Balanced Scorecard für Cyber Resilience: Von Cyber Security zu Cyber Resilience

Cybersecurity-Reports enthalten häufig eine grosse Menge an Kennzahlen: Anzahl erkannter Angriffe, Schwachstellen, Phishing-Klickraten, offene Findings oder Security Incidents. Für Security-Verantwortliche sind solche Informationen wichtig. Für Verwaltungsrat und Geschäftsleitung beantworten sie jedoch oft nicht die entscheidende Frage:

Wie gut ist unser Unternehmen darauf vorbereitet, einen schweren Cyberangriff zu überstehen und die kritischen Geschäftsprozesse weiterzuführen?

Genau an diesem Punkt kann die Balanced Scorecard helfen. Das ursprünglich von Robert S. Kaplan und David P. Norton entwickelte Managementmodell lässt sich auf Cyber Resilience übertragen und schafft damit eine Verbindung zwischen technischen Security-Massnahmen, Geschäftsrisiken und strategischen Unternehmenszielen.

Was ist die Balanced Scorecard für Cyber Resilience?

Kaplan und Norton entwickelten die Balanced Scorecard Anfang der 1990er-Jahre als Gegenentwurf zu einer Unternehmenssteuerung, die fast ausschliesslich auf finanziellen Kennzahlen beruhte. Ihr Ansatz verbindet unterschiedliche Perspektiven eines Unternehmens und ermöglicht es dadurch, Strategie mit konkreten Zielen und Messgrössen zu verknüpfen (Kaplan & Norton, 1992).

Die ursprüngliche Balanced Scorecard betrachtet vier Perspektiven:

1. Financial Perspective

2. Customer Perspective

3. Internal Business Process Perspective

4. Learning and Growth Perspective

   
   

Für Cybersecurity ist insbesondere der zugrunde liegende Gedanke interessant: Nicht eine einzelne Kennzahl beschreibt den Zustand eines Unternehmens. Erst das Zusammenspiel verschiedener Perspektiven ergibt ein aussagekräftiges Gesamtbild.

Dasselbe gilt für Cyber Resilience.

NIST definiert Cyber Resilience als die Fähigkeit, nachteilige Bedingungen, Belastungen, Angriffe oder Kompromittierungen zu antizipieren, ihnen standzuhalten, sich davon zu erholen und sich daran anzupassen (Ross et al., 2021).

Cyber Resilience geht damit deutlich über klassische Prävention hinaus. Die Frage lautet nicht mehr nur:

„Können wir einen Angriff verhindern?“

Sondern:

„Was passiert mit unserem Unternehmen, wenn unsere Schutzmassnahmen versagen?“

Eine Balanced Scorecard for Cyber Resilience kann beispielsweise aus vier Perspektiven aufgebaut werden:

Perspektive	Zentrale Fragestellung	Beispiele für Kennzahlen
Business & Risk	Wie stark bedrohen Cyberrisiken unsere Geschäftsziele?	Cyber Risk Exposure, kritische Geschäftsservices oberhalb Risk Appetite, potenzieller finanzieller Schaden
Resilience & Operations	Können kritische Leistungen trotz Cyberangriff weitergeführt oder schnell wiederhergestellt werden?	Recovery Time, Wiederanlauf kritischer Services, Ergebnisse von Cyber-Recovery-Tests
Security Capabilities	Sind unsere wesentlichen Schutz-, Erkennungs- und Reaktionsfähigkeiten wirksam?	Detection Time, Containment Time, kritische Schwachstellen, Coverage kritischer Assets
People & Improvement	Können Organisation und Mitarbeitende angemessen reagieren und lernen wir aus Ereignissen?	Awareness, Übungen, Lessons Learned, Umsetzung von Verbesserungsmassnahmen

Damit entsteht nicht einfach ein weiteres Security-Dashboard. Die Scorecard verbindet operative Cybersecurity mit der strategischen Steuerung des Unternehmens.

