Wenn es um Cybersicherheit geht, liegt die Verantwortung letztendlich beim Vorstand.
Das ist die Botschaft, die die US-Börsenaufsichtsbehörde (SEC) am „ 9. März 2022“ verkündete, als sie unter vorgeschlagene neue Vorschriften vorstellte, die eine verstärkte Offenlegung der Steuerung von Cyberrisiken und der Meldung von Vorfällen in den bei den Aufsichtsbehörden einzureichenden Unterlagen vorschreiben.
Was ist die Triebfeder der Agentur? Die Zahl und die Kosten massiver Cyberangriffe steigen rasant an, ebenso wie die Erwartungen der Aktionäre hinsichtlich Transparenz.
Zwar ist die SEC noch dabei, die neuen Vorschriften endgültig festzulegen, doch eines ist bereits klar: Die Behörde wird die Vorstände in Kürze dazu verpflichten, jedes Jahr in bisher beispiellosem Detail Umfang über ihre Sicherheits-Governance zu berichten sowie darüber, ob und wann ein schwerwiegender Sicherheitsverstoß auftritt.
Insbesondere müssen die Vorstandsmitglieder angeben, wer für die Aufsicht „zuständig“ ist – ein bereits bestehender Ausschuss wie der Prüfungs- oder Risikoausschuss, ein neuer Ausschuss für Cybersicherheit oder der gesamte Vorstand – und wie diese Aufsicht ausgeübt wird. Die bevorstehenden Vorschriften erhöhen den Druck auf die Vorstände, nicht nur ihre Aufsichtsstruktur neu zu bewerten, sondern auch die Zusammensetzung des Vorstands selbst neu zu überdenken.
Um sich auf das sich wandelnde regulatorische Umfeld vorzubereiten, finden Sie im Folgenden vier Fragen zur Cybersicherheits-Governance, die Vorstände ganz oben auf ihre Tagesordnung setzen sollten.
1. Sollte der Vorstand einen Experten für Cybersicherheit aufnehmen?
Heutzutage ist Fachwissen im Bereich Cybersicherheit in Vorständen eher die Ausnahme als die Regel. Laut dem Center of Audit Quality haben nur 34 % der S&P- 500 -Unternehmen einen Cybersicherheitsexperten in ihrem Vorstand.
Die neuen Vorschriften der SEC würden vorsehen, dass Unternehmen offenlegen müssen, ob und welche Mitglieder des Vorstands über Fachkenntnisse im Bereich Cybersicherheit verfügen. Es handelt sich weniger um eine Verpflichtung, einen Experten zur Überwachung von Cyberrisiken hinzuzuziehen, als vielmehr um eine Maßnahme, die den Anlegern Einblick in die Aufsichtsfunktionen des Vorstands gewähren soll.
„Wenn Sie einen CISO für Ihren Vorstand suchen, wird es Ihnen schwerfallen, einen zu finden, da diese sehr gefragt sind.“Carolyn Frantz, Co-Leiterin der Praxisgruppe für börsennotierte Unternehmen bei Orrick
Sollten Vorstände dennoch einen Experten für Cyberrisiken suchen, um ihn in ihre Reihen aufzunehmen? Viele haben dies vor: Laut einem Bericht von Ernst & Young gaben im Jahr 2021 65 % der Vorstände an, dass Cybersicherheit ein Fachgebiet sei, das im Vorstand gefragt sei; im Jahr 2018 lag dieser Anteil noch bei 36 %.
Die Suche könnte sich als schwierig erweisen. „Wenn Sie einen CISO für Ihren Vorstand suchen, wird es Ihnen schwerfallen, einen zu finden, da diese sehr gefragt sind und es nur wenige davon gibt“, sagt Carolyn Frantz, Co-Leiterin der Gruppe für börsennotierte Unternehmen bei der auf Technologierecht spezialisierten Kanzlei Orrick.
Frantz weist darauf hin, dass ein potenzieller CISO-Kandidat, sollten Sie einen finden, „außerdem über ein breites Spektrum an Fähigkeiten verfügen muss, die einen Mehrwert für Ihren Vorstand darstellen.“ „Sie sollten niemanden in Ihren Vorstand berufen, nur weil diese Person über eine bestimmte Fähigkeit verfügt.“
Eine weitere Gefahr, die Vorstände berücksichtigen sollten, besteht darin, dass sich der Vorstand möglicherweise zu sehr auf einen „Experten“ stützt, um sich seiner eigenen Aufsichtspflicht zu entziehen, warnt Joe Nocera, Partner im Bereich Cyberrisiken und regulatorisches Marketing bei PricewaterhouseCoopers (PwC).
