Geopolitische Krisen, Cyberangriffe und neue regulatorische Vorgaben erhöhen den Druck auf Unternehmen und Behörden. Resilienz wird damit zunehmend zu einer strategischen Führungsaufgabe. Im MIDRANGE-Interview erklärt Mark Oliver Schuller, Vice-President Consulting Services bei CGI, warum klassische Ansätze heute nicht mehr ausreichen und wie Organisationen ihre Widerstandsfähigkeit nachhaltig stärken können.
Sie sprechen von einer „Neuen Resilienz“. Was unterscheidet diese konkret von klassischen Ansätzen des Risiko- und Krisenmanagements?
Klassische Ansätze zielen darauf ab, Störungen zu vermeiden und nach einem Krisenfall möglichst schnell wieder zum Normalbetrieb zurückzukehren. Die geopolitischen Rahmenbedingungen haben sich aber grundlegend verändert. Organisationen benötigen eine deutlich größere Widerstandsfähigkeit als in der Vergangenheit. Sie können Krisen, Sabotage und Spionage nicht mehr als Ausnahmefall betrachten, sondern müssen sie als dauerhafte Rahmenbedingungen verstehen. Sie müssen dafür sorgen, auch unter anhaltend krisenhaften Bedingungen handlungs- und funktionsfähig zu bleiben: etwa bei Versorgungsengpässen, Supply-Chain-Störungen, großflächigen Ausfällen der Infrastruktur oder sicherheitspolitischen Eskalationen.
Warum haben sich CGI und HEUKING entschieden, ihre Kompetenzen gerade jetzt in einer strategischen Partnerschaft zu bündeln? Welche Lücke im Markt wollen Sie damit schließen?
Der Gesetzgeber möchte die Widerstandsfähigkeit der Gesellschaft und Wirtschaft als Ganzes stärken. Für Unternehmen und Behörden haben sich die regulatorischen Anforderungen dadurch massiv verschärft. Viele von ihnen fallen unter Regelwerke wie die KRITIS-Verordnung oder die europäischen NIS2-Richtlinie, die darauf abzielen, die Resilienz kritischer und besonders wichtiger Einrichtungen systematisch zu erhöhen. Gleichzeitig möchten viele Unternehmen ihre Geschäftsmodelle auf sicherheitsrelevante oder verteidigungsnahe Märkte ausweiten. Dazu müssen sie die Governance-, Sicherheits- und Compliance-Standards erfüllen, die in diesen stark regulierten Umgebungen erforderlich sind.
Die Umsetzung der Vorgaben ist oft komplex. Besonders anspruchsvoll ist dabei die Übersetzung regulatorischer Vorgaben in konkrete Maßnahmen. Der Markt bietet aber bislang nur entweder Rechtsberatung oder Umsetzungsberatung. Diese Lücke schließen wir durch unsere Partnerschaft mit HEUKING. Organisationen erhalten ein integriertes Beratungsangebot aus juristischer Expertise und technologischer Umsetzungskompetenz. Regulatorische Vorgaben werden rechtlich eingeordnet und direkt in konkrete technologische und organisatorische Lösungen überführt – zusammen statt nacheinander.
Viele Unternehmen betrachten Regulierung noch immer primär als Compliance-Thema. Warum sollte Resilienz heute auf Vorstandsebene verankert werden?
Die entscheidenden Maßnahmen für die Stärkung der Resilienz erfordern strategische Entscheidungen: Investitionen, Lieferketten, Standorte, IT-Architekturen und Krisenmanagement. Diese Entscheidungen überschreiten die Verantwortung einzelner Fachbereiche und können nur von der Unternehmensleitung priorisiert und gesteuert werden. Die Kosten für Vorsorge entstehen heute, die Schäden durch mangelnde Vorsorge erst in der Krise. Diese Abwägung kann nur die Unternehmensführung vornehmen. Außerdem hat der Gesetzgeber ein klares Zeichen gesetzt und für viele Verstöße und Versäumnisse eine direkte Haftung der Geschäftsführung vorgesehen.
Welche weiteren Fehler beobachten Sie bei Unternehmen und Behörden, wenn sie ihre Krisenfestigkeit verbessern wollen?
