Wie transparent sind Großunternehmen bezüglich ihrer Cybersicherheitsrisiken in Geschäftsberichten?

Host: Herzlich willkommen zu einer neuen Ausgabe von A.I.S. Insights — powered by Living Knowledge. Mein Name ist Anna Ivy Summers, und ich freue mich sehr, dass Sie heute wieder eingeschaltet haben. In der heutigen Folge werfen wir einen genauen Blick auf eine hochgradig spannende und aktuelle Studie mit dem Titel: Praktiken der Cyberrisiko-Transparenz: Eine Analyse der Geschäftsberichte von CAC-40-Unternehmen. Diese Studie untersucht, wie transparent Frankreichs größte börsennotierte Konzerne im Zeitraum von 2019 bis 2022 über ihre Cybersicherheitsrisiken berichtet haben, und zwar anhand der europäischen ESMA-Leitlinien. Bei mir im Studio ist wie immer unser Experte Alex Ian Sutherland. Hallo Alex!

Expert: Hallo Anna, danke für die Einladung. Ich freue mich auf das Gespräch, denn das Thema Cyber-Transparenz berührt heute wirklich jeden Aspekt der Unternehmensführung.

Host: Alex, steigen wir direkt ein. Cyberangriffe sind ja mittlerweile fast an der Tagesordnung, und Aufsichtsbehörden fordern immer mehr Transparenz, um Informationsasymmetrien zwischen Unternehmen und Investoren abzubauen. Warum tun sich Unternehmen trotzdem so schwer damit, ihre Cyberrisiken offen und wirksam zu kommunizieren?

Expert: Das ist genau der Kern des Problems. Einerseits verlangen die Märkte und Regulierungsbehörden verlässliche Informationen, um Risiken für Investoren kalkulierbar zu machen. Andererseits fürchten Vorstände oft zwei Dinge: Erstens, dass zu detaillierte Angaben Angreifern als Blaupause dienen könnten. Zweitens, dass die Offenlegung von Schwachstellen das Vertrauen der Kunden und damit den Marktwert beschädigt. Das Resultat war bisher oft vages juristisches Standard-Geschwätz, sogenanntes Boilerplate. Bislang fehlte es in Europa schlicht an handfesten Kriterien, um überhaupt objektiv zu messen, wie qualitativ und transparent solche Berichte wirklich sind.

Host: Und genau hier setzt diese Studie an. Alex, wie sind die Autoren der Untersuchung methodisch vorgegangen, um dieses Problem greifbar zu machen?

Expert: Die Forscher haben sich die Geschäftsberichte der vierzig führenden Unternehmen des französischen Leitindex CAC 40 über vier Jahre hinweg vorgenommen, also von 2019 bis 2022. Sie haben dafür ein spezielles Bewertungsraster entwickelt, das direkt auf den Leitlinien der Europäischen Wertpapier- und Marktaufsichtsbehörde ESMA basiert. Dieses Raster umfasst neun konkrete Kriterien. Untersucht wurde unter anderem, ob Unternehmen Cyberrisiken spezifisch beschreiben, ob sie die potenziellen finanziellen Auswirkungen quantifizieren, wie ihre internen Kontrollsysteme aussehen und ob konkrete Vorfälle genannt werden. Mittels qualitativer Textanalyse wurde dann für jedes Unternehmen eine fundierte Transparenzbewertung erstellt.

Host: Das klingt nach einem sehr praxisnahen Ansatz. Schauen wir uns die Ergebnisse an: Was hat die Studie bei den CAC-40-Konzernen ans Licht gebracht?

Expert: Die Ergebnisse zeigen ein faszinierendes Spannungsfeld. Einerseits gibt es einen klaren positiven Trend: Siebenundsiebzig Prozent der untersuchten Konzerne konnten ihre Transparenzwerte zwischen 2019 und 2022 verbessern. Der regulatorische Druck und das gestiegene Risikobewusstsein zeigen also erste Wirkung. Aber – und das ist das große Aber der Studie – das Gesamtniveau bleibt erschreckend niedrig.

Host: Was bedeutet „niedrig“ in konkreten Zahlen?

Expert: Im Jahr 2022 wurden immer noch sechsundachtzig Prozent der Unternehmen mit einem niedrigen Transparenzgrad bewertet. Viele Konzerne bleiben extrem an der Oberfläche. Sie erwähnen zwar brav, dass Cyberangriffe existieren und dem Ruf oder dem Geschäftsbetrieb schaden könnten, das war es dann aber auch schon. Detaillierte Angaben zu internen Sicherheitskontrollen, zur Wirksamkeit der Abwehrmaßnahmen oder gar quantifizierte Daten zu erwarteten oder vergangenen finanziellen Verlusten fehlen fast vollständig.

Host: Das ist ernüchternd. Warum ist das für die Geschäftswelt und für Führungskräfte so entscheidend? Welche praktischen Lehren müssen Entscheidungsträger daraus ziehen?

Expert: Für Investoren und Finanzanalysten bedeutet das schlichtweg: Man tappt bei Cyberrisiken weiterhin weitgehend im Dunkeln. Wer eine Aktie bewertet, kann aus den Berichten kaum ablesen, wie resilient ein Konzern im Ernstfall wirklich ist. Für Vorstände und C-Level-Manager ist diese Studie ein deutlicher Weckruf. Mit neuen regulatorischen Rahmenbedingungen wie NIS 2 oder DORA in Europa wird der Druck massiv steigen. Reines Cyber-Washing oder generische Floskeln werden von Aufsichtsbehörden und anspruchsvollen Investoren bald nicht mehr akzeptiert werden. Wer jetzt proaktiv lernt, Cyberrisiken nachvollziehbar und professionell zu quantifizieren, schafft echtes Vertrauen am Kapitalmarkt und sichert sich einen Wettbewerbsvorteil.

Host: Transparenz ist also kein reines Compliance-Thema mehr, sondern ein strategischer Differenzierungsfaktor für Unternehmen.

Expert: Ganz genau, Anna. Wer Transparenz als Schutzschild begreift statt als Schwachstelle, gewinnt langfristig die Glaubwürdigkeit der Stakeholder.

Host: Ein starkes Fazit. Zusammenfassend lässt sich sagen: Die Richtung stimmt zwar, aber der Weg zu einer echten, messbaren Cyberrisiko-Transparenz in europäischen Chefetagen ist noch weit. Vielen Dank, Alex, für diese fundierten Einblicke in die Studie.

Expert: Sehr gerne, Anna.

Host: Und Ihnen, liebe Hörerinnen und Hörer, danken wir herzlich fürs Zuhören bei A.I.S. Insights — powered by Living Knowledge. Bleiben Sie informiert, bleiben Sie sicher und bis zum nächsten Mal!