Warum IKT-Risiken Geschäftsrisiken sind

Veröffentlicht: 24.07.2026

Themen:

IKT-Risiken | Operational Resilience | DORA | Governance | Geschäftsrisiken | Gesamtbanksteuerung

Executive Summary

IKT-Risiken werden in vielen Organisationen noch immer primär als technische Risiken betrachtet. Die Erfahrungen des ersten DORA-Berichtsjahres zeigen jedoch ein anderes Bild: Schwerwiegende IKT-Vorfälle wirken sich zunehmend unmittelbar auf Geschäftsprozesse, Kunden, Erträge und Managemententscheidungen aus.

Operative Resilienz ist damit längst keine reine IT-Aufgabe mehr, sondern Bestandteil einer wirksamen Unternehmenssteuerung. 

Warum sich die Perspektive verändert

Über viele Jahre wurden Cyber- und IKT-Risiken überwiegend als Problem der Informationssicherheit verstanden.

Diese Sichtweise greift heute zu kurz.

Cloud-Plattformen, Softwareanbieter, KI-Systeme, APIs und digitale Lieferketten verbinden Organisationen heute wesentlich enger als jemals zuvor. Störungen bleiben deshalb nicht mehr auf einzelne technische Systeme begrenzt. Sie wirken sich unmittelbar auf kritische Geschäftsprozesse, Kundenservices, wirtschaftliche Ergebnisse und strategische Entscheidungen aus.

IKT-Risiken entwickeln sich damit zunehmend zu Geschäftsrisiken.

Was DORA sichtbar macht

Nach dem ersten europaweiten DORA-Berichtsjahr stehen erstmals belastbare Daten über Major Incidents im Finanzsektor zur Verfügung.

Sie zeigen eine Entwicklung, die weit über einzelne technische Ausfälle hinausgeht.

Operative Risiken entstehen heute häufig innerhalb komplexer digitaler Wertschöpfungsketten.

 

Die eigentliche Herausforderung besteht deshalb nicht allein darin, technische Schwachstellen zu beheben.

Entscheidend wird vielmehr die Fähigkeit einer Organisation,

• Risiken organisationsübergreifend zu erkennen,
• Abhängigkeiten zu Drittdienstleistern zu steuern,
• Auswirkungen auf kritische Geschäftsprozesse zu bewerten,
• und daraus zeitnah Managemententscheidungen abzuleiten.

Warum IKT-Risiken heute den Vorstand betreffen

Ein schwerwiegender IKT-Vorfall betrifft längst nicht mehr ausschließlich die IT.

Er beeinflusst unter anderem

• die Verfügbarkeit kritischer Dienstleistungen,
• regulatorische Verpflichtungen,
• Kundenvertrauen,
• wirtschaftliche Ergebnisse,
• Investitionsentscheidungen,
• sowie die langfristige Handlungsfähigkeit einer Organisation.

Damit verändern sich auch die Anforderungen an Governance.

 

Die zentrale Frage lautet heute nicht mehr:

„Wie schützen wir unsere IT?"

Sondern:

„Wie erhalten wir die Steuerungsfähigkeit unserer Organisation unter sich permanent verändernden technologischen und regulatorischen Rahmenbedingungen?"

Governance wird zum Wettbewerbsfaktor

DORA, der AI Act, NIS2 und der Cyber Resilience Act adressieren letztlich gemeinsam dieselbe Managementherausforderung:

Wie gelingt es Organisationen, ihre digitale Wertschöpfung auch unter zunehmender Unsicherheit dauerhaft stabil zu steuern?

 

Operative Resilienz entsteht deshalb nicht allein durch technische Kontrollen oder IT-Softwarelösungen, die nur innerhalb ihres eigenen Silos funktionieren.

Sie entsteht dort, wo Governance, Risikomanagement und Managemententscheidungen wirksam miteinander verbunden werden.

 

IKT-Risiken werden zu Geschäftsrisiken, weil Managemententscheidungen heute zunehmend von der Stabilität digitaler Wertschöpfungsketten abhängen.

 

Damit verändert sich auch die Rolle von Governance grundlegend.

Governance dokumentiert nicht länger ausschließlich regulatorische Anforderungen. Sie schafft die Voraussetzungen dafür, dass Organisationen ihre Entscheidungen an ein sich permanent veränderndes technologisches und regulatorisches Umfeld anpassen können.

Fazit

IKT-Risiken sind heute keine isolierten IT-Risiken mehr.

Sie beeinflussen Geschäftsprozesse, wirtschaftliche Ergebnisse und die strategische Handlungsfähigkeit einer Organisation.

Deshalb reicht es nicht aus, regulatorische Mindestanforderungen zu erfüllen.

 

Nachhaltige operative Resilienz entsteht erst dann, wenn IKT-Risiken als integraler Bestandteil der Gesamtbanksteuerung verstanden und entsprechend gesteuert werden.

Die entscheidende Managementaufgabe besteht künftig nicht mehr allein darin, Risiken zu identifizieren.

 

Sie besteht darin, Managemententscheidungen schneller an neue technologische, regulatorische und organisatorische Realitäten anzupassen, als sich das Risikoumfeld verändert.

Weiterführende Inhalte:

Die empirischen Erkenntnisse des ersten DORA-Berichtsjahres sowie die daraus abgeleiteten Governance-Schlussfolgerungen analysiere ich ausführlich im folgenden Whitepaper:

Resilienz-Architektur für das KI-Zeitalter – Teil 1: Die Diagnose

► zum Governance-Manifest

► zu den Whitepapern

► zu Vorträgen & Workshops
► zu aktuellen Beiträgen auf LinkedIn