Dies entspricht auch der Weiterentwicklung der Balanced Scorecard durch Kaplan und Norton: Sie verstanden das Modell zunehmend nicht nur als Messsystem, sondern als Instrument zur Umsetzung und Steuerung von Strategie (Kaplan & Norton, 2007).

Was Board Members wirklich wissen wollen

Ein Verwaltungsrat muss normalerweise nicht wissen, wie viele Millionen Events das SIEM verarbeitet oder wie viele Firewall-Regeln geändert wurden.

Board Members müssen beurteilen können, ob das Cyberrisiko für das Unternehmen akzeptabel ist und ob die Organisation angemessen vorbereitet ist.

Das World Economic Forum betont deshalb, dass Cybersecurity als strategisches Geschäftsrisiko verstanden und Cyber Risk Management mit den geschäftlichen Anforderungen und Zielen des Unternehmens verbunden werden sollte (World Economic Forum, 2021).

Aus meiner Sicht lassen sich die wesentlichen Fragen eines Boards auf wenige Punkte reduzieren.

1. Wie gross ist unser Cyberrisiko?

Die erste Frage betrifft nicht die technische Bedrohung, sondern deren Konsequenzen.

Ein Board möchte beispielsweise wissen:

• Welche unserer kritischen Geschäftsprozesse sind besonders gefährdet?

• Welche Cyber-Szenarien könnten einen erheblichen finanziellen oder regulatorischen Schaden verursachen?

• Befinden sich diese Risiken innerhalb unserer definierten Risk Appetite?

• Wie verändert sich unsere Risikosituation?

  
  

Eine Aussage wie

„Wir haben aktuell 2'147 offene Vulnerabilities.“

hilft einem Verwaltungsrat nur begrenzt.

Strategisch relevanter wäre:

„Drei unserer zwölf kritischen Business Services weisen aktuell ein Cyberrisiko oberhalb der definierten Risk Appetite auf.“

Die technische Information wird dadurch in einen Geschäftskontext übersetzt.

2. Können wir unser Geschäft trotz eines erfolgreichen Angriffs weiterführen?

Kein seriöses Cybersecurity-Modell sollte davon ausgehen, jeden Angriff verhindern zu können. Deshalb wird Resilience immer wichtiger.

NIST beschreibt Cyber Resilience ausdrücklich als Fähigkeit, Angriffe und andere Störungen nicht nur zu verhindern, sondern sie zu anticipate, withstand, recover und adapt (Ross et al., 2021).

Für ein Board entstehen daraus sehr konkrete Fragen:

Wie lange könnten wir ohne unsere wichtigsten Systeme arbeiten?

Wann könnten wir unsere kritischen Dienstleistungen wieder anbieten?

Können wir unsere Systeme nach einem Ransomware-Angriff tatsächlich wiederherstellen?

Wann wurde das zuletzt unter realistischen Bedingungen getestet?

Ein Backup allein ist deshalb noch keine Resilience.

Entscheidend ist, ob sich ein kritischer Geschäftsprozess innerhalb einer für das Unternehmen akzeptablen Zeit tatsächlich wiederherstellen lässt.

3. Werden wir besser oder schlechter?

Eine einzelne Momentaufnahme reicht für Governance nicht aus.

Das Board sollte die Entwicklung erkennen können.

Beispielsweise:

Cyber Resilience Score

Q1: 62Q2: 67Q3: 71Q4: 76

Noch wichtiger als der absolute Wert ist die Erklärung der Entwicklung:

Warum verbessert sich unsere Resilience?

Vielleicht wurden kritische Abhängigkeiten reduziert, Wiederherstellungstests durchgeführt, privilegierte Zugänge besser geschützt oder Incident-Response-Prozesse automatisiert.

Umgekehrt kann die Scorecard sichtbar machen, wenn sich das Risiko trotz hoher Security-Investitionen verschlechtert.

