Zusammenfassung
Organisatorische Resilienz wird in Forschung, Standards und Regulierung zunehmend als Managementaufgabe verstanden, die Antizipation, Bewältigung und Anpassung in einem koordinierten, lernenden System verbindet (Duchek, 2020; International Organization for Standardization, 2017; Williams et al., 2017). Vor dem Hintergrund einer sich verdichtenden und gegenseitig verstärkenden globalen Risikolandschaft (World Economic Forum, 2026) und persistenter Unternehmensrisiken wie Cybervorfällen und Betriebsunterbrechungen (Allianz Commercial, 2026) stellt sich die Leitfrage dieses Beitrags: Wie hoch sind Handlungsdefizite bei der Herstellung organisatorischer Resilienz in Unternehmen und wodurch werden sie erklärt?
Die Synthese internationaler wissenschaftlicher Literatur sowie globaler und sektoraler Erhebungen zeigt konsistent: Handlungsdefizite sind nicht randständig, sondern betreffen zentrale Voraussetzungen wie Governance und Top-Management-Sponsoring, funktionsübergreifende Integration, belastbares Üben/Trainieren, Transparenz über kritische Abhängigkeiten (insbesondere in Lieferketten) sowie die Institutionalisierung von Lernen. Empirische Proxys verdeutlichen die Größenordnung: In einer globalen Resilienz-Erhebung berichten „nur etwa ein Drittel“ der Befragten von vorhandenen grundlegenden Resilienz-Elementen (PwC, 2023). In einer globalen Lieferketten-Erhebung geben lediglich rund ein Viertel der befragten Unternehmen an, formalisierte Prozesse zur Board-Level-Befassung mit Supply-Chain-Risiken zu haben (McKinsey & Company, 2024). In der Krisenmanagement-Praxis zeigt sich zudem, dass durchschnittlich nur rund zwei Drittel der Mitglieder von Krisenteams eine Krisenmanagement-Schulung erhalten haben (Business Continuity Institute, 2024). Insgesamt ergibt sich ein Bild substanzieller, häufig 30–70% umfassender Lücken (je nach Resilienzbaustein, Sektor und Reifegrad), die sich in „ruhigen“ Phasen tendenziell verfestigen und in Phasen neuer Gefahrenmomente zwar Aufmerksamkeit erzeugen, jedoch nicht automatisch zu nachhaltiger Institutionalisierung führen (McKinsey & Company, 2024; PwC, 2023).
Einleitung und Forschungsfrage
Die letzten Jahre markieren eine Phase, in der Risiken häufiger gleichzeitig auftreten, sich gegenseitig verstärken und dadurch operative, finanzielle, technologische und gesellschaftliche Folgenketten erzeugen (World Economic Forum, 2026). In dieser Lage verschiebt sich der Maßstab organisationaler Leistungsfähigkeit: Nicht allein Effizienz, sondern robuste Leistungsfähigkeit unter Störung wird wettbewerbskritisch (Allianz Commercial, 2026; Sheffi & Rice, 2005). Parallel nimmt der Druck aus Governance- und Regulierungslogiken zu, etwa durch Anforderungen an Cyber- und operative Resilienz in kritischen Sektoren (European Commission, 2026; European Union, 2022; European Insurance and Occupational Pensions Authority, 2025).
Trotz hoher Aufmerksamkeit bleibt in Praxisstudien ein wiederkehrendes Muster sichtbar: Resilienz wird als strategische Priorität anerkannt, aber nicht in vergleichbarer Tiefe operationalisiert. So berichten Organisationen in einer Erhebung nahezu flächendeckend über erlebte Disruptionen in den letzten zwei Jahren, während gleichzeitig grundlegende Resilienzelemente häufig fehlen bzw. integrierte Programme nicht konsequent umgesetzt werden (PwC, 2023).
Aus dieser Spannung folgt die zentrale Forschungsfrage dieses Artikels:
Wie hoch sind Handlungsdefizite bei der Herstellung organisatorischer Resilienz, in welchen Dimensionen konzentrieren sie sich, und hängt ihr Umfang von der zeitlichen Inzidenz neuer Gefahrenmomente ab?
