Resilienz zeigt sich, wenn der Plan nicht mehr ausreicht.
Ein Cybervorfall ist selten ein klar abgegrenztes technisches Problem.
Der Betrieb will Systeme wiederherstellen. Die Rechtsabteilung will Beweise sichern. Die Kommunikation braucht belastbare Aussagen. Die Geschäftsleitung will wissen, was das Unternehmen noch leisten kann.
Ich unterstütze Organisationen dabei, zu verstehen, was weiter funktionieren muss, wer die kritischen Entscheidungen verantwortet und wie sie auch unter veränderten Bedingungen handlungsfähig bleiben.
15 Fragen · ca. 10 Minuten · kostenlos · persönlich von André ausgewertet
Die erste schwierige Frage ist selten technischer Natur.
Ein kritisches System ist nicht verfügbar. Security untersucht die Ursache. Die ersten technischen Fakten liegen vor.
Dann beginnen die geschäftlichen Fragen:
- Welche Geschäftsprozesse sind betroffen?
- Wie lange können sie ausfallen?
- Welcher Dienstleister oder Lieferant ist beteiligt?
- Wer darf entscheiden, ob ein System wieder in Betrieb genommen wird?
- Wer kommuniziert mit Kunden, Aufsichtsbehörden oder dem Board?
Ein Incident-Response-Plan kann den Ablauf beschreiben.
Resilienz zeigt sich jedoch daran, ob die Organisation diese Entscheidungen auch dann treffen kann, wenn die Informationen unvollständig sind und die Zeit drängt.
Cyber Resilience beginnt beim Unternehmen.
Was muss weiterlaufen? Welche Geschäftsprozesse sind besonders kritisch? Welche Kunden und Abläufe können nicht warten, und welche Abhängigkeiten sind dafür kritisch? Wie viel Störung kann das Unternehmen tolerieren? Und wer darf entscheiden, wenn Abwägungen unvermeidbar werden?
Technologie ist wichtig. Kontrollen sind wichtig. Incident-Response-Pläne sind wichtig. Ihr Wert zeigt sich letztlich darin, ob sie dem Unternehmen helfen, Störungen frühzeitig zu erkennen, sinnvoll zu reagieren und sich zu erholen, ohne die Kontrolle über wichtige Entscheidungen zu verlieren.
Vom Resilienzplan zur Handlungsfähigkeit in der Praxis.
Cyber Resilience Strategy & Governance
Resilienzprioritäten mit den geschäftlichen Anforderungen verbinden, Verantwortlichkeiten klären und dafür sorgen, dass kritische Risiken bei denjenigen sichtbar bleiben, die entscheiden und handeln können.
Krisenbereitschaft der Geschäftsleitung
Führungskräfte darauf vorbereiten, Entscheidungen zu treffen, wenn Informationen unvollständig sind, Prioritäten miteinander konkurrieren und Zeit eine Rolle spielt.
Executive Tabletop Exercises
Mehr testen als den Incident-Response-Plan. Eskalationswege, Entscheidungsrechte, Annahmen, Abhängigkeiten und die Zusammenarbeit der Geschäftsleitung unter Druck werden praktisch erprobt.
Cyber Resilience Assessment & Prioritäten
Beobachtungen und Feststellungen in ein klares Bild überführen: In welchen Bereichen ist die Organisation gut vorbereitet, wo bestehen relevante Lücken und was verdient zuerst Aufmerksamkeit?
Typische Mandate
- Cyber Resilience Review: Vertiefte Einschätzung kritischer Geschäftsprozesse, Abhängigkeiten, Entscheidungsrechte und bestehender Resilienzmaßnahmen.
- Executive Cyber Crisis Tabletop: Moderierte Krisensimulation mit Auswertung der Entscheidungswege, Annahmen und Verbesserungsmaßnahmen.
- Cyber Resilience Strategy & Roadmap: Priorisierte Resilienzstrategie mit Verantwortlichkeiten, Governance und einer realistisch umsetzbaren Roadmap.
BAFA-Förderung für KMU: Förderberechtigte Unternehmen können einen Zuschuss zu einer individuellen Unternehmensberatung erhalten. Workshops und Krisensimulationen sind davon ausgenommen.
Im Plan steht: „An die Geschäftsleitung eskalieren.“ Dann sitzt die Geschäftsleitung im Raum.