Häufig erstellen Organisationen Notfallpläne, ohne sie regelmäßig zu üben und in der Realität zu testen. Erst in einer Übung oder echten Krise zeigt sich aber, ob Verantwortlichkeiten klar sind und die Kommunikationswege funktionieren. Außerdem wird Resilienz oft reaktiv angegangen. Organisationen investieren erst nach einem Vorfall, anstatt Risiken frühzeitig zu identifizieren und ihnen gezielt vorzubeugen. Oft werden auch Abhängigkeiten unterschätzt. Viele Organisationen wissen nicht genau, welche Lieferanten, IT-Dienstleister oder Schlüsselpersonen für den Geschäftsbetrieb unverzichtbar sind.
Viele mittelständische Unternehmen glauben, dass Themen wie KRITIS oder Cyberresilienz vor allem große Konzerne betreffen. Ist das ein Trugschluss?
Ja, das ist in vielen Fällen ein Trugschluss. Ob eine Organisation von KRITIS betroffen ist, ergibt sich nicht nur aus der formalen Einstufung, sondern aus der tatsächlichen Rolle innerhalb von Lieferketten, Versorgungssystemen oder staatlichen Strukturen. Außerdem spüren auch Unternehmen, die nicht unmittelbar reguliert sind, Druck über Kunden- und Partneranforderungen. Resilienz wird immer mehr zum Wettbewerbsfaktor. Auftraggeber erwarten zunehmend Nachweise über Informationssicherheit, Notfallmanagement und Lieferfähigkeit.
Auch die Annahme, Cyberkriminelle hätten es ausschließlich auf Konzerne abgesehen, ist falsch. Mittelständische Unternehmen verfügen oft über wertvolle Daten und kritisches Know-how, haben aber teilweise geringere Sicherheitsressourcen. Das macht sie zu attraktiven Zielen.
Resilienz wird oft mit zusätzlichem Aufwand und höheren Kosten verbunden. Wie überzeugen Sie Unternehmen davon, dass sich entsprechende Investitionen langfristig auszahlen?
Investitionen in Resilienz sind Investitionen in die Zukunfts- und Wettbewerbsfähigkeit eines Unternehmens. Von der Pandemie über Lieferkettenrisiken bis hin zu Cyberangriffen: Die Erfahrung der vergangenen Jahre zeigt, dass die Kosten mangelnder Resilienz häufig deutlich höher sind als die Investitionen in deren Aufbau. So wurde etwa der Rüstungskonzern Rheinmetall 2023 Opfer eines Cyberangriffs auf seine zivile Sparte. Nach Unternehmensangaben kam es zu Produktionsunterbrechungen an mehreren Standorten und der finanzielle Schaden wurde auf rund 10 Millionen Euro beziffert.
Wenn Unternehmen ihre Widerstands- und Anpassungsfähigkeit stärken, hat das für sie aber noch weitere Vorteile. Ein Engagement im Bereich Resilienz erhöht oft gleichzeitig die Effizienz von Organisationen. Und wer generell schneller anpassungsfähig ist, kann auch flexibler auf Marktveränderungen reagieren und neue Chancen schneller nutzen.
Deutschland diskutiert seit Jahren über Resilienz, Cybersicherheit und kritische Infrastrukturen. Sind wir als Wirtschaftsstandort heute tatsächlich besser vorbereitet als noch vor fünf Jahren – oder reden wir mehr über Resilienz, als wir sie tatsächlich umgesetzt haben?
Ich denke, wir sind heute besser vorbereitet als vor fünf Jahren. Aber nicht in dem Maß, wie die Intensität der Diskussion vermuten lässt. Positiv ist, dass Themen wie Cybersecurity, Lieferkettenresilienz und Krisenmanagement heute deutlich stärker auf der Managementagenda stehen und auch das Thema Souveränität verstärkt in den Fokus rückt. Die Herausforderung liegt jedoch in der Umsetzung. Viele Unternehmen haben Strategien, Richtlinien und Risikoanalysen entwickelt, kämpfen aber weiterhin mit Fachkräftemangel, begrenzten Budgets und komplexen Abhängigkeiten in ihren Lieferketten. Deshalb würde ich sagen: Wir reden nicht nur über Resilienz, sind jedoch noch nicht dort, wo wir angesichts der Bedrohungslage sein sollten. Aber wir sind auf dem Weg und können es schaffen!
Quelle: CGIWeitere Informationen unter: www.cgi.com/de