Nach einem Cyber-Vorfall bei einem vergleichbaren Unternehmen prüft ein Verwaltungsrat das eigene ISO-27001-Zertifikat und verweist auf den laufenden SOC- und MDR-Vertrag. Beides ist wichtig, beantwortet aber nicht die entscheidende Aufsichtsfrage: Wie wirksam sind die Kontrollen heute gegen reale Angriffe, auch ausserhalb des Zertifizierungsscopes und jenseits der Sicht des bestehenden Betreibers? Eine unabhängige Cyber-Zweitmeinung durch einen externen CISO kann diese Assurance-Lücke schliessen, ohne Zertifizierung oder Sicherheitsdienstleister abzuwerten. Sie verschafft Verwaltungsrat, Risk Committee und Geschäftsleitung eine belastbarere Grundlage für Aufsicht, Priorisierung und Dokumentation.
📑 Inhaltsübersicht
Warum der Verwaltungsrat bei Cyber persönlich in der Pflicht steht · Was eine Zertifizierung tatsächlich aussagt, und was nicht · Der blinde Fleck des Betreibers und die Assurance-Lücke · Unabhängige Cyber-Zweitmeinung durch einen externen CISO · Warum der Zwei- bis Drei-Jahres-Turnus sinnvoll ist · Häufig gestellte Fragen
Warum der Verwaltungsrat bei Cyber persönlich in der Pflicht steht
Cyber-Risiken sind keine reine IT-Angelegenheit. Sie betreffen Geschäftsunterbrüche, Datenabflüsse, regulatorische Meldepflichten, Vertragsfähigkeit, Reputation und in regulierten Branchen die operationelle Resilienz. Der Verwaltungsrat kann die operative Umsetzung delegieren, nicht aber seine unübertragbaren Aufgaben und seine Aufsichtsfunktion. Gerade das Risk Committee muss deshalb beurteilen können, ob die Organisation ihre wesentlichen Cyber-Risiken tatsächlich beherrscht oder diese lediglich formal dokumentiert.
Das Schweizer Aktienrecht verankert die Sorgfaltspflicht des Verwaltungsrats. Die Universität Zürich erläutert den Sorgfaltsmassstab und die Bedeutung eines einwandfreien Entscheidprozesses auf angemessener Informationsgrundlage. Für Cyber bedeutet das: Ein Gremium muss nicht jedes technische Detail verstehen, aber es muss die wesentlichen Risiken, Abhängigkeiten und verbleibenden Unsicherheiten erfassen können. Eine unabhängige Cyber-Zweitmeinung kann diese Informationsgrundlage stärken.
Für Banken ist der regulatorische Rahmen noch konkreter. Das FINMA-Rundschreiben 2023/01 zu operationellen Risiken und Resilienz konkretisiert Anforderungen an Governance, Verantwortlichkeiten, Kontrollfunktionen und operationelle Resilienz. Auch für nicht regulierte Unternehmen ist diese Logik eine sinnvolle Good Practice: Cyber-Aufsicht erschöpft sich nicht in der Entgegennahme technischer Kennzahlen, sondern verlangt eine strukturierte Beurteilung von Risiko, Wirksamkeit und verbleibender Unsicherheit.
Hinzu kommt die mittelbare Wirkung europäischer Anforderungen wie NIS-2 über Tochtergesellschaften, Lieferketten, Verträge und Kundenanforderungen. Schweizer Unternehmen, die nicht unmittelbar in den Anwendungsbereich fallen, können dennoch mit höheren Erwartungen an Dokumentation, Risikoanalyse und Lieferantensicherheit konfrontiert sein. Eine Cyber-Zweitmeinung für den Verwaltungsrat ist deshalb nicht nur ein technisches Review, sondern auch ein dokumentierter Governance-Schritt.
Was eine Zertifizierung tatsächlich aussagt, und was nicht
Eine ISO-27001-Zertifizierung ist wertvoll. Sie zeigt, dass ein Informationssicherheits-Managementsystem innerhalb eines definierten Scopes anhand der Normanforderungen geprüft wurde. Sie verlangt unter anderem festgelegte Verantwortlichkeiten, systematische Risikobehandlung, interne Audits, Managementbewertungen und kontinuierliche Verbesserung. Wer ISO 27001 seriös betreibt, schafft belastbare Strukturen in einem Feld, das ohne Systematik rasch fragmentiert.
