Sicherheitssteuerung:** Eine benannte Person führt Massnahmen, Nachweise und Berichte über das Jahr. Das kann intern geschehen oder über ein externes CISO-Mandat. > > **Unabhängige Prüfung:** Eine Stelle, die nicht selbst steuert, prüft, ob die Massnahmen wirken. Übernimmt SIDD die laufende Steuerung, prüft SIDD diese Arbeit nicht zugleich unabhängig. ## Optionale Fortsetzung Nach dem Workshop entscheiden Sie, ob und wie es weitergeht. Eine Fortsetzung ist keine Voraussetzung. - **Laufende Steuerung:** Fehlt intern eine Person, die Massnahmen und Berichte nachführt, kann ein [externer CISO](https://www.sidd.swiss/leistungen/ciso-isb-iso) diese Rolle übernehmen. - **ISO 27001 nur bei tatsächlichem Bedarf:** Verlangen Kunden, Aufsicht oder Ihr Geschäftsmodell ein Zertifikat, begleiten wir den Aufbau eines [ISMS nach ISO 27001](https://www.sidd.swiss/leistungen/isms-iso27001). Ein ISMS ist ein Managementsystem für Informationssicherheit. Für gute Entscheide im Verwaltungsrat ist es keine Voraussetzung. ## Hintergrund: was eine Studie zu Board-Entscheiden zeigt > **Studie** > > Opdenbusch, Hielscher und Sasse haben im ersten Halbjahr 2021 18 Führungspersonen grosser britischer Organisationen befragt ([NDSS 2025](https://dx.doi.org/10.14722/ndss.2025.240595)). Board-Entscheide zu Cyber-Risiken liefen dort meist auf das Budget hinaus. Rückfragen blieben teils aus Unsicherheit aus. Die Studie ist qualitativ, nicht repräsentativ und sagt nichts über Schweizer Unternehmen oder die Wirksamkeit dieses Workshops. Sie beschreibt ein Muster, an dem der Workshop ansetzt. Mehr dazu in unseren Beiträgen [Cyber-Budget ist noch keine Cyber-Aufsicht](https://www.sidd.swiss/einblicke/cyber-budget-cyber-aufsicht-verwaltungsrat/) und [Was ein guter Bericht zeigen muss](https://www.sidd.swiss/einblicke/cyber-risiken-verwaltungsrat-bericht/). ## Häufige Fragen ### Wer sollte teilnehmen? Mitglieder des Verwaltungsrats und der Geschäftsleitung. Je nach Thema ist es sinnvoll, die für Informationssicherheit verantwortliche Person für Rückfragen beizuziehen. Die Zusammensetzung klären wir im Erstgespräch. ### Wie bereiten wir uns vor? Hilfreich sind vorhandene Unterlagen wie der letzte Sicherheitsbericht, eine Übersicht wichtiger Geschäftsprozesse und offene Fragen aus dem Gremium. Was wir konkret benötigen, stimmen wir vorab ab. Technisches Fachwissen ist nicht nötig. ### Was erhalten wir als Ergebnis? Ziel sind eine Übersicht prioritärer Cyber-Geschäftsrisiken, dokumentierte Informationslücken, eine Entscheidungsgrundlage für die Führung und ein priorisierter Massnahmenplan mit Verantwortlichkeiten. Form und Umfang legen wir vorab fest. ### Ist der Workshop ein Nachweis für Kunden, Versicherer oder Aufsicht? Nein. Der Workshop prüft keine Massnahmen und bestätigt weder Sicherheit noch Compliance oder Haftungsfreiheit. Brauchen Sie einen Nachweis, zeigen wir Ihnen, welche Prüfung dafür in Frage kommt. ### Worin unterscheidet er sich vom IT-Sicherheits-Workshop? Der IT-Sicherheits-Workshop bewertet vor allem die IT-Infrastruktur. Der Cyber-Risiko-Workshop richtet sich an Verwaltungsrat und Geschäftsleitung und stellt Geschäftsrisiken und Entscheide in den Mittelpunkt. ### Was kostet der Workshop, und wie lange dauert er? Umfang, Dauer und Kosten hängen von den Teilnehmenden, den Unterlagen und der Zahl der betrachteten Prozesse ab. Wir legen sie nach dem Erstgespräch fest. *Diese Seite ersetzt keine Rechtsberatung im Einzelfall.* Auf dieser Seite - Worum es geht - Für wen geeignet - Wann nicht - Vergleich - Typische Anlässe - Ergebnisse - Ablauf - Abgrenzung - Rollen - Fortsetzung - Hintergrund - FAQ --- Dieses Dokument ist die Markdown-Fassung der oben verlinkten Seite. Zitieren Sie bitte die HTML-URL.