Theoretische Grundlagen und methodisches Vorgehen
In der Managementforschung wird organisatorische Resilienz häufig als Fähigkeit beschrieben, negative Ereignisse nicht nur zu überstehen, sondern Funktionen zu stabilisieren und sich an veränderte Bedingungen anzupassen. Ein einflussreicher Ansatz versteht Resilienz als Meta-Fähigkeit mit aufeinanderfolgenden Phasen Antizipation, Bewältigung und Anpassung, die jeweils spezifische Fähigkeiten bündeln (Duchek, 2020).
Zugleich ist die Resilienzforschung durch Konzeptvielfalt geprägt: Reviews zeigen, dass Resilienz in unterschiedlichen Forschungssträngen und Ebenen (Individuum, Team, Organisation, Supply Chain) unterschiedlich operationalisiert wird, was Messung und Vergleichbarkeit erschwert (Hillmann & Guenther, 2021; Linnenluecke, 2017). Diese Unschärfe ist nicht nur ein theoretisches Problem, sondern wirkt praktisch: Uneinheitliche Definitionen begünstigen „Silo-Resilienz“ (z. B. nur BCM oder nur Cyber), ohne dass ein integriertes System entsteht (Hillmann & Guenther, 2021; Linnenluecke, 2017).
Zur Verbindung von Resilienz und Krisenmanagement argumentiert die Literatur, dass beide Forschungsstränge erklärungskräftiger werden, wenn Krise nicht nur als singuläres Ereignis, sondern als Prozess mit Vor-, Während- und Nachphase modelliert wird. Integrative Arbeiten zeigen dabei, dass Resilienz und Krisenmanagement unterschiedliche, aber komplementäre Mechanismen adressieren: Prävention/Antizipation, akute Reaktion/Koordination, sowie Lernen/Transformation (Bundy et al., 2017; Williams et al., 2017).
Methodisch basiert dieser Beitrag auf einer narrativ-systematischen Synthese internationaler, weltweit verfügbarer Quellen in zwei Klassen:
- (a) wissenschaftliche Literatur (Peer-Review-Artikel, Bücher/Book-Chapters) zur Konzeptualisierung und zu Fähigkeits- bzw. Prozessmodellen;
- (b) Studien und Reports anerkannter Institutionen und Unternehmen (globale Risiko- und Resilienz-Surveys, Branchenreports, Standards und Regulierungsquellen).
Die Analyse folgt einer Gap-Logik: Anforderungen (aus Theorie/Standards/Regulierung) werden beobachteten Umsetzungsständen (aus Surveys/Reports) gegenübergestellt, um Handlungsdefizite sowohl qualitativ (Defizittypen) als auch über verfügbare Proxys (Anteile, Reifegrade, Abdeckungsgrade) zu bestimmen.
Anforderungen an organisatorische Resilienz
Resilienz als koordiniertes Managementsystem
Ein internationaler Standard beschreibt organisatorische Resilienz als Fähigkeit, in einem sich verändernden Umfeld zu absorbieren und anzupassen, um Ziele zu erreichen sowie zu überleben und zu prosperieren; Resilienz wird dabei explizit als Ergebnis einer Interaktion strategischer und operativer Faktoren verstanden, ohne „absolutes“ Endziel, sondern als mehr-oder-weniger resilient (International Organization for Standardization, 2017). Die gleichen Leitlinien betonen, dass einzelne Managementdisziplinen (z. B. Risiko, BCM, Security) jeweils beitragen, aber isoliert nicht ausreichen, um Resilienz zu sichern; erforderlich ist vielmehr Integration, Koordination und kontinuierliche Verbesserung (International Organization for Standardization, 2017).
