Interview mit Sandra Emme

swissVR Monitor: Welche Rolle kommt dem Verwaltungsrat im Allgemeinen zu, wenn es darum geht, die Cyber-Resilienz von Unternehmen sicherzustellen?

Sandra Emme: Was mir bei Gesprächen mit Verwaltungsräten oft auffällt: Vielen ist nicht bewusst, dass sie eine wichtige Rolle haben. Da hole ich gerne ein bisschen aus. Die Sicherstellung der Cyber-Resilienz ist keine delegierbare IT-Aufgabe, sondern ein integraler Bestandteil der unentziehbaren Oberleitung des Unternehmens gemäss Art. 716a des Schweizerischen Obligationenrechts.

Der Verwaltungsrat muss Cyber-Risiken, genau wie finanzielle oder operative Risiken, als strategische Geschäftsrisiken behandeln und sie strukturiert in das unternehmensweite Risikomanagement einbinden. Seine Kernaufgabe liegt in der strategischen Steuerung: Er definiert die Risikotoleranz, stellt adäquate finanzielle Mittel bereit und sorgt für eine klare Governance.

Auch muss sich der VR regelmässig über die Bedrohungslage berichten lassen, Sicherheitskennzahlen einfordern und die Wirksamkeit der Notfallpläne überprüfen. Es ist ratsam, diesen Prozess zu dokumentieren, um treuhänderische Verantwortung, Sorgfalt und Kontinuität zu belegen. Wenn es zu einem Vorfall kommt, sind gesetzliche Meldepflichten einzuhalten, die der VR im Rahmen seiner Oberaufsicht überwachen muss.

swissVR Monitor: Gemäss unserer Befragung unter Verwaltungsratsmitgliedern probt nur etwa die Hälfte der VR-Gremien das Krisenmanagement für den Fall eines Cyber-Angriffs. Welche konkreten Risiken ergeben sich für die andere Hälfte der Verwaltungsräte?

Sandra Emme: Vernachlässigt ein VR das Thema Cyber-Resilienz grundlegend, verletzt er seine gesetzliche Sorgfaltspflicht. Kommt es zu einem schweren Cyberangriff mit massiven finanziellen Schäden, droht dem VR persönliche zivilrechtliche Haftung mit dem Privatvermögen sowie strafrechtliche Konsequenzen, falls gesetzliche Meldepflichten missachtet wurden.

Übrigens: Krisenübungen für den VR dienen ausdrücklich nicht dazu, dass das Gremium im Ernstfall operativ eingreift – das wäre kontraproduktiv und würde den Krisenstab der Geschäftsleitung behindern. Vielmehr geht es darum, zu prüfen, ob die Organisation vorbereitet ist und ob die Informationsflüsse zum VR funktionieren. Wer dies nicht probt, riskiert im Ernstfall strategische Fehlentscheide und massive Zeitverluste.

Die konkreten Risiken umfassen erstens die rechtliche Haftung: Der VR haftet nicht für den Angriff selbst, sondern für mangelhafte Vorbereitung oder strategische Fehler während der Krise, wie etwa die Verletzung von Ad-hoc-Publizitätspflichten oder Datenschutzmeldungen. In solchen Fällen können auch Cyber- und Organhaftpflichtversicherungen (D&O) die Deckung verweigern.

Das zweite Risiko besteht in der Handlungsunfähigkeit im Ernstfall: Ohne Übung weiss der VR nicht, welche strategischen Entscheide er unter enormem Zeitdruck treffen muss (z.B. Freigabe von Sondermitteln, Information von Grossaktionären oder Regulatoren). Als drittes Risiko ist das Lösegeld-Dilemma zu nennen: Ohne Vorab-Diskussion weiss der VR im Moment des Angriffs nicht, ob und wie er auf Lösegeldforderungen eingeht, und hält nicht die dafür notwendigen Mittel bereit.

Das vierte Risiko besteht in Reputations- und Finanzschäden: Ein Cybervorfall führt fast immer zu einem Reputationsschaden – auch bei gutem Krisenmanagement. Ist der VR jedoch unvorbereitet und die Kommunikation unkoordiniert, potenziert sich dieser Schaden massiv und kann insbesondere für KMU existenzbedrohend werden.

Mein Rat: Führen Sie Tabletop-Exercises durch und stellen Sie sicher, dass die Geschäftsleitung einen Incident-Response-Retainer abgeschlossen hat – einen Bereitschaftsvertrag mit externen Experten für sofortige Hilfe. Ein solcher Vertrag wird von Cyber-Versicherungen oft positiv gewertet oder gar vorausgesetzt.

swissVR Monitor: Ebenfalls lediglich etwa die Hälfte der Verwaltungsräte erhält von der Geschäftsleitung ein Reporting über Cyber-Vorfälle im Unternehmen. Abgesehen von solchen Vorfällen, über welche Aspekte sollte der Verwaltungsrat ein regelmässiges Cyber-Reporting von der Geschäftsleitung erhalten?

Sandra Emme: Ein Reporting, das zum Beispiel nur vergangene Vorfälle auflistet, verfehlt die strategische Flughöhe des VR. Der Fokus muss auf der Risikosteuerung liegen. Der VR muss zu konkreten und fundierten Investitionsentscheidungen kommen. Am besten durch die Quantifizierung von Cyber-Risiken in Schweizer Franken: Was sind wir bereit zu riskieren?

Ein zukunftsgerichtetes Reporting sollte folgende Dimensionen abdecken: Erstens die Top Cyber-Risiken & Mitigation, sprich die Antwort auf die Fragen: Was sind aktuell die grössten Bedrohungen für das Geschäftsmodell und welche Massnahmen ergreift die Geschäftsleitung zur Risikominderung?

