Resilienz braucht Handlungsfähigkeit

Resilienz bedeutet nicht, jeden Ausfall zu verhindern. Entscheidend ist, welche Geschäftsfähigkeiten unter Störung erhalten bleiben müssen und welche Handlungsoptionen Organisationen dafür vorbereiten, finanzieren und realistisch erproben.

Viele Unternehmen verfügen über Backups, Notfallhandbücher und technische Schutzmaßnahmen. Trotzdem bleibt eine entscheidende Frage häufig unbeantwortet: Was muss unter einer schweren Störung noch funktionieren, damit ihre Auswirkungen für die Organisation und ihre Stakeholder tragbar bleiben?

Resilienz bedeutet nicht, jeden Ausfall zu verhindern. Sie bedeutet, kritische Geschäftsfähigkeiten auch unter Belastung erhalten zu können – möglicherweise eingeschränkt, durch alternative Abläufe oder durch eine neue Kombination vorhandener Ressourcen. Mit Geschäftsfähigkeit ist dabei nicht ein einzelnes System oder ein isolierter Prozess gemeint, sondern die Fähigkeit der Organisation, eine für ihre Stakeholder relevante Leistung tatsächlich zu erbringen.

Der Beitrag verbindet Perspektiven aus der Cybersecurity, der digitalen operativen Resilienz und der All-Hazards-Resilienz kritischer Einrichtungen. Ihre regulatorischen Anwendungsbereiche unterscheiden sich – die Führungsfrage ist jedoch dieselbe: Welche wesentlichen Leistungen müssen auch bei Störung erbracht werden können?

Eine vollständig ausfallsichere Organisation ist weder realistisch noch wirtschaftlich sinnvoll. Entscheidend ist, welche Geschäftsfähigkeiten erhalten bleiben müssen, welches Mindestleistungsniveau vorübergehend ausreicht und wie lange eine Unterbrechung tragbar ist. Neben finanziellen Folgen können auch Verpflichtungen gegenüber Kunden, Mitarbeitenden, Partnern, Behörden oder der Gesellschaft bestimmen, wo diese Grenze liegt.

Die Durchführungsverordnung (EU) 2024/2690 greift diesen Gedanken für die von ihr ausdrücklich erfassten NIS2-Einrichtungen auf. Ihr Anhang verlangt eine Business Impact Analysis; Erwägungsgrund 13 nennt für eine umfassende Betrachtung unter anderem die maximal tolerierbaren Ausfallzeiten sowie Zielvorgaben für Wiederherstellungszeit, Wiederherstellungspunkt und Leistungserbringung. 

Resilienz bedeutet nicht, alles am Laufen zu halten. Sie bedeutet, das Richtige ausreichend lange am Laufen zu halten.

Wer Resilienz verbessern will, denkt schnell an Ersatzsysteme, Backups oder zusätzliche Dienstleister. Doch bevor eine Alternative geplant werden kann, muss klar sein, wovon die kritische Geschäftsfähigkeit tatsächlich abhängt: von Menschen, Prozessen, Informationen, Berechtigungen, Technologie, Dienstleistern und Lieferketten.

Die entscheidende Frage lautet deshalb nicht nur: „Welche Systeme und Dienstleister setzen wir ein?“, sondern: „Welche Geschäftsfähigkeit verlieren wir, wenn einer dieser Bausteine ausfällt?“

DORA macht dieses Prinzip für den Finanzsektor regulatorisch verbindlich. Finanzunternehmen müssen für kritische oder wichtige Funktionen unter anderem Drittparteien- und Konzentrationsrisiken sowie die Substituierbarkeit von ICT-Dienstleistern bewerten; für entsprechende Dienstleistungen sind Exit-Strategien vorzusehen. 

Aus dieser Perspektive lassen sich drei Architekturprinzipien ableiten: Ownership, beherrschbare Komplexität und Kompensationsfähigkeit.

Krisen liefern selten vollständige Informationen und eindeutige Handlungsoptionen. Deshalb muss vor einer Störung geklärt sein, wer einen kritischen Dienst abschalten, einen Notbetrieb aktivieren, konkurrierende Geschäftsfähigkeiten priorisieren oder Risiken vorübergehend akzeptieren darf.

NIS2 verpflichtet die Mitgliedstaaten sicherzustellen, dass die Leitungsorgane der erfassten Einrichtungen Cyber-Risikomanagementmaßnahmen genehmigen und deren Umsetzung überwachen. Für die von ihr erfassten Einrichtungen verlangt die Durchführungsverordnung (EU) 2024/2690 zusätzlich klar definierte Rollen, Verantwortlichkeiten und Befugnisse. 

Ownership bedeutet Verantwortung mit tatsächlichem Entscheidungsmandat. Resilienz verlangt nicht, in jeder Situation die perfekte Entscheidung zu treffen. Sie verlangt, dass die richtige Person rechtzeitig entscheiden kann.

Komplexität lässt sich in modernen Organisationen nicht vermeiden. Entscheidend ist, ob sie auch unter Belastung beherrschbar bleibt. Im Normalbetrieb verdecken Erfahrungswissen, informelle Abstimmungen und manuelle Umwege strukturelle Schwächen. In einer schweren Störung zeigt sich, ob Abhängigkeiten verstanden werden, Verantwortlichkeiten klar sind und alternative Abläufe tatsächlich umsetzbar sind.

Eine Architektur, die nur unter Normalbedingungen beherrschbar ist, ist nicht resilient.

Beherrschbarkeit schafft die Voraussetzung dafür, vorhandene Fähigkeiten im Krisenfall gezielt anders einzusetzen.
 