Daraus folgt ein Mindestanforderungsprofil: Resilienzmanagement verlangt
- (i) Zweckklarheit und gemeinsame Vision,
- (ii) Kontextverständnis (intern/extern) und Stakeholder-/Abhängigkeitsanalyse,
- (iii) empowerte Führung und resilienzstützende Kultur,
- (iv) geteilte Information und Wissen,
- (v) Ressourcenverfügbarkeit (inkl. Redundanzen/Slack),
- (vi) Entwicklung/Koordination relevanter Managementdisziplinen und
- (vii) institutionalisierte Evaluation, Monitoring, Reporting und Verbesserungslogik (International Organization for Standardization, 2017).
Operative Resilienz, Business Continuity und cyberbezogene Resilienz
In der Praxis werden Resilienzanforderungen häufig über Managementsysteme operationalisiert. Für Business Continuity definiert ein internationaler Standard Anforderungen an ein Business-Continuity-Managementsystem (BCMS) als strukturierten Rahmen, um Kontinuität sicherzustellen und Störungen zu managen (International Organization for Standardization, 2019).
Für Cyber-Resilienz konkretisiert ein US-Standardrahmen (CSF 2.0) Cybersecurity-Risikomanagement als organisationsweit anschlussfähiges System, das unabhängig vom Reifegrad nutzbar ist und insbesondere Governance und Integrationsfähigkeit betont; der Rahmen strukturiert Outcomes entlang zentraler Funktionen und zielt auch darauf, Lücken zu bestimmen und Fortschritt zu bewerten (National Institute of Standards and Technology, 2024).
Parallel dazu wird Resilienz zunehmend regulatorisch eingefordert. In der EU gelten erweiterte Verpflichtungen zur Cybersicherheit und Meldung/Umsetzung (NIS2), die von den Mitgliedstaaten in nationales Recht zu transponieren sind (European Commission, 2026). Für kritische Einrichtungen werden Resilienzpflichten durch die CER-Richtlinie verschärft; die Transpositions- und Anwendungsdaten sind europarechtlich festgelegt (European Union, 2022).
Im Finanzsektor adressiert eine EU-Regelung explizit digitale operationale Resilienz und gilt seit einem festgelegten Stichtag; sie zielt auf die Fähigkeit, IKT-bezogene Störungen zu widerstehen, zu reagieren und sich zu erholen (European Insurance and Occupational Pensions Authority, 2025). Auch nationale bzw. sektorale Aufsichten definieren operative Resilienz als Fähigkeit, Störungen zu verhindern, sich anzupassen, zu reagieren, zu erholen und zu lernen, verbunden mit Anforderungen an Mapping und Testing innerhalb definierter Impact-Toleranzen (Financial Conduct Authority, 2024; Financial Conduct Authority, 2026).
Lieferketten- und Interdependenzanforderungen
Ein wiederkehrender Punkt in Resilienzkonzepten ist die Steuerung von Interdependenzen. Eine einflussreiche Perspektive aus der Supply-Chain-Forschung beschreibt Resilienz als Fähigkeit, Vulnerabilität zu reduzieren, indem sowohl die Eintrittswahrscheinlichkeit von Störungen als auch die Erholungsfähigkeit adressiert werden; operativ wird dies oft als Trade-off zwischen Redundanz (kostenträchtig, aber schockabsorbierend) und Flexibilität (häufig auch im Normalbetrieb wertstiftend) gefasst (Sheffi & Rice, 2005).
Empirischer Befund und Handlungsdefizite
Evidenz zur Größenordnung: Disruptionen hoch, Grundlagen oft niedrig
Empirische Surveys deuten auf einen paradoxen Befund: Disruptionen sind nahezu allgegenwärtig, die „Basisausstattung“ organisationaler Resilienz jedoch häufig unzureichend. In einer Resilienz-Erhebung berichten Organisationen in sehr hohem Umfang über Disruptionserfahrungen in einem kurzen Zeitraum; zugleich wird hervorgehoben, dass vielen Organisationen grundlegende Resilienz-Elemente fehlen und integrierte Resilienzprogramme nicht durchgehend implementiert sind (PwC, 2023).