In der zweiten Dimension geht es um den Schutz der «Kronjuwelen»: Wie gut sind unsere geschäftskritischsten Systeme und wertvollsten Daten geschützt? Sicherheitskopien müssen zum Beispiel zwingend vom Hauptnetzwerk getrennt sein – und damit vor externer Verschlüsselung geschützt werden.

Die dritte Dimension betrifft die Reaktionsfähigkeit (Resilienz) beziehungsweise Metriken zur mittleren Erkennungszeit – das heisst: Wie lange dauert es intern, bis man merkt, dass das firmeneigene Netzwerk angegriffen wurde? Wie lange braucht es, bis man darauf reagiert hat? Und: Ein externer Hersteller von Software kommuniziert eine Sicherheitslücke – wie lange dauert es, bis das interne Team die kritische Schwachstelle behoben hat?

Die vierte Dimension adressiert Supply Chain & Drittparteien, sprich die Bewertung der Cyber-Risiken entlang der Lieferkette – oft ein grosses Einfallstor. Als fünfte Dimension sind Mensch- & KI-Risiken zu nennen: Resultate von Schulungen sowie die strategische Bewertung der Sicherheit von genutzten KI-Tools.

Die sechste und letzte Dimension umfasst eine unabhängige Aussensicht beziehungsweise Ergebnisse von unabhängigen Cyber-Audits, Penetrationstests oder Reifegrad-Messungen sowie Security-Scores, um ein objektives Benchmark zu erhalten.

swissVR Monitor: Die grosse Mehrheit der Verwaltungsräte verfügt nicht über Mitglieder mit Cyber-Expertise. In welchen Fällen sollte ein VR-Gremium eine Person mit Cyber- beziehungsweise IT-Expertise rekrutieren?

Sandra Emme: Nicht jeder VR muss ein IT-Experte sein, aber «Tech-Blindheit» im Gesamtgremium birgt enorme strategische Risiken.Eine gezielte Rekrutierung ist insbesondere dann ratsam, wenn, die «Enabling-Lücke» wächst. Der VR benötigt ein Mitglied, das als «Übersetzer» fungiert, um die IT-Aussagen der Geschäftsleitung kritisch zu hinterfragen.

Ein weiterer Grund für eine gezielte Rekrutierung sind tiefgreifende Transformationen: Etwa bei der weltweiten Migration auf neue ERP-Systeme, einer Cloud-First-Strategie oder wenn KI das Kern-Geschäftsmodell disruptiert. Ein VR-Mitglied mit entsprechender Expertise ist ebenfalls unabdingbar, wenn Aufholbedarf im Cyber-Reifegrad besteht. Wenn Cyber-Audits Lücken aufzeigen, dürfen VRs nicht warten, bis das Unternehmen Opfer eines grossen Angriffs wird und Aktionäre personelle Konsequenzen und den Aufbau von Know-How im Gremium einfordern.

Eine gezielte Rekrutierung empfiehlt sich auch im Fall von kotierten Unternehmen, da Investoren und Stimmrechtsberater zunehmend aktiv digitale Kompetenz im VR fordern. Mindestens ein Mitglied sollte ausgewiesene Technologie- und Cyber-Erfahrung mitbringen.

Bei mittelgrossen Unternehmen ist ein Vollzeit-IT-Experte im VR oft schwerer zu finden oder bindet einen von wenigen VR-Sitzen zu spezifisch. Es empfiehlt sich, einen externen Beirat zu bilden oder einen externen CISO als Gastreferenten einzuladen, um die Cyber-Reportings unabhängig zu spiegeln.

swissVR Monitor: In welchen Fällen ist es sinnvoll, dass ein Verwaltungsrat einen Cyber- beziehungsweise Informatikausschuss bildet?

Sandra Emme: Grundsätzlich entwickelt sich ein solcher Ausschuss zunehmend zur branchenübergreifen- den Best Practice. Zwingend wird die Bildung eines dedizierten IT- oder Cyber-Ausschusses jedoch dann, wenn die Komplexität der IT-Landschaft so hoch ist, dass der Gesamt-VR oder das klassische Audit-Committee nicht die nötige Zeit für ein tiefgehendes Verständnis aufbringen kann. Dies gilt insbesondere im Fall einer OT/IT-Konvergenz. Wenn in produzierenden Unternehmen Produktionsanlagen (Operational Technology) und klassische IT verschmelzen, entstehen hochkomplexe, neue Angriffsvektoren in der Fabrikautomation.

Andere Gründe für einen solchen Ausschuss bestehen, wenn das Unternehmen massive IT-Schulden abbauen muss, stark in KI investiert oder komplexe IT-Integrationen nach Zukäufen bewältigen muss.

Auch für Deep Dives bietet sich ein dedizierter IT- oder Cyber-Ausschuss an: für die Vertiefung von Themen, die besondere strategische Relevanz für ein Unternehmen haben, z.B. SOC-Strategien (Security Operations Center), Schutz der Lieferkette, Cybersecurity- oder KI/IoT-Entwicklungen im Rahmen der Innovationsstrategie.

Noch ein Grund für einen solchen Ausschuss kann regulatorischer Druck sein. Für kotierte oder stark regulierte Unternehmen ist ein «Technology & Cyber Committee» essenziell, um Architekturfragen, grosse IT-Budgets und Security-Audits im «Deep Dive» zu prüfen und dem Gesamt-VR fundierte Empfehlungen abzugeben.