Von Boris van Thiel
In gefühlt jeder Veranstaltung, die ich in letzter Zeit besucht habe, geht es um Resilienz. Resilienz von Lieferketten, gesamtstaatliche Resilienz, Business Continuity, Unternehmensresilienz. Das Thema ist allgegenwärtig. Allein der aktuelle Koalitionsvertrag zwischen SPD, CDU und CSU verwendet das Wort Resilienz sage und schreibe 26 Mal. Da ist von der Resilienz der Finanzmärkte, von Verkehrsresilienz, IT-Resilienz und sogar demokratischer Resilienz die Rede. Nur eines bleibt offen: Wie wird man eigentlich resilient?
Um das zu verstehen, habe ich mich dem Thema professionell genähert und bin inzwischen selbst im Vorstand eines Verbandes für Krisenresilienz tätig. Zunächst einmal: Resilienz ist kein Zustand, den man durch das Erfüllen gesetzlicher Vorgaben – etwa durch das KRITIS-Dachgesetz oder die NIS2-Richtlinie – oder durch die Einführung von Normen wie der DIN EN ISO 22301 erreicht. Diese Regelwerke helfen zwar, langfristig Resilienzkompetenz in einer Organisation aufzubauen, doch das geschieht in der Regel bottom-up, also über alle Abteilungen hinweg. Resilienz ist eine Haltung und damit Teil der Unternehmenskultur. Wie bei allen Dingen im Leben erfordert das Erlernen neuer Kompetenzen Übung, aber es lohnt sich: Resiliente Organisationen sind dauerhaft stabil und können Krisen besser überstehen.
Unter Resilienz verstehe ich dabei die Widerstandsfähigkeit und die Bewältigungsfähigkeit einer Organisation, also ihre Fähigkeit, mit Krisen umzugehen. Ganz gleich, ob diese plötzlich auftreten oder sich schleichend entwickeln. Ein oft unterschätzter Aspekt dabei ist die Vigilanz, also eine Form der Vorsorgeüberwachung. Sie beschreibt die kontinuierliche Aufmerksamkeit gegenüber potenziellen Störungen oder Risiken, lange bevor diese zur Krise werden. Vigilante Organisationen erkennen Frühwarnsignale rechtzeitig und können dadurch präventiv handeln, statt nur zu reagieren.
Ein Kollege, der seit Jahren in der Krisenmanagementberatung arbeitet, berichtete mir von seinen Erfahrungen. Es erstaunte mich, dass gerade große Unternehmen und Konzerne erhebliche Defizite in ihrer Krisenresilienz haben. Wie kann das sein? Diese Organisationen erfüllen in der Regel sämtliche gesetzlichen Anforderungen, haben Krisenstäbe ernannt und keine Kosten gescheut, um ihre Standorte physisch abzusichern. Und doch scheitern viele im Ernstfall.
Die Antwort ist im Grunde einfach: Erstens werden Krisen oft zu spät erkannt. Wertvolle Zeit vergeht, bis die Lage als Krise eingestuft wird und der Krisenstab die Arbeit aufnimmt. Häufig steckt dahinter die Angst, Verantwortung für Entscheidungen zu übernehmen. Zweitens gelingt es vielen Organisationen nicht, Wesentliches vom Unwesentlichen zu trennen. Statt sich nach dem Pareto-Prinzip auf die Kernprozesse zu konzentrieren, verlieren sie sich in Arbeitskreisen und endlosen Diskussionen. Entscheidungen werden vertagt. Und genau das ist in der Krise fatal. Drittens ist die Informationsbeschaffung unzureichend, insbesondere bei Krisen mit externen Ursachen. Internet und Telefon sind im Krisenfall oft keine verlässlichen Quellen. Es braucht Methoden und Techniken, um trotz eingeschränkter Kommunikationswege handlungsfähig zu bleiben.
Das alles ist kein Hexenwerk und kostet auch nicht die Welt. Der Nutzen jedoch ist unbezahlbar, wenn die nächste Krise professionell gemeistert wird. Und die nächste Krise kommt ganz sicher. Wir wissen nur nicht, wann und in welcher Form. Ein Cyberangriff erfordert andere Maßnahmen als ein Hochwasser oder ein Erdbeben, doch Vorbereitung bleibt der Schlüssel zum Erfolg.
Während Unternehmen der kritischen Infrastrukturen heute gesetzlich zur Resilienzvorsorge verpflichtet sind, herrscht im Mittelstand häufig noch Unsicherheit oder gar eine Art „Krisendemenz“. In einer Zeit, in der hybride Angriffe und Lieferkettenstörungen zur neuen Normalität geworden sind, sollten auch kleinere Unternehmen regelmäßig den Ernstfall simulieren und Krisen üben. Krisen gab es schon immer, aber die Kadenz, mit der sie heute auftreten, ist deutlich höher. Die Hoffnung, dass schon alles gutgehen wird, ist sicherlich der schlechteste Berater in dieser Frage.