Eine unabhängige Cyber-Zweitmeinung trennt für den Verwaltungsrat Konformität, Assurance und operative Wirksamkeit
Konformität ist nicht dasselbe wie Wirksamkeit
Entscheidend ist die begriffliche Trennung. Zertifizierung ist ein Konformitätsnachweis für ein Managementsystem innerhalb eines festgelegten Scopes. Assurance bezeichnet die begründete Einschätzung, ob Governance, Prozesse und Kontrollen die angestrebten Ziele tatsächlich erreichen. Eine unabhängige Cyber-Zweitmeinung untersucht die Lücke zwischen beidem: Was ist formal vorgesehen, was funktioniert im Betrieb, und welche Annahmen wurden bislang nicht belastbar geprüft?
Ein Zertifikat ist deshalb kein allgemeines Sicherheitsversprechen. Der Scope kann zentrale Systeme einbeziehen oder ausklammern. Ein Audit beruht zudem auf Prüfhandlungen, Stichproben und Nachweisen innerhalb eines bestimmten Zeitraums. Die Kontrollwirksamkeit kann sich durch Änderungen an Cloud-Umgebungen, Identitäten, Architekturen, Outsourcing-Verhältnissen oder Verantwortlichkeiten verändern. Zertifizierung und independent security review erfüllen daher unterschiedliche, sich ergänzende Aufgaben.
ISO 27001 bleibt wichtig, aber nicht abschliessend
Die richtige Folgerung lautet nicht, ISO 27001 abzuwerten. Im Gegenteil: Ein wirksam betriebenes ISMS ist oft die Voraussetzung dafür, dass eine externe Zweitmeinung effizient und präzise arbeiten kann. Sie findet Richtlinien, Risikoregister, Kontrollkataloge, interne Auditberichte und Massnahmenpläne vor. Ihr Mehrwert liegt nicht im erneuten Abhaken derselben Normanforderungen, sondern in der Frage, ob die gewählten Kontrollen angesichts realer Bedrohungen, Abhängigkeiten und Betriebsweisen angemessen und wirksam sind.
Warum der Zertifizierungs-Scope zur Verwaltungsratsfrage wird
Der Verwaltungsrat sollte nicht nur fragen, ob ein Zertifikat vorhanden ist. Er sollte wissen, was genau zertifiziert wurde, welche Einheiten, Plattformen, Cloud-Umgebungen, Dienstleister und kritischen Geschäftsprozesse einbezogen sind, und welche nicht. In unserem Beitrag zu ISO 27001 für KMU in der Schweiz erläutern wir, weshalb Scope, Risikoanalyse und Managementbewertung die Aussagekraft eines ISMS prägen. Für den Verwaltungsrat ist die Scope-Frage kein Auditdetail, sondern Teil einer sachgerechten Aufsicht.
Der blinde Fleck des Betreibers und die Assurance-Lücke
Viele Unternehmen haben ihr Sicherheitsniveau in den vergangenen Jahren deutlich erhöht. Sie nutzen SOC-Leistungen, MDR, SIEM, EDR, XDR, Vulnerability Management und Incident-Response-Retainer. Diese Leistungen sind wichtig: Sie erkennen und untersuchen Ereignisse, lösen Alarme aus und unterstützen im Ernstfall. Sie ersetzen jedoch keine unabhängige Beurteilung der Sicherheitsarchitektur, der Detektionslogik und der Priorisierung, wenn der beurteilende Anbieter zugleich am laufenden Betrieb beteiligt ist.
Der Interessenkonflikt ist strukturell, nicht persönlich
Ein SOC oder MDR-Anbieter sieht primär, was angebunden, protokolliert, korreliert und in Regeln oder Playbooks übersetzt wurde. Fehlen bestimmte Cloud-Logs, werden Identitätsereignisse unvollständig erfasst oder liegen kritische Geschäftsprozesse ausserhalb des Monitorings, bleibt die operative Sicht zwangsläufig begrenzt. Das ist kein Vorwurf an den Betreiber, sondern eine Folge seiner Rolle: Wer die Betriebslogik mitgestaltet, beurteilt sie nicht mit derselben Distanz wie ein unabhängiger Dritter.
