Standardisierungsansätze für das Monitoring fluktuierender Bedrohungsprofile im Resilienzmanagement

Zusammenfassung

Unternehmensresilienz wird in der Forschung zunehmend als Fähigkeit beschrieben, Störungen nicht nur zu überstehen, sondern antizipativ zu handeln, wirksam zu reagieren und sich anschließend so anzupassen, dass künftige Verwundbarkeiten sinken (Sabine Duchek, 2020; Julia Hillmann & Edeltraud Guenther, 2021; International Organization for Standardization, 2017). Gleichzeitig zeigen aktuelle Befragungen und Risikoberichte eine anhaltende „Resilienzlücke“ zwischen wachsender Turbulenz und realer organisationaler Handlungsfähigkeit (Gary Hamel & Liisa Välikangas, 2003; World Economic Forum, 2026; PwC, 2023;).

Der vorliegende Beitrag entwickelt – gestützt auf wissenschaftliche Resilienzforschung sowie auf Studien anerkannter Institutionen und Unternehmen – eine Kategorisierung resilienzfordernder Entwicklungen im Unternehmenskontext und nutzt diese konsequent als Strukturierungsrahmen. Auf dieser Basis wird gezeigt, dass sich die relative Dominanz der Kategorien über die letzten Jahrzehnte deutlich verschoben hat: von „Headline“-Schocks (z. B. Terrorismus, Pandemie, Ölpreisschock) in den 2000er-Jahren hin zu überlappenden, systemischen und technologisch beschleunigten Risikodynamiken (z. B. Geoökonomie, Desinformation, KI‑Nebenfolgen) in den 2020er-Jahren (World Economic Forum, 2006, 2020, 2026; World Bank, 2006; Delannoy et al., 2025). Die zentrale Forschungslücke wird daraus abgeleitet: Während Resilienz als Konstrukt und Capability‑Set intensiv diskutiert wird, ist unzureichend erforscht, wie sich die größten Handlungsdefizite im Resilienzmanagement zeitlich und kategorial verschieben – und welche Defizite aktuell (Stand Mitte der 2020er-Jahre) besonders handlungsrelevant sind (Hillmann & Guenther, 2021; Trenton A. Williams et al., 2017; PwC, 2023; World Economic Forum, 2025).

Einleitung

Resilienz ist im Unternehmenskontext weder ein synonymes Etikett für Krisenreaktion noch eine reine „Compliance‑Disziplin“, sondern wird in einflussreichen Arbeiten als strategische Fähigkeit zur fortlaufenden Erneuerung unter Unsicherheit beschrieben (Hamel & Välikangas, 2003). Diese Perspektive passt zu jüngeren Konzeptualisierungen, die Resilienz als mehrphasigen Prozess (Antizipation, Bewältigung, Adaptation) verstehen und damit die zeitliche Dynamik von Störungen in den Mittelpunkt rücken (Duchek, 2020). Zugleich weist die Konstruktentwicklung darauf hin, dass Organisationsresilienz in der Managementforschung häufig uneinheitlich definiert und insbesondere in der Messung noch nicht ausreichend konsolidiert ist (Hillmann & Guenther, 2021).

Parallel zur begrifflichen Reifung hat sich die „Risikoumwelt“ von Unternehmen messbar verändert. In aktuellen globalen Risikoeinschätzungen dominieren auf kurzen Zeithorizonten geopolitische und geoökonomische Risiken (z. B. „Geoeconomic confrontation“ als Top‑Risiko für 2026), während technologische Risiken (u. a. Desinformation, „Adverse outcomes“ von KI, Cyber‑Unsicherheit) an Gewicht gewinnen; langfristig bleiben ökologische Risiken (z. B. Extremwetter, Biodiversitätsverlust) prägend (World Economic Forum, 2026). Bereits 2020 wurde in der gleichen Berichtstradition ein historischer Wendepunkt markiert: Umweltbezogene Risiken dominierten erstmals die langfristige Risikowahrnehmung nach Eintrittswahrscheinlichkeit („environmental concerns dominate the top long‑term risks“) (World Economic Forum, 2020).

