Vielleicht ist die Ausnahme längst Teil der Normalität

Eigentlich erscheint dieser Newsletter am Montag. Gestern habe ich schlicht übersehen, dass schon Montag ist. Man kann offenbar auch als Krisenplaner einmal einen Tag verlieren. Die Wiederanlaufzeit von 24 Stunden halte ich in diesem Fall jedoch für noch vertretbar. Vielleicht passt diese kleine Verspätung sogar ganz gut zum Thema, das mich beim Blick auf die vergangene Woche beschäftigt hat.

Wir sprechen im Krisenmanagement sehr viel über Störungen. Dahinter steckt meist eine relativ klare Vorstellung: Es gibt einen Normalbetrieb. Dann passiert etwas Außergewöhnliches, die Organisation reagiert darauf und versucht anschließend, wieder in einen stabilen Zustand zurückzukehren.

Je länger ich mir die Entwicklungen der vergangenen Jahre ansehe, desto mehr frage ich mich allerdings, ob diese Trennung noch ausreicht. Denn was passiert, wenn nicht die einzelne Störung außergewöhnlich ist, sondern ein zunehmend volatiles Umfeld selbst zur Normalität wird?

Die Ereignisse ändern sich. Das Muster bleibt.

In der vergangenen Woche wurden neue Details zu mutmaßlichen russischen Aktivitäten gegen europäische Infrastruktur bekannt. NATO-Staaten hatten offenbar bereits im Frühjahr eine mögliche Operation gegen Unterseekabel bei Spitzbergen vereitelt. Rumänien berichtete von einer mutmaßlich russisch koordinierten Ausspäh- und Sabotageoperation. In Deutschland wurden weitere Vorfälle an der Strominfrastruktur untersucht.

Auch in Österreich beschäftigen sich Betreiber kritischer Infrastruktur inzwischen intensiver mit dieser Entwicklung. Die Salzburg AG hat ihre Kontrollen verstärkt. Gleichzeitig gibt es Berichte über eine hohe Zahl von Drohnenflügen im Umfeld kritischer Infrastruktur. Über einige dieser Ereignisse wissen wir inzwischen relativ viel. Bei anderen ist noch völlig offen, was tatsächlich dahintersteckt.

Das alleine ist schon eine Herausforderung für Führung. Wir müssen Entwicklungen ernst nehmen, ohne aus jeder Auffälligkeit sofort eine Bedrohung zu konstruieren. Darüber habe ich in der vergangenen Ausgabe schon ausführlich geschrieben und diesmal beschäftigt mich aber etwas anderes.

Vor einigen Jahren hätten wir viele dieser Ereignisse wahrscheinlich als außergewöhnliche Sicherheitsvorfälle betrachtet. Heute gehören Drohnen, Cyberangriffe, mögliche Sabotageakte oder Desinformation zunehmend zu einem Umfeld, mit dem Organisationen rechnen müssen.

Das bedeutet nicht, dass jeden Tag eine Krise droht, aber die Grundannahmen verändern sich.

Energie ist verfügbar. Aber zu welchem Preis?

Die Eskalation im Nahen Osten hat in der vergangenen Woche die Öl- und Gaspreise deutlich steigen lassen. Gleichzeitig sind die europäischen Gasspeicher schwächer gefüllt als vor einem Jahr. In Österreich lag der Füllstand Anfang September bei rund 67 Prozent, ein Jahr zuvor waren es noch gut 82 Prozent.

Interessant finde ich dabei, wie sich die Fragestellung seit der Energiekrise 2022 verändert hat. Damals stand sehr stark die physische Verfügbarkeit im Mittelpunkt: Haben wir genügend Gas? Können wir unsere Versorgung aufrechterhalten?

Heute ist die Lage wesentlich differenzierter. Energie kann verfügbar sein und trotzdem zu einem Problem für Unternehmen werden. Denn wenn Preise deutlich steigen, verändert das Produktionskosten, Margen und Kalkulationen. Es beeinflusst Investitionsentscheidungen und kann über höhere Inflation und Zinsen noch an ganz anderer Stelle im Unternehmen ankommen.

Eine Krise muss also nicht damit beginnen, dass etwas vollständig ausfällt. Manchmal reicht es, wenn sich die Bedingungen, unter denen wir eine Leistung erbringen, so stark verändern, dass unser bisheriges Modell nicht mehr funktioniert. Und das ist aus meiner Sicht ein wichtiger Punkt für Business Continuity.