Ein nahezu identischer 1:1-Ersatz für jedes ausgefallene System, jeden Dienstleister oder jede Ressource ist häufig teuer oder unrealistisch. Entscheidend ist, die kritische Geschäftsfähigkeit auf dem erforderlichen Mindestniveau aufrechtzuerhalten.

Für die Architekturbetrachtung lassen sich drei Grundmuster unterscheiden:

1. Substitution: Ein alternativer Baustein übernimmt die notwendige Funktion direkt.
2. Rekonfiguration: Verbleibende Fähigkeiten werden neu kombiniert. Fällt beispielsweise eine Zahlungsplattform aus, können ein alternativer Bankzugang, vorbereitete Zahlungslisten, manuelle Prüfungen und ein anderes Freigabeverfahren gemeinsam den kritischen Teil des Prozesses erhalten.
3. Kontrollierte Degradation: Das Leistungsniveau wird bewusst reduziert. So könnten zunächst nur Gehaltszahlungen und zeitkritische Lieferantenrechnungen verarbeitet werden, während weniger dringende Zahlungen warten.

Ein Notbetrieb ist keine kontrollfreie Zone. Vereinfachungen müssen innerhalb vorab definierter rechtlicher, sicherheitsbezogener und ethischer Grenzen bleiben.

Die CER-Richtlinie verlangt für kritische Einrichtungen unter anderem Maßnahmen zur Aufrechterhaltung des Betriebs, alternative Lieferketten sowie Übungen. Die 2026 veröffentlichten (nicht verbindlichen) Leitlinien der Europäischen Kommission nennen ergänzend mögliche Maßnahmen wie die Priorisierung kritischer Funktionen sowie das Teilen von Ressourcen, Ausrüstung oder Personal.

Ein Notfallplan beschreibt zunächst nur eine Annahme darüber, wie Menschen, Prozesse und Technologien unter Belastung funktionieren werden. Ob diese Annahme trägt, zeigt sich erst in der Erprobung.

Die ENISA-Studie *NIS Investments 2025* basiert auf Angaben von 1.080 Fachpersonen, die Organisationen aus der EU und aus hochkritischen NIS-Sektoren repräsentierten. 30 Prozent der erfassten Organisationen hatten in den vorangegangenen zwölf Monaten kein Cybersecurity-Assessment durchgeführt; 49 Prozent nannten Business Continuity als zentrale Herausforderung. 

Beim Cyberresilienz-Stresstest der EZB 2024 wurden 109 Banken mit einem schweren, aber plausiblen Cybervorfall konfrontiert; 28 Institute durchliefen eine vertiefte Prüfung inklusive eines IT-Recovery-Tests. Die EZB bestätigte die bestehenden Response- und Recovery-Strukturen, identifizierte zugleich jedoch Verbesserungsbedarf.

Ein vorhandener Plan ist Dokumentation. Ein erprobter Plan ist eine Fähigkeit.

Die ENISA *Cybersecurity Exercise Methodology* unterscheidet zwischen *Lessons Identified* und *Lessons Learned*: Erkenntnisse werden erst zu tatsächlich gelernten Lektionen, wenn ihre Umsetzung zu einer Veränderung führt. Die Methodik verbindet Evaluation deshalb mit Maßnahmenplanung, Nachverfolgung und erneuter Erprobung. 

In einer Rede vom 3. Juni 2026 berichtete die EZB, dass inzwischen fast drei Viertel der Findings ihres Cyberresilienz-Stresstests adressiert worden seien. Entscheidend ist dabei eine weiterführende Frage: Wo besitzen wir dieselbe strukturelle Schwäche, obwohl dort bisher noch nichts passiert ist? So wird aus reaktiver Fehlerbehebung systemische Prävention.
 

Resilienz braucht Zeit, Personal und Budget. Die Höhe des Budgets allein sagt jedoch wenig darüber aus, wie resilient eine Organisation ist. Entscheidend ist, welche kritische Geschäftsfähigkeit eine Investition schützt oder bei einem Ausfall aufrechtzuerhalten hilft.

Nicht jede Geschäftsfähigkeit benötigt dieselbe Absicherung. Für eine kann ein redundanter Betrieb angemessen sein, bei einer anderen genügt eine vorbereitete Rekonfiguration oder ein kontrollierter Minimalbetrieb.

Resilienzinvestitionen finanzieren deshalb nicht abstrakt „mehr Sicherheit“. Sie schaffen konkrete Handlungsoptionen für Situationen, in denen der Normalbetrieb nicht mehr zur Verfügung steht.

Drei Architekturprinzipien fassen den Kern zusammen:

• Ownership schafft Entscheidungsfähigkeit
• Beherrschbare Komplexität erhält Steuerungsfähigkeit
• Kompensationsfähigkeit schafft Handlungsoptionen.

Für die Praxis bleiben fünf Fragen:

1. Welche wenigen Geschäftsfähigkeiten müssen bei einer schweren Störung weiterhin funktionieren?
2. Welches Mindestleistungsniveau muss dabei für welchen Zeitraum aufrechterhalten werden?
3. Wer darf unter Unsicherheit die notwendigen Entscheidungen treffen?
4. Wie können ausgefallene Bausteine durch Substitution, Rekonfiguration oder kontrollierte Degradation kompensiert werden?
5. Wann wurden diese Annahmen zuletzt gemeinsam mit Fachbereichen, Dienstleistern und Partnern realistisch erprobt?

Wer diese Fragen nicht klar beantworten kann, muss zunächst Transparenz über die eigene operative Realität schaffen.

Resilienz zeigt sich nicht darin, was eine Organisation geplant hat, sondern darin, was unter Belastung wirklich funktioniert.