Hinzu kommt, dass Manager selbst eine Diskrepanz zwischen Priorität und Umsetzung beschreiben. So berichten in einer weltweiten Befragung 89 % der Teilnehmenden, Resilienz gehöre zu den wichtigsten strategischen Prioritäten; gleichzeitig geben viele an, nicht die notwendigen Schritte zur Implementierung eines integrierten Resilienzprogramms gegangen zu sein; zudem stieg die berichtete Disruptionshäufigkeit gegenüber 2019 stark an (PwC, 2023). In einer branchenübergreifenden Befragung des Resilience‑Konsortiums fühlen sich 84 % der Unternehmen auf künftige Disruptionen unzureichend vorbereitet, und nur 13 % integrieren Resilienz‑KPIs umfassend in ihre Strategien (World Economic Forum, 2025).

Aus dieser Lage ergeben sich drei Leitfragen dieses Beitrags:

• (a) Gegen welche Kategorien resilienzfordernder Entwicklungen müssen Unternehmen Resilienz entwickeln?
• (b) Wie haben sich diese Kategorien über die letzten Jahrzehnte in ihrer Relevanz verschoben?
• (c) Welche größten Handlungsdefizite zeigen Unternehmen im Resilienzmanagement – geordnet nach diesen Kategorien?

Im Zentrum steht die Forschungslücke, dass Defizite nicht statisch sind, sondern sich mit dem Wandel der Risikolandschaft verschieben, während Forschung wie Praxis häufig mit (implizit) zeitlosen Defizitlisten arbeiten (Williams et al., 2017; Hillmann & Guenther, 2021).

Methodik

Der Beitrag folgt einer evidenzorientierten, integrativen Literatur- und Studienrecherche, die

• (i) wissenschaftliche Kernliteratur zur Organisations- und Supply‑Chain‑Resilienz sowie (
• ii) aktuelle Studien anerkannter Institutionen und Beratungsunternehmen trianguliert.

Für die wissenschaftliche Synthese wurden Prinzipien systematischer Reviews im Managementbereich zugrunde gelegt, insbesondere Transparenz, Reproduzierbarkeit und die explizite Begründung von Ein- und Ausschlusskriterien (Tranfield et al., 2003).

Für die institutionelle Evidenz wurden globale Risiko- und Resilienzberichte sowie Sektor‑/Themenreports herangezogen, die

• (a) Risikoexpositionen und Wahrnehmungsverschiebungen über Zeit dokumentieren (z. B. World Economic Forum, 2006, 2020, 2026),
• (b) unternehmensseitige Reifegrade, Lücken und Prioritäten empirisch erheben (z. B. PwC, 2023; Deloitte, 2023; Business Continuity Institute, 2024a, 2024b), oder
• (c) domänenspezifische normative Referenzrahmen bereitstellen (z. B. International Organization for Standardization, 2017, 2018, 2019; National Institute of Standards and Technology, 2024).

Die Auswertung erfolgte als thematische Synthese entlang des im nächsten Abschnitt entwickelten Kategorienschemas; Defizite wurden jeweils als wiederkehrende Muster aus

• (i) berichteten Reifegradlücken,
• (ii) fehlender Integration/Steuerung und
• (iii) fehlenden Fähigkeiten in den Resilienzphasen Antizipation–Bewältigung–Adaptation codiert (Duchek, 2020; PwC, 2023).

Kategorisierung resilienzfordernder Entwicklungen

Auf Basis der Organisationsresilienzforschung (Duchek, 2020; Hillmann & Guenther, 2021), der Standardperspektive organisationaler Resilienzattribute (International Organization for Standardization, 2017) sowie der empirischen Global‑Risk‑Taxonomien und Unternehmensbefragungen (World Economic Forum, 2020, 2026; PwC, 2023) wird folgende Kategorisierung resilienzfordernder Entwicklungen vorgeschlagen. Sie ist so konstruiert, dass sie

• (a) exogene Treiber (Makroebene),
• (b) deren Übersetzung in betriebliche Störungen (Meso‑/Ökosystemebene) und
• (c) die daraus resultierenden Steuerungsanforderungen in Unternehmen abbildet.

Geopolitische und regulatorische Entwicklungen.
Dazu zählen geoökonomische Konfrontationen, Sanktionen, Handels‑/Industriepolitik, Rechtsunsicherheit und konfliktgetriebene Fragmentierung, die Investitions- und Lieferkettenentscheidungen sowie „license to operate“ beeinflussen (World Economic Forum, 2026; KPMG, 2025).

Makroökonomische und finanzielle Entwicklungen.
Hierzu gehören Konjunkturabschwünge, Inflation, Verschuldungsdynamiken und Asset‑Preisrisiken, die Kapitalzugang, Nachfrage und Kostenstrukturen verschieben (World Economic Forum, 2026; PwC, 2023).

