Blog

Vorstände lieben Ampeln. Rot, Gelb, Grün versprechen Ordnung in einer Welt, die selten geordnet ist. Chief Risk Officers lieben Heatmaps. Quadranten vermitteln das Gefühl, man habe Komplexität in den Griff bekommen. Compliance liebt PDF-Berichte. Viele Seiten geben den Eindruck von Vollständigkeit. Und doch passiert in unzähligen Unternehmen dasselbe Ritual: Die Präsentation läuft, die Ampeln leuchten, die Quadranten flimmern, die PDFs stapeln si

E s gibt ein Wort, das in vielen Unternehmen noch immer unterschätzt wird, obwohl es über Budgets, Zeitpläne und im Zweifel über die eigene Lizenz zum Geschäft entscheidet: Vorbereitung. Nicht im Sinne eines last-minute „Ordner-Pimpings“ vor dem Prüftermin, sondern als betriebliche Fähigkeit, die jeden Tag wirkt: Nachweise aus dem Betrieb heraus zu erzeugen, konsistent zu halten und auf Abruf bereitzustellen – ohne Hauruckaktionen, ohne Nachtschi

GRC-Automation klingt nach einer naheliegenden Lösung: Anforderungen wachsen, Nachweise steigen, Audits werden häufiger – also automatisieren wir eben. Workflows, Tickets, Freigaben, automatische Erinnerungen, Dashboards. Viele Organisationen starten genau so. Und viele stellen nach ein paar Monaten fest, dass zwar „mehr System“ da ist, aber nicht unbedingt mehr Steuerung. Manchmal sogar weniger. Das liegt nicht daran, dass Automation grundsätzli

Kontrollwirksamkeit klingt nach etwas, das man „einfach messen“ müsste: Kontrolle definiert, Kontrolle durchgeführt, fertig. Viele Dashboards funktionieren genau nach dieser Logik. Sie zeigen Quoten: wie viele Kontrollen wurden ausgeführt, wie viele waren „ok“, wie viele Maßnahmen sind offen. Und trotzdem bleibt bei Führung und Prüfern oft ein ungutes Gefühl: Das sieht nach Aktivität aus, aber es sagt nicht zuverlässig, ob das Unternehmen tatsäch

GRC-KPIs sind in vielen Unternehmen ein Dauerbrenner – und trotzdem bleibt ein unangenehmes Gefühl: Wir messen viel, aber es verändert zu wenig. Es gibt Dashboards, Ampeln, Kontrollquoten, Reifegradwerte, Audit-Feststellungen, Maßnahmenlisten. Und dennoch fragen Führungskräfte irgendwann (zu Recht): „Was soll ich damit konkret entscheiden?“ Spätestens an diesem Punkt wird sichtbar, ob KPI-Reporting eine reine „Pflichtlage“ ist oder ein echtes Ste

Die meisten Unternehmen reden über Resilienz, als wäre sie ein Gefühl: „Wir sind besser vorbereitet“, „Unsere Verteidigung ist gestärkt“, „Wir haben vieles verbessert“. Das klingt beruhigend – und ist doch häufig nur ein Echo aus Projektsitzungen. Resilienz ist kein Stimmungsbild, sondern ein Ergebnis. Und Ergebnisse lassen sich messen. Genau darin liegt die eigentliche Herausforderung: Cyber-Resilienz messbar zu machen, ohne sich in Zahlen zu ve

In fast jedem Auditbericht taucht er auf, oft irgendwo im Mittelfeld zwischen Patch-Management und Backup-Strategie: der Punkt „Awareness & Schulungen“. Ein paar Pflichtmodule pro Jahr, eine Phishing-Simulation, vielleicht ein Poster in der Teeküche – und das Thema gilt als erledigt. Das Problem: So entsteht keine Resilienz, sondern Ritual. Menschen klicken, nicken, bestehen Quizfragen – und handeln am nächsten Tag so, wie es der reale Arbeit

Einordnung zum Veröffentlichungszeitpunkt: Für die Bewertung KI-gestützter Risikoentscheidungen sind Risikoklasse, Verantwortlichkeit und konkrete Anwendungsfrist getrennt zu dokumentieren. Die Hochrisiko-Fristen wurden durch den AI Omnibus verlängert; daraus folgt nicht, dass bereits anwendbare Verbote oder Transparenzpflichten entfallen. Quelle Risk-Meetings hatten lange einen festen Ablauf: Heatmaps, Erfahrungswerte, ein paar Szenarien, viele

Einordnung zum Veröffentlichungszeitpunkt: Seit dem 2. August 2026 sind die Transparenzregeln des Artikels 50 grundsätzlich anwendbar. Die verschobenen Hochrisiko-Fristen bedeuten deshalb keine allgemeine Pause für KI-Governance. Welche Pflicht im konkreten Fall greift, ist anhand der Rolle, des Einsatzes und etwaiger Übergangsregelungen zu prüfen. Quelle Der „Wizard of GRC“ für eine Zeit, in der dein Kaffee noch warm ist Es ist ein schwindelerre

Einordnung zum Veröffentlichungszeitpunkt: Mit dem am 27. Juli 2026 in Kraft getretenen AI Omnibus wurden unter anderem die Anwendungsfristen für Hochrisiko-KI angepasst: für Fälle nach Anhang III auf den 2. Dezember 2027, für entsprechende produktbezogene Systeme nach Anhang I auf den 2. August 2028. Die organisatorische Steuerung vorhandener KI-Nutzung bleibt davon als betriebliche Aufgabe unberührt. Quelle Es beginnt selten mit einer strategis