Die Entscheiderfrage
Cybersecurity eskaliert häufig entweder zu früh oder zu spät. Zu früh, wenn technische Details ohne Entscheidungsvorlage im Vorstand landen. Zu spät, wenn grundlegende Zielkonflikte zwischen Verfügbarkeit, Veränderungstempo, Risikoakzeptanz und Budget bereits faktisch entschieden wurden.
Eine Vorstandsentscheidung ist dann erforderlich, wenn mehrere legitime Geschäftsziele miteinander konkurrieren oder wenn das akzeptierte Restrisiko die operative Verantwortung einer einzelnen Funktion übersteigt.
Drei belastbare Filter
Ein managementfähiges Thema beantwortet zuerst die Geschäftswirkung, dann die Handlungsoptionen und erst danach die technische Umsetzung.
- Geschäftswirkung: Welcher Service, welches Ergebnis oder welche Verpflichtung ist betroffen?
- Zielkonflikt: Welche Option verändert Verfügbarkeit, Geschwindigkeit, Kosten oder Haftungsposition?
- Entscheidungsbedarf: Welche Freigabe, Risikoakzeptanz oder Ressourcenbindung kann nur das Management leisten?
Die typische Fehlentscheidung
Ein Ampelbericht suggeriert Eindeutigkeit, ohne die Annahmen sichtbar zu machen. Er führt entweder zu pauschalen Investitionen oder zu einem trügerischen Gefühl von Sicherheit. Besser ist eine knappe Entscheidungsvorlage mit Ausgangslage, Optionen, Abhängigkeiten, Empfehlung und Konsequenz des Nichtentscheidens.
Management-Checkliste
Vor der nächsten Eskalation sollten fünf Fragen beantwortet sein:
- Ist der betroffene Geschäftsservice benannt?
- Sind Optionen und Restrisiken vergleichbar?
- Ist klar, wer die Entscheidung tragen darf?
- Sind Abhängigkeiten und Übergangsrisiken sichtbar?
- Gibt es einen überprüfbaren nächsten Entscheidungspunkt?