Technologische und datenbezogene Entwicklungen.
Diese Kategorie umfasst Cyber‑Unsicherheit, digitale Fragmentierung, Informationsintegrität (z. B. Desinformation), sowie Risiken und Nebenfolgen von KI‑Technologien; sie wirken sowohl als direkte Störungen als auch als Verstärker anderer Kategorien (World Economic Forum, 2020, 2026; ENISA, 2025; National Institute of Standards and Technology, 2024).

Ökologische und klimatische Entwicklungen.
Dazu zählen Extremwetter, physische Klimarisiken, Biodiversitätsverlust und Ressourcen-/Ökosysteminstabilitäten mit Auswirkungen auf Standorte, Gesundheit, Infrastruktur und Lieferketten (World Economic Forum, 2020, 2026; IPCC, 2022).

Soziale, demografische und arbeitsmarktbezogene Entwicklungen.
Diese Kategorie umfasst gesellschaftliche Polarisierung, Ungleichheit, Fachkräfte-/Skill‑Knappheit, Gesundheits‑ und Sicherheitsdynamiken sowie „Workforce preparedness“, die direkt in Leistungsfähigkeit, Kultur und Implementierbarkeit von Resilienzmaßnahmen übersetzen (World Economic Forum, 2026; PwC, 2023; World Economic Forum, 2025).

Operative Ökosystem- und Wertschöpfungsentwicklungen.
Darunter fallen Störungen, die durch Vernetzung, Outsourcing, „Just‑in‑Time“-Architekturen, kritische Infrastrukturen und Third‑Party‑Abhängigkeiten entstehen oder verschärft werden. Diese Kategorie bildet die betriebliche „Transmissionsebene“, auf der exogene Risiken zu operativen Ausfällen werden (Martin Christopher & Helen Peck, 2004; Yossi Sheffi, 2005; Deloitte, 2023; OECD, 2025).

Historischer Wandel der Kategorien

Die Kategorien selbst sind konzeptionell stabil (politisch, ökonomisch, technologisch, ökologisch, sozial, operativ‑ökosystemisch), doch ihre relative Dominanz, ihre Kopplungen und die Art ihrer Manifestation haben sich über die letzten Jahrzehnte deutlich verschoben. Drei Trends sind dabei besonders relevant:

• (1) von diskreten „Headline“-Schocks zu überlappenden, kumulativen „polykrisenhaften“ Dynamiken;
• (2) von lokaleren Störungen zu globalen Kaskaden über Lieferketten und Dateninfrastrukturen;
• (3) von Risiko als Ereignis hin zu Risiko als dauerhaftem Governance‑Problem (World Economic Forum, 2020, 2026; Delannoy et al., 2025; PwC, 2023).

2000er-Jahre: Dominanz hochwirksamer Schocks und beginnende Systemrisiken.
In den frühen Global‑Risk‑Analysen der 2000er Jahre dominierten Terrorismus- und Pandemieszenarien die Risikowahrnehmung; zugleich waren Ölpreisschocks und Klimathemen als zentrale Szenarien präsent (World Economic Forum, 2006; World Bank, 2006). Parallel entstand in der Supply‑Chain‑Forschung früh die Diagnose, dass Global Sourcing und „leaning‑down“ die Verwundbarkeit erhöhen und Resilienz als Gestaltungsthema von Netzwerken erforderlich machen (Christopher & Peck, 2004).

2010er-Jahre bis frühe 2020er: Ökologie, Digitalisierung und gesellschaftliche Spannungen werden strukturell.
Um 2020 wurde im Rahmen globaler Risikoerhebungen ein klarer Strukturbruch dokumentiert: Umweltbezogene Risiken dominierten erstmals die langfristigen Top‑Risiken nach Eintrittswahrscheinlichkeit; zugleich wurden digitale Fragmentierung und Cyber‑Unsicherheit explizit als bedeutende Risikofelder hervorgehoben, ergänzt um wachsende Stressoren in Gesundheitssystemen (World Economic Forum, 2020). Dass die Pandemie als Risiko „lange vorher“ adressiert wurde, wurde nach COVID‑19 erneut betont – als Beispiel dafür, dass Ignorieren langfristiger Risiken deren Eintritt nicht verhindert (World Economic Forum, 2021).