Ähnlich verhält es sich bei Managed-Security-Architekturen. Ein Dienstleister optimiert typischerweise das Modell, das er aufgebaut oder übernommen hat. Er verbessert Regeln, reduziert Fehlalarme, ergänzt Datenquellen und reagiert auf Vorfälle. Die übergeordnete Frage, ob das zugrunde liegende Modell weiterhin zur Bedrohungslage, zur Unternehmensarchitektur und zum Risikoappetit des Verwaltungsrats passt, verlangt jedoch eine andere Perspektive.
So entsteht die Assurance-Lücke. Zwischen Zertifikat und laufendem Betrieb können Konfigurationsdrift, unzutreffende Annahmen, unklare Verantwortlichkeiten, zu eng gefasste Scopes, ungetestete Eskalationsprozesse und eine zu optimistische Reifegradeinschätzung bestehen bleiben. Eine unabhängige Cyber-Zweitmeinung macht solche Lücken sichtbar, priorisiert sie nach Geschäftsrisiko und übersetzt sie in entscheidungsfähige Aussagen.
Die interne Revision übernimmt dabei eine wichtige, aber andere Funktion. Sie ist organisatorisch vom operativen Betrieb unabhängig und prüft Prozesse, Kontrollen und Governance. Nicht jede interne Revision verfügt jedoch über die erforderliche technische Tiefe, um Cloud-Architekturen, Detektionsabdeckung, Identitätsrisiken, Ransomware-Resilienz oder technische Kontrollwirksamkeit umfassend zu beurteilen. Die externe Cyber-Zweitmeinung ersetzt die interne Revision nicht. Sie ergänzt deren Arbeit fachlich und liefert Erkenntnisse, die interne Revision, Compliance und Verwaltungsrat weiterverwenden können.
Was eine unabhängige Cyber-Zweitmeinung durch einen externen CISO leistet
Eine unabhängige Cyber-Zweitmeinung ist kein Penetrationstest mit einer zusätzlichen Verwaltungsratsfolie. Sie ist eine strukturierte, anbieterneutrale Beurteilung des Cyber-Reifegrads, der Architektur, der Kontrollwirksamkeit und der Berichterstattung. Der externe CISO ersetzt den internen CISO nicht. Er wirkt als unabhängiger Sparringspartner und trennt die Perspektiven von Betrieb, Management, Assurance und Aufsicht.
Reifegrad-Assessment: Der Review beurteilt, ob Governance, Risikoanalyse, Identitätsmanagement, Schutz kritischer Systeme, Detektion, Reaktion und Wiederanlauf aufeinander abgestimmt sind. Entscheidend ist nicht die Anzahl eingesetzter Werkzeuge, sondern die Qualität der Steuerung und die Nachvollziehbarkeit der Entscheide.
Architektur-Review: Die Zweitmeinung prüft, ob Cloud-, Netzwerk-, Identitäts- und Drittparteienarchitektur die wesentlichen Geschäftsrisiken angemessen berücksichtigen. Im Vordergrund stehen Annahmen, Abhängigkeiten und mögliche Bruchstellen, nicht technische Detailkritik um ihrer selbst willen.
Kontrollwirksamkeit: Eine unabhängige Sicht untersucht, ob Logging, Detektion, Zugriffskontrollen, Backups, Wiederherstellung, Schwachstellenmanagement und Incident Response im Zusammenspiel funktionieren. Ein grüner Statusbericht ist nur dann belastbar, wenn seine Datengrundlage, Messlogik und Abdeckung nachvollziehbar sind.
Verwaltungsrats-Reporting: Der Bericht muss Geschäftsrisiken, Prioritäten, Restrisiken und erforderliche Entscheide verständlich darstellen. Die Hochschule Luzern weist in einem Beitrag zum Cyber Risk Reporting für den Verwaltungsrat darauf hin, dass Cyber-Risiken in der Berichterstattung häufig zu stark aggregiert werden. Genau hier kann eine unabhängige Cyber-Zweitmeinung zusätzliche Klarheit schaffen.
Für Compliance und Legal ist die Dokumentation zentral. Ein Verwaltungsrat, der periodisch unabhängige Einschätzungen einholt, Feststellungen behandelt, Prioritäten setzt und Massnahmen nachverfolgt, dokumentiert eine aktive Aufsicht. Das beseitigt Cyber-Risiken nicht und begründet für sich allein keine Haftungsbefreiung, verbessert aber die Nachvollziehbarkeit des Entscheidprozesses. Internationale Kanzleien wie Skadden ordnen unabhängige Prüfungen durch Dritte ebenfalls als wichtiges Mittel ein, um Lücken in Kontrollen und Prozessen sichtbar zu machen.
