Ein Gegenentwurf für den deutschsprachigen Raum
Von GRC zu Resilience
Organisationen existieren, um einen Zweck zu erfüllen. Sicherheit, Risikomanagement und Compliance sind Unterstützungsfunktionen dieses Zwecks, nicht umgekehrt.
00 Präambel
Dieser Zweck ist selten nur wirtschaftlich. An Unternehmen hängen Arbeitsplätze, an Arbeitsplätzen hängen Menschen und Familien. An ganzen Branchen hängt die Versorgung mit dem, was Menschen zum Leben brauchen: Energie, Wasser, Gesundheit, Finanzen, Kommunikation, Verwaltung. Wer eine Organisation angreift, trifft nicht eine juristische Person, sondern die Menschen, die von ihr abhängen.
Sicherheit ist deshalb ein Grundrecht. Das Bundesverfassungsgericht hat es als Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme benannt. Wir verstehen es weiter: Jede Organisation, die einen gesellschaftlichen Zweck erfüllt, muss dieses Grundrecht wahrnehmen können, sich also wehrhaft aufstellen. Das ist keine Kür und kein Kostenfaktor. Es ist die Voraussetzung dafür, dass sie ihren Zweck überhaupt erfüllen kann.
Das heutige Modell aus Governance, Risk und Compliance hat sich von dieser Aufgabe entfernt. Es sammelt Nachweise, statt Sicherheit zu erzeugen. Es dokumentiert Prozesse, statt sie zu verstehen. Es schafft Abhängigkeiten, statt Fähigkeiten aufzubauen. Im deutschsprachigen Raum trifft es auf eine Regulierungsdichte, die es strukturell überfordert.
Dieses Manifest benennt, woran das bestehende Modell scheitert, und wofür wir stattdessen stehen. Es ist bewusst als Gegenpol formuliert. Sein Ziel ist kein neues Extrem, sondern ein tragfähiger Mittelweg.
I Was wir beobachten
Die Bedrohung beschleunigt, die Verteidigung bleibt im Jahreszyklus.
Künstliche Intelligenz verkürzt die Zeit zwischen Schwachstelle und Angriff drastisch. Die Verteidigung organisiert sich weiter in Audit-Zyklen, Jahresberichten und periodischen Reviews. Wer Risiken einmal im Jahr bewertet, bewertet Risiken, die es so nicht mehr gibt.
Risiko wird in Silos gedacht.
Datenschutz, Informationssicherheit, Lieferantenrisiken, Arbeits- und Umweltschutz, Enterprise Risk, Qualitätsmanagement: Jede Disziplin betrachtet Risiko mit eigenen Methoden, zu eigenen Zeitpunkten. Es entsteht kein Gesamtbild, sondern ein Flickenteppich aus Einzelbetrachtungen. Zwischen den Silos liegen die Risiken, die niemand sieht.
Prozesse werden dokumentiert, nicht gelebt.
Prozessdokumentation wird einmalig erstellt und ist damit statisch, während Organisationen lebende Systeme sind, die sich ständig verändern. Dokumentierte Prozesse und tatsächliche Tätigkeiten driften auseinander.
Das ist kein Nebenproblem, sondern das Fundament: Prozesse bilden den Informationsfluss einer Organisation ab. Wer seine Prozesse nicht kennt, kann seine Risiken nicht kennen. Und wer seine Risiken nicht kennt, ist nicht resilient.
GRC ist zum Selbstzweck geworden.
Der Begriff ist mehrdeutig belegt: Für die einen Finanzrisiken, für die anderen Cyber-Security, für Dritte Compliance-Verwaltung. Schwerer wiegt: GRC hat sich von einer dienenden Unterstützungsfunktion zu einem bürokratischen Selbstzweck im Sinne Max Webers entwickelt. Ein Apparat, der ein Eigenleben führt, die Organisation nach seinen Bedürfnissen formt und vergisst, wem er dient.
Die Regulierung hat das alte Modell überholt.
Bis zu DORA, CRA und NIS2 galt: ein Standard, ein Zertifikat, eine Regulierung. Diese Zeit ist vorbei. Heute wirken so viele Rechtsakte gleichzeitig, dass die Erfüllung eines Standards zur Erfüllung einer Regulierung nicht mehr genügt. Am deutlichsten in der Energiewirtschaft: ISO/IEC 62443, § 8a BSIG mit den Prüfanforderungen des BSI, ISO/IEC 27001 bzw. IT-Grundschutz, NIS2 und DSGVO wirken parallel, jeweils mit eigenen Nachweispflichten, Prüfern und Zyklen. Die Folge: immer mehr Ressourcen für eine Unterstützungsfunktion, ohne dass die Organisation ihren Zweck besser oder sicherer erfüllt.