Mitte der 2020er: Geoökonomie und Informations-/KI‑Risiken rücken in den Vordergrund.
Für 2026 werden geoökonomische Konfrontationen als häufigster Trigger einer materiellen globalen Krise benannt; zusätzlich steigen technologische Risiken in der Rangordnung, einschließlich Desinformation, „Adverse outcomes of AI technologies“ und Cyber‑Unsicherheit (World Economic Forum, 2026). Dieser Shift korrespondiert mit empirischen Indikatoren zunehmender handelspolitischer Interventionen: In einem geopolitischen Risikoreport wird für 2024 ein Anstieg „harmful trade interventions“ auf 3.418 (vs. 500 ein Jahrzehnt zuvor) genannt; zugleich berichten nur 15 % starke Zuversicht, tarifbezogene Komplexität effektiv zu managen (KPMG, 2025).

Konsequenz für Unternehmensresilienz:
Während Resilienzmanagement in den 2000ern häufig auf Business Continuity, physische Sicherheit und punktuelle Krisenpläne fokussierte, erzwingt die heutige Risikokonstellation stärker integrierte, datengetriebene und netzwerkorientierte Ansätze. Studien zur Lieferkettenresilienz zeigen, dass geopolitische Spannungen, Konzentrationen und wirtschaftlicher Zwang neue Unsicherheiten erzeugen und dass eine Balance zwischen Effizienzgewinnen globaler Märkte und Resilienzzielen erforderlich ist (OECD, 2025). Gleichzeitig wird Unternehmensseitig eine Zunahme erlebter Disruptionen gemeldet (PwC, 2023) – ein Hinweis darauf, dass Resilienzanforderungen nicht nur „neue Risiken“ addieren, sondern operative Belastungsprofile verschieben.

Handlungsdefizite im Resilienzmanagement nach Kategorien

Im Folgenden werden die größten Handlungsdefizite je Kategorie herausgearbeitet. „Größte“ Defizite werden dabei als solche verstanden, die

• (a) in mehreren hochwertigen Quellen konsistent erscheinen,
• (b) als „foundational“ bzw. Voraussetzung für Wirksamkeit anderer Maßnahmen gelten und
• (c) auf aktuellen Zeithorizonten (2020–2026) besonders häufig als Lücke berichtet oder impliziert werden (PwC, 2023; World Economic Forum, 2025; Business Continuity Institute, 2024a; Deloitte, 2023).

Geopolitische und regulatorische Entwicklungen – Defizite
Erstens besteht häufig ein Defizit an strategischer Vorausschau und Szenario‑Operationalisierung für Geoökonomie: Wenn geoökonomische Konfrontation als Top‑Risiko gilt, reicht „Monitoring“ nicht aus; erforderlich wären übersetzte Handlungsoptionen (z. B. Sourcing‑Re‑Design, Markt‑/Footprint‑Strategien, Vertrags‑ und Compliance‑Architekturen) (World Economic Forum, 2026; OECD, 2025). Zweitens ist die organisatorische Fähigkeit zur tarif- und sanktionsbedingten Re‑Konfiguration oft schwach, was sich in geringer Zuversicht bei konkreten Tarif‑Komplexitäten zeigt (KPMG, 2025). Drittens bleibt geopolitische Resilienz vielfach vom operativen Ökosystem entkoppelt: „Unstable supply chains“ und „weaponization of supply chains“ werden als systemische Verstärker genannt, aber Governance‑Mechanismen zur Kopplung von Geostrategie, Lieferkettenmapping und Risikoappetit sind häufig nicht ausgereift (World Economic Forum, 2026; Deloitte, 2023).

Makroökonomische und finanzielle Entwicklungen – Defizite
Erstens wird finanzielle Resilienz in vielen Organisationen nicht als integrierter Bestandteil eines unternehmensweiten Resilienzprogramms gemanagt, obwohl aktuelle Frameworks „financial resilience“ explizit neben strategischer und operativer Resilienz verorten (PwC, 2023). Zweitens deutet die starke Rangverschiebung ökonomischer Risiken im kurzfristigen Ausblick (u. a. Anstieg von „economic downturn“ und „inflation“) darauf hin, dass adaptive Stress‑Testing‑ und Portfolio‑Mechanismen in Unternehmen nicht mit der Dynamik makroökonomischer Regimewechsel Schritt halten (World Economic Forum, 2026). Drittens besteht ein Defizit in der Übersetzung makroökonomischer Volatilität in konkrete Impact‑Toleranzen und Entscheidungsregeln (z. B. Mindestliquidität pro kritischem Service, Trigger‑based Capex‑Stop/Shift), wie sie in operational‑resilience‑Konzepten regulatorisch vorgeprägt sind (Bank of England, 2026).