Warum der Zwei- bis Drei-Jahres-Turnus sinnvoll ist
Eine unabhängige Cyber-Zweitmeinung ist weder eine jährliche Routineübung noch ein einmaliges Projekt für die Schublade. Ein Turnus von zwei bis drei Jahren ist für viele Organisationen eine plausible Governance-Kadenz, ergänzt durch anlassbezogene Reviews bei Fusionen, umfangreichen Cloud-Transformationen, wesentlichen Outsourcing-Entscheiden, neuen regulatorischen Anforderungen oder erheblichen Vorfällen im eigenen Unternehmen.
Dafür sprechen drei Gründe. Erstens verändert sich die Bedrohungslage schneller als viele Kontrollprogramme. Angriffsmuster, Erpressungsmodelle, Identitätsmissbrauch, Cloud-Fehlkonfigurationen und Lieferkettenrisiken entwickeln sich laufend weiter. Zweitens verändert sich die eigene Organisation: Verantwortlichkeiten wechseln, Plattformen werden migriert, Dienstleister ergänzt, Ausnahmen toleriert und Kontrollen angepasst. Drittens altern Annahmen. Was vor zwei Jahren als angemessene Detektionsabdeckung galt, kann heute unzureichend sein, weil sich Geschäftsprozesse, Architekturen und Vorgehensweisen von Angreifern verändert haben.
Vier Kriterien für die Kadenz der externen Zweitmeinung:
1) Bedrohungsdynamik: Je stärker die Organisation von digitalen Kanälen, Cloud-Plattformen, Identitätsdiensten und Drittparteien abhängt, desto schneller verlieren ältere Annahmen an Aussagekraft. Ein Zwei- bis Drei-Jahres-Turnus begrenzt das Risiko, dass strategische Reviews der tatsächlichen Lage zu weit hinterherlaufen.
2) Architektur-Drift: Sicherheitsarchitekturen verändern sich nicht nur durch geplante Projekte, sondern auch durch Ausnahmen, temporäre Lösungen und Betriebskompromisse. Eine independent security review zeigt, wo das dokumentierte Zielbild vom tatsächlichen Betrieb abweicht.
3) Audit-Schnittstelle: ISO-Überwachungsaudits, interne Revisionen und regulatorische Prüfungen folgen eigenen Zyklen. Die unabhängige Cyber-Zweitmeinung sollte diese Prüfungen nicht doppeln, sondern zeitlich so angesetzt werden, dass ihre Erkenntnisse vor wesentlichen Audit-, Investitions- oder Strategieentscheiden genutzt werden können.
4) Kosten-Nutzen-Abwägung: Der Prüfaufwand bleibt überschaubar, wenn der Review periodisch geplant wird und auf vorhandenen Unterlagen sowie Nachweisen aufsetzt. Im Verhältnis zum Risiko eines unvollständigen Sicherheitsbildes ist die Zweitmeinung eine gezielte Programminvestition in eine bessere Aufsicht.
Wie der Verwaltungsrat die Zweitmeinung bestellt und nutzt
Der Auftrag sollte vom Verwaltungsrat, vom Risk Committee oder von der Geschäftsleitung mit ausdrücklichem Mandat des Gremiums ausgehen. Der interne CISO bleibt dabei ein Verbündeter und wird nicht als Person zum Prüfgegenstand. Gute CISOs profitieren von unabhängiger Bestätigung, klarer Priorisierung und einem Bericht, der technische Risiken in Geschäftsentscheidungen übersetzt. Die Zweitmeinung stärkt ihre Funktion, weil sie dort Rückhalt schafft, wo Sicherheitsmassnahmen Investitionen, Prioritätsentscheide oder eine bewusste Risikoakzeptanz erfordern.
Wesentlich ist die Unabhängigkeit vom operativen Betrieb. Der externe CISO sollte keine laufenden SOC-, MDR- oder Plattformbetriebsinteressen vertreten und den Review nicht an eigene Produktverkäufe knüpfen. Andernfalls wird die gewünschte Assurance durch ein neues Eigeninteresse geschwächt. Der Auftrag sollte deshalb klar festhalten, welche Systeme, Prozesse, Dienstleister und Berichte geprüft werden, welche Interviews stattfinden, welche Nachweise einzusehen sind und nach welchen Kriterien Feststellungen bewertet werden.