4. Wo müssen wir investieren?

Cybersecurity konkurriert wie jede andere Unternehmensfunktion um begrenzte Ressourcen.

Das Board muss deshalb Entscheidungen treffen können.

Soll beispielsweise investiert werden in:

• zusätzliche Detection-Fähigkeiten

• Identity Security

• Recovery-Infrastruktur

• Segmentierung

• Mitarbeitende

• Incident Response

• Third-Party Risk Management

Eine gute Cyber Resilience Scorecard zeigt deshalb nicht nur Probleme.

Sie macht sichtbar, welche Investitionen das Geschäftsrisiko tatsächlich reduzieren.

Genau hier wird aus einem Security Reporting ein strategisches Steuerungsinstrument.

Ein mögliches Board Dashboard

In der Praxis könnte die oberste Ebene einer Cyber Resilience Balanced Scorecard beispielsweise nur aus acht Kennzahlen bestehen:

Bereich	Board KPI	Ziel
Business Risk	Kritische Services oberhalb Risk Appetite	0
Business Risk	Erwarteter Verlust aus Top-Cyber-Szenarien	↓
Resilience	Kritische Services mit erfolgreich getestetem Recovery	> 95 %
Resilience	Einhaltung definierter Recovery-Zeiten	> 95 %
Detection & Response	Mean Time to Contain kritischer Incidents	↓
Security Capabilities	Kritische Assets mit definiertem Security Baseline	> 98 %
People	Erfolgsquote Cyber-Crisis-Übungen	↑
Improvement	Überfällige kritische Massnahmen	0

Darunter können Security Management und Fachspezialisten weiterhin wesentlich detailliertere KPIs verwenden. Das Board erhält jedoch eine andere Sicht:

Nicht die operative Cybersecurity-Aktivität steht im Mittelpunkt, sondern die Fähigkeit des Unternehmens, Cyberrisiken zu beherrschen und kritische Geschäftsleistungen auch unter schwierigen Bedingungen aufrechtzuerhalten.

Fazit

Cybersecurity Reporting sollte nicht versuchen, dem Board die Arbeit eines Security Operations Centers zu erklären. Es sollte dem Board ermöglichen, Entscheidungen zu treffen.

Eine Balanced Scorecard for Cyber Resilience bietet hierfür einen interessanten Ansatz. Sie verbindet das strategische Managementkonzept von Kaplan und Norton mit einem modernen Verständnis von Cyber Resilience. Damit verschiebt sich die Diskussion von:

„Wie viele Angriffe haben wir verhindert?“

zu:

„Wie gross ist unser Cyberrisiko, wie widerstandsfähig ist unser Unternehmen und investieren wir an den richtigen Stellen?“

Genau diese Diskussion sollte zwischen CISO, Geschäftsleitung und Verwaltungsrat stattfinden.

Denn letztlich ist Cyber Resilience kein rein technisches Ziel.

Cyber Resilience ist die Fähigkeit eines Unternehmens, seine Geschäftsziele auch dann weiterzuverfolgen, wenn Cybersecurity versagt.

Literatur

Kaplan, R. S., & Norton, D. P. (1992). The balanced scorecard—Measures that drive performance. Harvard Business Review, 70(1), 71–79.

Kaplan, R. S., & Norton, D. P. (2007). Using the balanced scorecard as a strategic management system. Harvard Business Review, 85(7/8).

National Institute of Standards and Technology. (2024). The NIST Cybersecurity Framework (CSF) 2.0. U.S. Department of Commerce.

Ross, R., Pillitteri, V., Graubart, R., Bodeau, D., & McQuaid, R. (2021). Developing cyber-resilient systems: A systems security engineering approach (NIST Special Publication 800-160, Vol. 2, Rev. 1). National Institute of Standards and Technology.

World Economic Forum. (2021). Principles for board governance of cyber risk. World Economic Forum.