Technologische und datenbezogene Entwicklungen – Defizite
Erstens zeigt sich ein Reifegraddefizit in „Resilience‑by‑design“ für Technologie: Ein technologischer Resilienzansatz erfordert Architektur‑ und Betriebsprinzipien (Sichtbarkeit über den Stack, Recovery‑Fähigkeit, Validierung), die in vielen Organisationen nicht durchgängig etabliert sind; in einer Technologie‑Resilienzbefragung wird z. B. berichtet, dass ein relevanter Anteil keine Pläne für „bare‑metal recovery“ hat (McKinsey, 2023). Zweitens bleibt Cyber‑Resilienz häufig fragmentiert zwischen Security, IT‑Betrieb, BCM und Lieferkette, obwohl normative Rahmen (z. B. NIST CSF 2.0) explizit Governance, Risiko‑Integration und Supply‑Chain‑Cyber‑Risk‑Management adressieren (National Institute of Standards and Technology, 2024). Drittens verschärfen KI‑und Informationsintegritätsrisiken die Lage: Global‑Risk‑Einschätzungen führen Desinformation und KI‑Nebenfolgen in den oberen Rängen (World Economic Forum, 2026), während Resilienzpraktiker gleichzeitig signalisieren, dass KI in Resilienzaktivitäten häufig (noch) als „nicht wichtig“ eingeschätzt wird – ein Indikator für Umsetzungs- und Kompetenzlücken bei gleichzeitig wachsendem Angriffs-/Risikopotenzial (Business Continuity Institute, 2024b; ENISA, 2025).

Ökologische und klimatische Entwicklungen – Defizite
Erstens ist die Lücke bei Adaptationsinvestitionen zentral: Unternehmen berichten erhebliche physische Umweltrisiken, doch nur ein kleiner Anteil weist Adaptationsinvestitionen aus, was auf eine strukturelle Implementierungslücke zwischen Risikoerkenntnis und Resilienzaufbau hindeutet (CDP, 2026). Zweitens liegt ein Defizit in der systematischen Verknüpfung wissenschaftlicher Klimarisikoerkenntnisse mit Standort‑ und Wertschöpfungsentscheidungen, obwohl die Klimawirkungsforschung bereits für die Gegenwart weitreichende Risiken und Anpassungsgrenzen beschreibt (IPCC, 2022). Drittens wird Klimarisiko zwar in globalen Risikoberichten als langfristig dominierend beschrieben, bleibt aber kurzfristig häufig hinter geopolitischen und ökonomischen Prioritäten zurück – was die Gefahr reaktiver statt vorausschauender Anpassung erhöht (World Economic Forum, 2026; World Economic Forum, 2020).

Soziale, demografische und arbeitsmarktbezogene Entwicklungen – Defizite
Erstens besteht ein Defizit in „people readiness“ als Resilienzkern: Resilienzprogramme hängen stark von Führung, Kultur und Kompetenzaufbau ab, werden jedoch oft nicht in dieser Tiefe strategisch verankert (World Economic Forum, 2025). Zweitens zeigen Befragungen, dass Talent-/Skill‑Themen als zentrale Bedrohungs- bzw. Sorgenfelder auftreten (z. B. „employee retention and recruitment“), was auf einen Engpass in der Fähigkeit zur Aufrechterhaltung kritischer Leistungen unter Personalmarktstress hindeutet (PwC, 2023). Drittens wirkt gesellschaftliche Polarisierung als Kontextfaktor: Wenn Polarisierung, Ungleichheit und Erosion von Rechten als relevante soziale Risiken benannt werden, steigen Anforderungen an Kommunikationsfähigkeit, Stakeholder‑Management und interne Kohäsion; diese Aspekte sind in klassischen Resilienzinstrumenten (BCM/DR) oft unterrepräsentiert (World Economic Forum, 2026; World Economic Forum, 2020).