Compliance ersetzt Sicherheitskultur, und eine Industrie lebt davon.
Echte Sicherheitskultur erzeugt immer Compliance. Compliance erzeugt nicht immer echte Sicherheitskultur. Das weiß jeder, der in diesem Feld arbeitet, und es wird aus Ressourcenmangel und Organisationspolitik bewusst in Kauf genommen.
Um diesen Zustand hat sich eine Industrie aus Heilsversprechen etabliert, die an ihm verdient. Ihr Geschäftsmodell ist die Behandlung von Symptomen, nicht die Herstellung von Gesundheit: Der Patient wird gerade so gesund gehalten, dass er zuverlässig wieder krank wird. In der Sprache der Medizin: Pathogenese statt Salutogenese.
Souveränität wird gefordert, Unsouveränität wird kultiviert.
Digitale Souveränität bleibt ein Schlagwort, solange sie nur auf der Ebene von Staaten, Cloud-Anbietern und Herstellern gedacht wird. Dort, wo sie entstehen müsste, bei den Menschen in den Organisationen, wird systematisch das Gegenteil kultiviert. Zwei Abhängigkeitsverhältnisse prägen das Bild: Die Verwaltung delegiert die Fähigkeit, eigene Prozesse, Risiken und Systeme zu verstehen, an externe Berater. Und Führung entscheidet über Prozesse, Werkzeuge und Sicherheit fern von denen, die die tatsächliche Arbeit tun und die Informationsflüsse wirklich kennen.
Souveränität, die auf der Abhängigkeit von Unsouveränen beruht, ist keine Souveränität. Sie ist ein Risiko.
Jede Kette ist so belastbar wie ihr schwächstes Glied. Echte digitale Souveränität ist deshalb kein Beschaffungs- und kein Standortthema, sondern eine Fähigkeitsfrage auf jeder Ebene. Sie entsteht von innen nach außen: Souveräne Individuen bilden souveräne Teams, und erst diese bilden eine souveräne, resiliente Organisation.
Der blinde Fleck: Kommunikation und Veränderung.
Kommunikation und Change Management sind der Mechanismus, über den Befähigung und Kulturwandel überhaupt stattfinden können. Genau dieser Austausch zwischen Rollen, Hierarchieebenen und Fachsilos findet nicht statt, obwohl der Fortbestand der Organisation das gemeinsame Interesse aller ist. Ohne ihn bleibt jedes Prinzip Papier.
II Wofür wir stehen
Wir schlagen vor, den Begriff GRC durch Resilience zu ersetzen. Damit schließen wir an den Leitbegriff an, den NIS2, das CER-Umsetzungsgesetz und das KRITIS-Dachgesetz bereits verwenden.
Resilience meint die Fähigkeit einer Organisation, ihren Zweck unter Störung, Angriff und Wandel zu erfüllen, und damit die Menschen zu schützen, die von diesem Zweck abhängen. Sie umfasst die physische und digitale Innen- und Außenwelt: die Menschen, ihre Arbeitsweisen und die Informationen und Geräte, die sie dafür benötigen.
Resilience bündelt
resilience/ ├── informationssicherheit ├── datenschutz ├── künstliche-intelligenz ├── business-continuity └── lieferanten-und-drittparteien
Bleibt Unternehmenssteuerung
steuerung/ ├── enterprise-risk-management ├── corporate-governance └── finanz-und-rechts-compliance
Was Resilience nicht beansprucht
GRC ist historisch breiter als diese fünf Managementsysteme. Enterprise Risk Management, Corporate Governance sowie Finanz- und Rechts-Compliance werden durch diesen Vorschlag nicht abgewertet, sie wechseln den Rahmen: Sie sind Instrumente der Unternehmenssteuerung und gehören dorthin, an die Seite von Strategie und Finanzplanung. Resilience ersetzt GRC dort, wo es um die Absicherung des Betriebs geht, nicht in der Steuerung des Unternehmens. Beide Felder teilen eine gemeinsame Prozess- und Risikobasis, aber sie beantworten verschiedene Fragen: die eine, ob die Organisation das Richtige tut, die andere, ob sie es unter Störung weiter tun kann.