„Ich habe an Vorstandssitzungen teilgenommen, bei denen ein Vorstandsmitglied über Erfahrung im Bereich Cybersicherheit verfügte und der Rest des Vorstands dazu neigte, sich bei jedem Thema auf dieses Mitglied zu verlassen“, sagt Nocera, der selbst in mehreren Vorständen gemeinnütziger Organisationen tätig ist. „Das ist so, als würde man sagen: ‚Ach, Sally hat früher bei einem Cybersicherheitsunternehmen gearbeitet, also muss ich mir darüber keine Sorgen machen.‘“
Ein Bereich, in dem ein Experte wirklich einen Mehrwert schaffen kann, so Nocera, ist die Steigerung des „IQ“ des Vorstands. Experten können Vorstandsmitglieder dazu ermutigen, an Schulungen teilzunehmen, beispielsweise im Rahmen des Zertifizierungskurses „ “ zum Thema Cybersicherheit ( ), der von der National Association of Corporate Directors (NACD) angeboten wird. (Bislang haben nur etwa 700 der insgesamt 23 000 Mitglieder Zertifikate erworben.)
Bitte beachten Sie, dass die SEC dies ausdrücklich in ihren Vorschlag „ “ () aufgenommen hat: „Es ist nicht unsere Absicht, dass die Benennung eines Cybersicherheitsexperten im Vorstand zu einer Verringerung der Pflichten, Verpflichtungen oder der Haftung anderer Vorstandsmitglieder führt.“
Anders ausgedrückt: Auch wenn die Aufnahme eines Vorstandsmitglieds mit Fachkenntnissen im Bereich Cybersicherheit für die Aufsicht im Allgemeinen von großem Wert ist, liegt die Verantwortung – und die Haftung – für die Aufsicht letztendlich beim gesamten Vorstand.
2. Welcher Ausschuss des Verwaltungsrats sollte für die Cybersicherheit „zuständig“ sein?
Heute übertragen mehr als zwei von drei Vorständen (66 %) die Verantwortung für die Aufsicht über die Cybersicherheit an ihren Prüfungsausschuss „ “. Dies geht aus einer Umfrage mit dem Titel „ “ 2021 des Deloitte Center for Board Effectiveness hervor, die in Zusammenarbeit mit der Society for Corporate Governance durchgeführt wurde. Von den Befragten schreiben 15 % die Verantwortung dem Risikoausschuss zu. Deloitte stellte fest, dass lediglich 9 % die Verantwortung einem eigens dafür eingerichteten Ausschuss für Cybersicherheit übertragen.
„: Cybersicherheit ist in erster Linie eine Herausforderung im Bereich des Risikomanagements.“ Es gibt keine perfekte Sicherheit.”Joe Nocera, Partner im Bereich Cyberrisiken und regulatorisches Marketing bei PricewaterhouseCoopers
„Nur weil die Mehrheit es so macht, heißt das noch lange nicht, dass es die richtige Lösung ist“, sagt Nocera. „Wir haben festgestellt, dass Organisationen, die die Cybersicherheit im Rahmen eines Risikoausschusses überwachen, das Risiko am besten bewältigen.“
Argumente für den Risikoausschuss gegenüber dem Prüfungsausschuss? Die „ “-To-Do-Listen der Prüfungsausschüsse sind bereits überfüllt mit Aufgaben wie der Überwachung der Finanzberichterstattung und der internen Kontrollen, des Datenschutzes, ethischer und Compliance-Fragen sowie weiteren Themen. Da die Cybersicherheit zu einem immer größeren Geschäftsrisiko wird, verfügen die Ausschussmitglieder möglicherweise nur über begrenzte Kapazitäten, die sie für Governance-Aufgaben aufwenden können.
„Cybersicherheit ist in erster Linie eine Herausforderung im Bereich des Risikomanagements“, sagt Nocera. „Es gibt keine perfekte Sicherheit. Die Frage lautet: Wie viel Risiko sind wir bereit einzugehen, und bewegen wir uns innerhalb der Toleranzgrenze unserer derzeitigen Risikobereitschaft? ”
3. Sollte der Vorstand einen Ausschuss für Cybersicherheit einrichten?
Laut dem Beratungsriesen Gartner könnten Vorstände in den kommenden Jahren darauf verzichten, Prüfungs- und Risikoausschüsse überhaupt einzurichten. Gartner prognostiziert, dass sich die Zahl der Vorstände mit eigenen Cybersicherheitsausschüssen innerhalb von fünf Jahren vervierfachen wird – von 10 % im Jahr 2021 auf 40 % im Jahr 2025.