Operative Ökosystem- und Wertschöpfungsentwicklungen – Defizite
Erstens ist mangelnde Transparenz über Abhängigkeiten („dependency mapping“) ein wiederkehrendes Defizit: In integrierten Resilienzprogrammen sind Kernbausteine wie Mapping, Risk/Threat‑Assessment und Exercising deutlich weiter entwickelt als in nicht‑integrierten Programmen – was impliziert, dass die Basiskompetenz „Wissen, wovon kritische Services abhängen“ in vielen Organisationen noch nicht robust ist (PwC, 2023). Zweitens zeigt Third‑Party‑Risk‑Evidenz, dass Governance‑ und Datentechniken zur Segmentierung und kontinuierlichen Überwachung häufig unzureichend sind: Ein erheblicher Anteil segmentiert Drittparteien nicht formal nach Risiko; Budgets steigen zudem nicht im gleichen Maße wie die Komplexität, obwohl Cyber-/Informationssicherheitsrisiken als Top‑Third‑Party‑Risiko genannt werden (Deloitte, 2023). Drittens besteht eine Reifegradlücke in ganzheitlicher „operational resilience“: In Praxisreports wird explizit beschrieben, dass Krisenmanagement idealerweise in ein breiteres operational‑resilience‑Modell übergehen sollte, das Risiko‑, Emergency‑ und Business‑Continuity‑Management verbindet (Business Continuity Institute, 2024a). Normativ spiegeln sich ähnliche Anforderungen im regulatorischen Verständnis von operational resilience wider, das Mapping, Testing und Lernen aus Disruptionen als Kernelemente definiert (Bank of England, 2026).

Implikationen für das Monitoring von Bedrohungsprofilen

Die Risikolandschaft verschiebt sich nachweislich über Zeiträume von Jahrzehnten (World Economic Forum, 2006, 2020, 2026; World Bank, 2006). Unternehmen berichten zugleich steigende Disruptionserfahrung und unzureichende Implementierung integrierter Resilienzprogramme (PwC, 2023; World Economic Forum, 2025). Daraus folgt, dass „die größten Defizite“ nicht zeitlos sein können: In den 2000ern standen etwa Terrorismus-/Pandemie‑ und Ölpreisschock‑Szenarien im Vordergrund, während Mitte der 2020er Geoökonomie, Informationsintegrität, KI‑Nebenfolgen und Cyber‑Kampagnen als prioritäre Risiken erscheinen; gleichzeitig treten neue Lücken (z. B. Adaptationsinvestitionen, KPI‑Integration, KI‑Governance im Resilienzbetrieb) stärker hervor (World Economic Forum, 2026; CDP, 2026; Business Continuity Institute, 2024b).

Trotz intensiver Konzeptarbeit bleibt dieser zeitvariable Defizitwandel in der Forschung unterbelichtet. Erstens fokussiert ein relevanter Teil der Resilienzliteratur auf Definitions‑ und Messprobleme, was zwar notwendig ist, aber die dynamische Defizitdiagnostik in der Praxis nur indirekt adressiert (Hillmann & Guenther, 2021). Zweitens zeigen Integrationsarbeiten zwischen Krisenmanagement und Resilienz, dass das Zusammenspiel als Prozess unter Zeitdruck, Komplexität und „mindfulness“ zwar theoretisch gefasst wird, empirische Längsschnitt‑Evidenz zu „welche Defizite wann dominieren“ jedoch begrenzt bleibt (Williams et al., 2017). Drittens sind Praxisstudien zwar datenreich, aber häufig quer‑/momentanitätsorientiert; genau hier entsteht eine Forschungslücke, die wissenschaftlich anschlussfähig ist: die Entwicklung eines longitudinalen, kategorialen „Resilience Capability Gap Monitor“, der Defizite (Antizipation–Bewältigung–Adaptation) systematisch nach Risikokategorie und Zeit abbildet (Duchek, 2020; PwC, 2023).

Aus dieser Lücke lassen sich drei konkrete Forschungsimplikationen ableiten. Erstens braucht es Panel‑Designs, die Resilienzfähigkeiten und -defizite wiederholt messen und mit externen Schockprofilen (z. B. Risikoberichte, Incident‑Datensätze, Lieferkettenstress‑Indizes) verknüpfen, um Defizitverschiebungen kausal plausibler zu erklären (OECD, 2025; ENISA, 2025). Zweitens sollte die operational‑resilience‑Perspektive genutzt werden, um Resilienz nicht abstrakt, sondern entlang kritischer Services, Abhängigkeiten und Impact‑Toleranzen zu operationalisieren – und diese Operationalisierung dann kategorienspezifisch zu variieren (Bank of England, 2026; International Organization for Standardization, 2019). Drittens ist die Rolle von Governance‑Frameworks als „Übersetzungsartefakte“ zu untersuchen: Wie verändern Standards und Referenzmodelle (z. B. ISO‑Resilienz/BCM, NIST CSF 2.0, COSO‑ERM) die Defizitlandschaft – und verschieben sie Defizite von Technik/Prozess hin zu Kultur/Strategie (International Organization for Standardization, 2017, 2018; National Institute of Standards and Technology, 2024; COSO, 2017)?