Für die Beantwortung der Frage „wie hoch“ sind Defizite, sind Proxys aus Surveys zentral. Zwei besonders belastbare, international anschlussfähige Indikatoren sind:
- Erstens: Eine globale Resilienz-Erhebung berichtet eine „confidence gap“-Konstellation, in der trotz hoher Zuversicht nur rund ein Drittel der Befragten angibt, über angemessene grundlegende Resilienz-Elemente zu verfügen (PwC, 2023).
- Zweitens: In einer globalen Supply-Chain-Erhebung wird eine Governance-Lücke an der Spitze sichtbar: Nur etwa ein Viertel der Befragten berichtet formalisierte Prozesse zur Diskussion von Lieferkettenfragen auf Board-Level; zusätzliche Kennzahlen zeigen Defizite in tiefer Lieferkettentransparenz, in der Compliance-Umsetzungsrate sowie in Talentverfügbarkeit (McKinsey & Company, 2024).
Diese Befunde legen nahe, dass Handlungsdefizite weniger in der Problemwahrnehmung, sondern in der konsequenten Systembildung (Governance, Integration, Ressourcen, Routinen) liegen.
Governance- und Integrationsdefizite
In der Praxis sind Resilienzprogramme häufig nicht vollintegriert und werden nicht konsistent durch die Unternehmensspitze getragen. Ein Proxy dafür ist die ausgewiesene CEO-Unterstützung von Resilienzprogrammen, die in einer Erhebung deutlich unter einer Vollabdeckung liegt; zugleich wird betont, dass ohne klares Mandat, Verantwortlichkeit und Teamaufstellung Resilienzprogramme in Silos verbleiben (PwC, 2023).
Auch in der Krisenmanagement-Praxis zeigen sich Integrationsprobleme: In einer internationalen Krisenmanagement-Erhebung stimmen relevante Anteile der Befragten nicht zu, dass Krisenstrategie organisationsweit geteilt oder dass umfassende, detaillierte Planwerke für die meisten Szenarien vorhanden sind; zugleich sind digitale Kollaborationsfähigkeiten (z. B. virtuelle Krisenräume) nicht flächendeckend etabliert (Business Continuity Institute, 2024).
Die Lieferkettenperspektive verstärkt den Governance-Befund: Selbst wenn operative Fortschritte erzielt werden (z. B. Dual Sourcing/Regionalisierung), bleibt Board- und Senior-Management-Verankerung begrenzt; zudem sinkt die Formalisierung regelmäßiger Risiko-Reporting-Routinen in der Spitze wieder, was eine institutionelle Fragilität der Governance nahelegt (McKinsey & Company, 2024).
Fähigkeitsdefizite in Training, Üben und Reaktionsroutine
Resilienz als Meta-Fähigkeit setzt nicht nur Prozesse, sondern eingeübte Arbeitsweisen voraus. Die Krisenmanagement-Erhebung weist aus, dass im Durchschnitt nur rund 68% der Mitglieder von Krisenmanagement-Teams eine Krisenmanagement-Schulung erhalten haben; zugleich wird Training als zentraler Faktor hervorgehoben, weil Menschen unter Stress zu gewohnten (nicht zwingend effektiven) Mustern zurückkehren (Business Continuity Institute, 2024).
Zwar zeigen sich positive Elemente wie die Verbreitung von Post-Incident/After-Action-Reviews; dennoch ist „immer“ durchgeführtes Lernen nicht universal, und die Heterogenität der Praxis deutet auf unterschiedlich stark institutionalisiertes Lernen hin (Business Continuity Institute, 2024).
Defizite in Abhängigkeits- und Transparenzsteuerung
Resilienz erfordert Transparenz über kritische Abhängigkeiten. In der globalen Supply-Chain-Erhebung wird eine Verschiebung sichtbar: Tier-1-Transparenz steigt, während tiefere Lieferkettenebenen (Tier 2/3) weniger gut verstanden werden; gleichzeitig wird betont, dass viele schwere Disruptionen gerade in tieferen Stufen beginnen (McKinsey & Company, 2024).