Wir konzentrieren uns dort verständlicherweise stark auf die Frage, wie wir kritische Leistungen nach einer Störung aufrechterhalten oder wiederherstellen. Aber vielleicht müssen wir stärker darüber nachdenken, unter welchen veränderten Bedingungen diese Leistungen überhaupt noch sinnvoll erbracht werden können. Ein Produktionsprozess kann technisch verfügbar und wirtschaftlich trotzdem nicht mehr tragfähig sein.

Auch das ist eine Form von Verwundbarkeit.

Zurück zum alten Zustand? Aber zu welchem?

Diese Frage stellt sich auch bei Lieferketten und Logistik. Russland greift weiterhin ukrainische Energie-, Bahn- und Logistikinfrastruktur an. In der vergangenen Woche war auch ein Lastwagen unmittelbar in der Nähe des Grenzübergangs Dorohusk–Jahodyn zwischen Polen und der Ukraine betroffen. Der Übergang musste zeitweise geschlossen werden.

Über die vergangenen Jahre wurden alternative Transportwege aufgebaut und Kapazitäten verlagert. Das erhöht zweifellos die Resilienz. Aber auch hier zeigt sich, dass eine Alternative nicht automatisch dieselbe Leistungsfähigkeit besitzt. Wenn z.B. eine Route ausfällt, weichen Transporte auf andere Verbindungen aus. Dort steigt die Auslastung. Was als Plan B für ein einzelnes Unternehmen gut funktioniert, kann schwieriger werden, wenn plötzlich viele Unternehmen denselben Plan B benötigen. Das gilt übrigens weit über Logistik hinaus.

In einer großflächigen Lage konkurrieren plötzlich viele Organisationen um dieselben Ressourcen und das verändert die Frage, die wir in der Vorsorge stellen sollten.

Es reicht nicht zu wissen, ob eine Alternative vorhanden ist, wir müssen auch verstehen, unter welchen Bedingungen sie noch funktioniert.

Vielleicht ist unser Bild von Normalität zu statisch

Genau an diesem Punkt komme ich wieder zu meiner Ausgangsfrage zurück. Viele unserer Konzepte im Krisenmanagement und Business Continuity basieren darauf, dass wir einen gewünschten Normalzustand definieren.

Wir schützen ihn und eenn er gestört wird, stabilisieren wir. Anschließend stellen wir ihn wieder her. Diese Logik hat ihre Berechtigun, aber sie stößt dort an Grenzen, wo sich Rahmenbedingungen dauerhaft verändern.

Ein Unternehmen kann nach einem Cyberangriff seine Systeme wiederherstellen. Die Bedrohungslage kann danach trotzdem eine andere sein. Oder eine Lieferkette kann nach einer Unterbrechung wieder funktionieren. Der zugrunde liegende geopolitische Konflikt bleibt bestehen. Die Energieversorgung kann gesichert sein. Das frühere Preisniveau kommt möglicherweise trotzdem nicht zurück. Ein Standort kann technisch wieder verfügbar sein. Die Anforderungen an seinen physischen Schutz haben sich inzwischen aber verändert.

Was bedeutet dann eigentlich Wiederherstellung?

Vielleicht geht es manchmal gar nicht darum, möglichst schnell zum Zustand vor der Störung zurückzukehren. Vielleicht müssen wir akzeptieren, dass es Situationen gibt, in denen die Organisation einen neuen stabilen Zustand finden muss. Und genau dort wird Resilienz für mich zunehmend interessant.

Europa macht diese Erfahrung gerade selbst

Die Energiepolitik liefert uns aktuell dafür ein gutes Beispiel. Europa hat seine Abhängigkeit von russischem Gas seit 2022 erheblich reduziert. Das war notwendig und hat die Versorgung breiter aufgestellt. Gleichzeitig ist die Bedeutung von LNG gestiegen. Damit werden andere Transportwege, Terminals und geopolitisch exponierte Regionen wichtiger.

Eine Abhängigkeit wurde reduziert, aber andere gewinnen zunehmend an Bedeutung. Das ist kein Argument gegen Diversifizierung. Im Gegenteil! Es zeigt nur, dass Resilienz kein Zustand ist, den man irgendwann erreicht und anschließend abhakt.

Jede Anpassung verändert das System weiter und damit entstehen neue Abhängigkeiten, neue Verwundbarkeiten und manchmal auch völlig neue Möglichkeiten.