Unsere Werte
Wir haben durch unsere Arbeit gelernt, das eine dem anderen vorzuziehen:
Die Dinge auf der zweiten Zeile haben ihren Wert. Wir gewichten die erste höher.
III Unsere Prinzipien
- Aktuell und risikoorientiert prüfen, nicht periodisch sammeln. Kontrollen werden fortlaufend, bei Änderungen, bei Ereignissen oder in begründeten Intervallen geprüft. Die Prüffrequenz folgt dem Risiko, nicht dem Kalender.
- Resilience beginnt am Anfang, nicht am Ende. Sicherheits-, Datenschutz- und Risikoanforderungen gehören früh in Anforderungen, User Stories, Beschaffung, Entwicklung und Bereitstellung, einschließlich CI/CD und Änderungsprozessen. Nicht erst in die Auditvorbereitung. Shift Left.
- Nachweise entstehen aus der Tätigkeit selbst. Evidenz kommt aus der Durchführung und aus verlässlichen Primärquellen: automatisiert, wo es sinnvoll ist, maschinenlesbar, wo es möglich ist. Ein Screenshot ist kein Nachweis für Wirksamkeit.
- Einmal erfüllen, mehrfach nachweisen. Ein gemeinsames Prozess- und Kontrollfundament wird auf alle geltenden Regulierungen und Standards abgebildet, statt je Rechtsakt ein eigenes Nachweissystem zu betreiben. Die einzige Antwort auf die Regulierungsdichte, die skaliert.
- Lebende Prozesse sind das Fundament. Prozesse werden von den Menschen aktuell gehalten, die sie ausführen. Risiko- und Maßnahmenbewertung setzen auf den realen Prozessen auf, nicht auf einer Dokumentation von vor drei Jahren.
- Bedrohungsorientiert statt katalogorientiert. Kontrollen und Risikobewertungen basieren auf einem aktuellen, faktenbasierten Verständnis der relevanten Bedrohungen. Standards sind Ausgangspunkt, nicht Endziel.
- Befähigen statt abhängig machen. Wissen wird in der Organisation aufgebaut, nicht eingekauft. Operative Mitarbeitende sind Gestalter ihrer Tätigkeiten, nicht Ausführende fremder Vorgaben. Externe Unterstützung misst sich daran, ob sie sich selbst überflüssig macht.
- Sicherheitskultur ist das Ziel, Compliance das Ergebnis. Wir schaffen die Bedingungen, unter denen sichere Zusammenarbeit von selbst entsteht, und weisen die Compliance dann nach. Nicht umgekehrt.
- Kommunikation und Veränderung sind Disziplin, nicht Beiwerk. Change Management und die Kommunikation zwischen Ebenen, Rollen und Silos sind Bestandteil jedes Resilience-Vorhabens, mit eigener Planung, eigenen Verantwortlichen und eigenen Erfolgskriterien.
- Der Mittelweg ist das Ziel. Zwischen agilem und klassischem Vorgehen, zwischen Automatisierung und Urteilskraft, zwischen Standard und Kontext gibt es kein Schwarz und Weiß. Wir wählen, was in der jeweiligen Organisation trägt, auch in Verwaltung, Energiewirtschaft und Mittelstand.
IV Verhältnis zum GRC Engineering Manifesto
Dieses Manifest ist keine Übersetzung, sondern ein Kontexttransfer. Wir teilen die Kernwerte des internationalen GRC Engineering Manifesto: kontinuierliche Absicherung, Shift Left, messbare Ergebnisse statt Checkboxen, Systemdenken, Praktiker statt Vendoren. Wir haben uns explizit daran orientiert.
Der deutschsprachige und europäische Raum stellt zwei Probleme in den Vordergrund, die es strukturell nicht abbildet: gesetzlich erzwungene Mehrfach-Compliance, wo Compliance im US-Kontext markt- und auditgetrieben ist, und kultivierte Unsouveränität durch Berater-Abhängigkeit und hierarchische Entscheidungswege.
Deshalb erweitern wir den Ansatz um Souveränität, lebende Prozesse, Change Management und den bewussten Mittelweg. Und wir ersetzen den Begriff GRC durch Resilience, weil er im europäischen Regulierungskontext der tragfähigere ist. Wir verstehen dieses Manifest als regionale Weiterentwicklung mit Rückfluss, nicht als Abspaltung.