Alle im Raum haben ein berechtigtes Ziel.
Schnell wiederherstellen oder Beweise sichern? Kunden informieren oder auf gesicherte Fakten warten? Den Betrieb aufrechterhalten oder weitere Systeme isolieren?
Der Plan hat die richtigen Personen an einen Tisch gebracht.
Er sagt aber nicht, wer dort tatsächlich entscheidet.
Eine gute Tabletop-Übung macht sichtbar, wo Entscheidungsverantwortung unklar wird, welche Informationen wirklich benötigt werden, was warten kann, welche Annahmen nicht tragen und was sich ändern muss, bevor ein echter Vorfall die Organisation testet.
Mit dem beginnen, was zählt. Dann prüfen, ob es trägt.
Ich beginne nicht mit einem generischen Reifegradmodell, um es anschließend auf das Unternehmen zu übertragen.
Zuerst klären wir den operativen Kontext:
Was muss weiter funktionieren?
Welche Abhängigkeiten sind entscheidend?
Wie viel Störung kann die Geschäftsleitung tolerieren?
Wo liegt die Verantwortung?
Dann hinterfrage ich die Annahmen hinter diesen Entscheidungen und konzentriere mich auf die Bereiche, in denen sich am meisten bewirken lässt.
Das Ziel ist kein umfangreicherer Resilienzplan, sondern ein Unternehmen, das sich nicht so leicht überraschen lässt.
Three Highly Actionable Steps to Strengthen Your Leadership Team’s Cyber Crisis Readiness
Auf ISACA lesen →Vorbereitet zu sein heißt nicht, genau zu wissen, was passieren wird. Es heißt, genug zu wissen, um auch bei Unsicherheit handeln zu können.
Eine resiliente Organisation weiß, was sie zuerst schützen und wiederherstellen muss. Entscheidungsverantwortung ist geklärt. Wichtige Abhängigkeiten sind sichtbar. Technische Reaktion und geschäftliches Handeln greifen ineinander. Pläne wurden getestet. Und die erste Stunde einer Krise wird nicht damit verbracht herauszufinden, wer überhaupt entscheiden darf.
Resilienz auf Führungsebene erfordert mehr als technische Expertise.
Ich bringe mehr als 20 Jahre Erfahrung in Technologie, Security und Führung mit. Mehr als zehn Jahre lang unterstützte ich den operativen Betrieb der Defense Commissary Agency (DeCA), einer Einrichtung des U.S. Department of Defense.
Ich bin CISM, ISACA-Autor und zweifacher Cyber Leadership Institute Capstone Winner und habe sowohl das Capstone Project des Cyber Leadership Program als auch das des Cyber Strategy & Transformation Program gewonnen.
Phil Zongo, CEO & Co-Founder des Cyber Leadership Institute, hat insbesondere meine Fähigkeit hervorgehoben, Cybersecurity mit Geschäftsstrategie zu verbinden und Lösungen auf Executive-Ebene klar und überzeugend zu vermitteln.
Mehr über André →Wie handlungsfähig bleibt Ihre Organisation, wenn der Plan auf die Realität trifft?
Starten Sie mit dem kostenlosen Cyber Resilience Assessment, gemeinsam bereitgestellt von [it+]sm und André Porsch Consulting.
15 Fragen lassen sich in etwa 10 Minuten beantworten.
Danach übernehme ich persönlich.
Innerhalb von 24–48 Stunden erhalten Sie eine individuelle schriftliche Auswertung.
Darin zeige ich auf, in welchen Bereichen die Organisation aus meiner Sicht gut vorbereitet ist, wo relevante Lücken bestehen und was als Nächstes Aufmerksamkeit verdient.
Cyber Resilience bewerten →Der Link führt zur gemeinsamen Assessment-Seite von [it+]sm und André Porsch Consulting.
Das Cyber Resilience Assessment enthält Elemente der von Phil Zongo entwickelten Five Anchors of Cyber Resilience und wird mit seiner Genehmigung eingesetzt.
Sie brauchen keinen weiteren Plan, den niemand getestet hat.
Wenn Sie wissen möchten, ob Ihre Organisation auch dann noch gute Entscheidungen treffen kann, wenn ein Cybervorfall nicht mehr theoretisch ist, können wir genau dort beginnen.