Das gilt im Kleinen genauso für Unternehmen. Die Frage lautet deshalb aus meiner Sicht selten, ob eine Entscheidung resilient oder nicht resilient ist. Die Frage muss daher lauten:

Welche Verwundbarkeit reduzieren wir und welche neue schaffen wir möglicherweise damit?

Digitale Infrastruktur zeigt, wie sehr sich die Ebenen vermischen

Passend dazu zeigt eine aktuelle Capgemini-Befragung, dass große Unternehmen und öffentliche Einrichtungen ihre Abhängigkeit von kritischer digitaler Infrastruktur zunehmend auf Vorstandsebene behandeln. Geopolitische Spannungen, Cyberangriffe, Exportbeschränkungen sowie Cloud- und Halbleiterabhängigkeiten treiben diese Entwicklung.  Das halte ich für konsequent, denn die klassische Einteilung unserer Risiken funktioniert immer schlechter. Denn unsere Organisationen sind nach Fachbereichen aufgebaut, doch die Realität hält sich erstaunlich selten daran.

Vielleicht brauchen wir ein anderes Verständnis von Vorbereitung

Das führt mich zu einer Konsequenz, die ich für Führung wichtig finde. Wenn Unsicherheit, Volatilität und Veränderung stärker zum normalen Unternehmensumfeld gehören, kann Vorbereitung nicht ausschließlich bedeuten, für außergewöhnliche Ereignisse möglichst gute Pläne zu erstellen.

Dann müssen Organisationen auch lernen, ihre eigenen Annahmen regelmäßig zu überprüfen. Welche Rahmenbedingungen setzen wir in unserer Planung eigentlich als gegeben voraus, welche davon haben sich bereits verändert und wo arbeiten wir noch mit einem Bild von Normalität, das möglicherweise gar nicht mehr existiert? Wann erkennen wir, dass Wiederherstellung allein nicht reicht und wir unseren Kurs anpassen müssen?

Das ist aus meiner Sicht der Punkt, an dem Krisenmanagement, Business Continuity und Unternehmensstrategie zusammenkommen. Der Krisenstab kann eine akute Situation bewältigen und Business Continuity kann kritische Leistungen absichern. Aber irgendwann muss Führung entscheiden, ob die Organisation unter den neuen Bedingungen noch mit denselben Annahmen weiterarbeiten kann.

Nicht jede Veränderung ist eine Krise

Mir ist dabei aber ein Punkt ganz wichtig. Ich möchte keinesfalls den Eindruck erwecken, Unternehmen müssten sich aufgrund der aktuellen geopolitischen Lage permanent im Krisenmodus befinden. Das wäre genau das Gegenteil von Resilienz.

Eine Organisation, die jede Veränderung als Krise interpretiert, verbraucht ihre Aufmerksamkeit und Ressourcen dort, wo sie sie vielleicht später wirklich braucht. Die eigentliche Fähigkeit besteht für mich darin, Veränderungen früh genug wahrzunehmen und richtig einzuordnen.

Was ist eine kurzfristige Störung, was können wir im normalen Management bewältigen und was verlangt nach erhöhter Aufmerksamkeit? Und wann verändert sich etwas so grundlegend, dass wir unsere bisherigen Annahmen überprüfen müssen?

Damit sind wir wieder bei einem Thema, das mich in meiner Arbeit immer wieder beschäftigt: Orientierung.

Nicht, weil Führung immer wissen müsste, was als Nächstes passiert, sondern weil Führung erkennen muss, wann der bisherige Kurs nicht mehr zur Lage passt. Vielleicht ist das die eigentliche Herausforderung eines Umfelds, in dem die Ausnahme immer stärker Teil der Normalität wird.

Wir können nicht nach jeder Störung eine neue Organisation bauen, sollten aber auch nicht darauf warten, dass irgendwann alles wieder so wird wie vorher.

Denn manchmal besteht Resilienz gerade darin, rechtzeitig zu erkennen, dass „wie vorher“ gar nicht mehr das richtige Ziel ist. Denn in vielen Fällen führt der Wiederanlauf nach einer Krise nicht zurück, sondern in eine neue und angepasste Normalität

Mich würde deshalb interessieren: Welche Annahme über Ihren heutigen Normalbetrieb würden Sie nur sehr ungern infrage stellen, obwohl die Entwicklung der vergangenen Jahre vielleicht genau das nahelegt?

Führung zeigt sich nicht in ruhigen Zeiten, Führung zeigt sich dann, wenn ein Sturm aufzieht.

#Krisenmanagement #BusinessContinuityManagement #Resilienz #Krisenplaner