Gartner hat seine Prognose in dem Bericht „ Januar 2021“ veröffentlicht, und der Vorschlag der SEC könnte die Argumente für eine Trennung der Aufsicht über die Cybersicherheit von anderen Aufgaben des Ausschusses untermauern – insbesondere die darin enthaltene Anforderung, dass Unternehmen innerhalb von vier Werktagen nach einem wesentlichen „Cybersicherheitsvorfall“ ein Formular 8-K bei der SEC einreichen müssen.
„Unternehmen sind täglich mit geringfügigen Malware- oder Phishing- -Angriffen konfrontiert“, stellt Nocera fest. „Es ist nicht praktikabel, den Vorstand über jeden einzelnen dieser Vorfälle zu informieren.“ Der Vorstand muss Kriterien festlegen, anhand derer bestimmt werden kann, was die SEC als „wesentlich“ erachten könnte, einschließlich der Frage, welche Arten von Vorfällen eine außerplanmäßige Vorstandssitzung erforderlich machen würden.
Die Beurteilung der Wesentlichkeit von Cybervorfällen – einschließlich der Frage, wann solche Vorfälle an den gesamten Vorstand weitergeleitet werden müssen – könnte und sollte in die Zuständigkeit eines Cybersicherheitsausschusses fallen, meint James Turgal, Vizepräsident des auf Cyberberatung und -lösungen spezialisierten Unternehmens Optiv.
Turgal empfiehlt, dass ein solcher Ausschuss einem „Hybridmodell“ folgt und sich aus Führungskräften der obersten Ebene, Mitgliedern des Prüfungsausschusses sowie in Cybersicherheitsfragen geschulten Vorstandsmitgliedern zusammensetzt, die die Cybersicherheitsstrategie und die Governance-Prozesse des Unternehmens an die neuen Offenlegungspflichten der SEC anpassen können.
4. Wie oft sollte der Ausschuss den gesamten Vorstand unterrichten?
Für viele Vorstände steht das Thema Cybersicherheit heute nur einmal im Jahr auf der Tagesordnung . Laut Deloitte geben fast 77 % der privaten Unternehmen an, dass dieses Thema jährlich behandelt wird; bei den Large-Cap-Unternehmen sind es 40 % und bei den Mid-Cap-Unternehmen 52 %.
Reicht einmal im Jahr für eine strenge Aufsicht aus? Nicht so Nocera, der empfiehlt, dass ein Ausschuss den Vorstand sechsmal im Jahr – oder zumindest einmal pro Quartal – über Fragen der Cybersicherheit informiert, und zwar auch bei Unternehmen, die sich selbst nicht als besonders gefährdet einstufen.
Diese Besprechungen sollten sich nicht nur mit den derzeit dringenden Cyberrisiken befassen, sondern auch mit mehrjährigen strategischen Plänen; Maßnahmen zur Reaktion auf Vorfälle, Plänen zur Wiederherstellung des Geschäftsbetriebs sowie Plänen für die Öffentlichkeitsarbeit; Cybersicherheitsschulungen und -kompetenzen bei Führungskräften und Mitarbeitern; sowie dem allgemeinen Reifegrad und der Widerstandsfähigkeit der Organisation im Bereich Cybersicherheit.
Zurück zu den Grundlagen
Turgal stimmt zu, dass die Aufklärung des Vorstands über aktuelle und sich weiterentwickelnde Cyberbedrohungen in verständlicher Sprache eine Notwendigkeit für eine wirksame Aufsicht darstellt. „Die Vorstandsmitglieder sind verpflichtet, kritische Fragen zu stellen und die Führungsspitze herauszufordern, um den Unternehmenswert zu steigern und zu sichern“, sagt er. „Ohne Grundlagen wissen Sie nicht, was Sie nicht wissen,.“
[Lesen Sie auch: 6 Fragen zur Cybersicherheit, die ich den Vorständen stets empfehle zu stellen]
Und an dieser Stelle sind sich die Vorstandsmitglieder einig, dass sie nicht genug wissen. Laut einer PwC-Umfrage sind lediglich 33 % der Vorstandsmitglieder der Ansicht, dass ihr Vorstand die Cybersicherheitsrisiken ihres Unternehmens versteht – ein enormes Hindernis für eine angemessene Unternehmensführung.
Daher besteht der erste Schritt hin zu einer wirksamen Aufsicht – insbesondere angesichts der bevorstehenden SEC-Vorschriften – möglicherweise nicht darin, dass die Vorstandsmitglieder einen Cybersicherheitsexperten berufen, einen Cybersicherheitsausschuss einrichten oder gar weitere Informationsrunden für den gesamten Vorstand einführen.
Zunächst können und sollten sie sich Grundkenntnisse in den Grundlagen der Cybersicherheit aneignen, damit sie nicht nur die richtigen Fragen stellen, sondern auch die Antworten verstehen können.