Independent Review anfragen
Sie möchten eine unabhängige Cyber-Zweitmeinung für Verwaltungsrat, Risk Committee oder Geschäftsleitung einholen? TECHWAY unterstützt Schweizer Unternehmen als unabhängiger Begleiter bei Reifegrad-Assessments, Independent Reviews und Verwaltungsrats-Reporting. Auf Wunsch verbinden wir die Analyse mit einem Workshop, der Feststellungen, Risikoakzeptanz und erforderliche Entscheide für die Führungsebene aufbereitet.
🎯 Key Take-Aways für Entscheider
Zusammenfassung für Verwaltungsrat, Geschäftsleitung, Risk Committee und Legal:
✓ Zertifizierung weist Konformität nach: ISO 27001 belegt ein Managementsystem innerhalb eines definierten Scopes. Sie ist wertvoll, aber keine allgemeine Garantie für die Wirksamkeit sämtlicher Kontrollen gegen reale Angriffe.
✓ Assurance verlangt Distanz: SOC, MDR und MSSP leisten wichtige operative Sicherheitsarbeit. Sie sind jedoch strukturell nicht vollständig unabhängig von Architekturen, Datenquellen und Detektionslogiken, die sie selbst betreiben oder optimieren.
✓ Die unabhängige Cyber-Zweitmeinung schliesst die Lücke: Ein externer CISO beurteilt Reifegrad, Architektur, Kontrollwirksamkeit und Reporting aus einer anbieterneutralen Perspektive.
✓ Der Verwaltungsrat bleibt für die Aufsicht verantwortlich: Delegation entbindet das Gremium nicht davon, angemessene Informationen einzuholen, Entscheide zu dokumentieren und vereinbarte Massnahmen nachzuverfolgen.
✓ Zwei bis drei Jahre sind eine plausible Kadenz: Bedrohungslage, Architektur und Organisation verändern sich so rasch, dass ein periodischer independent security review sinnvoll ist.
Häufig gestellte Fragen: FAQ zur unabhängigen Cyber-Zweitmeinung
Reicht eine ISO-27001-Zertifizierung nicht als Nachweis?
Eine ISO-27001-Zertifizierung ist ein wichtiger Konformitätsnachweis für ein Informationssicherheits-Managementsystem innerhalb eines definierten Scopes. Sie garantiert jedoch nicht, dass sämtliche Kontrollen im heutigen Betrieb gegen reale Angriffe wirksam sind. Eine unabhängige Cyber-Zweitmeinung ergänzt das Zertifikat, indem sie Scope, Annahmen und Kontrollwirksamkeit aus Governance-Sicht beurteilt.
Wir haben bereits einen SOC- oder MDR-Vertrag, wozu eine externe Zweitmeinung?
SOC und MDR sind operative Sicherheitsleistungen. Sie erkennen und bearbeiten Ereignisse auf Basis der angebundenen Systeme, Datenquellen und Regeln. Eine externe Zweitmeinung prüft dagegen, ob Architektur, Abdeckung und Priorisierung weiterhin angemessen sind. Der entscheidende Unterschied liegt in der Unabhängigkeit der Perspektive.
Ist das nicht Aufgabe der internen Revision?
Die interne Revision ist unabhängig vom operativen Betrieb und bleibt für Governance und Prüfplanung wichtig. Sie verfügt jedoch nicht in jeder Organisation über die erforderliche technische Tiefe für Architektur, Detektion, Identitätsrisiken und Kontrollwirksamkeit. Eine unabhängige Cyber-Zweitmeinung ersetzt die interne Revision nicht, sondern ergänzt sie fachlich.
Wer sollte die Zweitmeinung beauftragen, der CISO oder der Verwaltungsrat?
Der Auftrag sollte vom Verwaltungsrat, vom Risk Committee oder von der Geschäftsleitung mit klarem Mandat des Gremiums ausgehen. Der interne CISO ist dabei kein Gegner, sondern ein Nutzniesser. Er erhält unabhängige Bestätigung, klarere Prioritäten und ein Reporting, das technische Risiken in geschäftliche Entscheidpunkte übersetzt.