Aus Sicht einer Standardlogik ist dies besonders relevant, weil Resilienz explizit auf Stakeholder- und Abhängigkeitsverständnis sowie koordiniertes Managementdisziplinen-Design zielt (International Organization for Standardization, 2017). Empirisch sind diese Anforderungen also häufig nur partiell erfüllt.
Cyber-Resilienz und Wiederherstellungsdefizite
Cyber-Resilienz lässt sich als Kombinatorik aus Prävention, Absorption und Wiederherstellungsdauer fassen; ein aktueller Bericht betont ausdrücklich, dass Resilienz nicht nur Prävention (klassisches Risikomanagement), sondern die Effektivität der Maßnahmen und die Qualität des Copings nach Eintritt umfasst (Geneva Association, 2026). In demselben Bericht werden Wiederherstellungszeiten als kritischer Defizitindikator genannt: Ransomware-Angriffe sind häufig mit mehrwöchigen Erholungszeiten verbunden, und eine zitierte Erhebung legt nahe, dass ein erheblicher Anteil von Unternehmen deutlich länger benötigt, um vollständig zu genesen (Geneva Association, 2026).
Dass Cyberrisiken in der Unternehmenswahrnehmung dominieren, bestätigt ein globaler Unternehmensrisiko-Report mit hoher Befragtenzahl und internationaler Abdeckung: Cybervorfälle rangieren als Top-Risiko, mit einem ausgewiesenen Höchstwert der Nennungen; gleichzeitig werden steigende Investitionserwartungen in Cyber-Loss-Prevention berichtet, was auf anhaltenden Anpassungsdruck hinweist (Allianz Commercial, 2026).
Zusammenfassend ergibt sich aus den konsistenten Proxys der Studienlage ein Defizitprofil, das weniger durch völliges Fehlen einzelner Komponenten, sondern durch fehlende End-to-End-Integration geprägt ist: Resilienzbausteine existieren oft, aber nicht als robustes, lernendes Gesamtsystem. Dieses Bild korrespondiert mit konzeptionellen Arbeiten, die Resilienz als Zusammenspiel komplementärer Fähigkeiten und als Prozess über Phasen hinweg verstehen (Duchek, 2020; Williams et al., 2017).
Zeitliche Inzidenz neuer Gefahrenmomente
Die Frage nach der Abhängigkeit der Handlungsdefizite von der zeitlichen Inzidenz neuer Gefahrenmomente lässt sich analytisch als Verhältnis von Ereignisdruck (Häufigkeit/Neuheit/Komplexität) und Institutionalisierung (Routinen, Ressourcen, Governance) fassen. Die globale Risikoperspektive zeigt, dass Risiken nicht nur zunehmen, sondern sich in verschiedenen Zeithorizonten verschieben und kumulieren; das wird explizit über ein Mehrjahres-Horizontdesign ausgewiesen und methodisch mit Befragungen internationaler Expertengruppen unterfüttert (World Economic Forum, 2026).
Evidenz für eine „Mobilisierungslogik“ nach Krisen
Eine Erhebung betont, dass Organisationen nach Krisen häufig schnell in Resilienz investieren, weil selbst moderate Störungen Motivationen erzeugen, Fehler nicht zu wiederholen; gleichzeitig wird zwischen strategisch motivierten Investitionen und solchen aus Angst/Compliance unterschieden (PwC, 2023). Diese Differenzierung ist entscheidend: Häufigere Gefahrenmomente erhöhen die Wahrscheinlichkeit kurzfristiger Mobilisierung, garantieren aber nicht die Transformation zu robuster Fähigkeit, wenn Investitionen primär reaktiv erfolgen.
Ähnlich zeigt die Krisenmanagement-Erhebung ein starkes Bekenntnis der Befragten, künftig in Training und Übungen zu investieren, was als Reaktion auf wachsenden Druck interpretierbar ist; zugleich dokumentieren die gleichen Daten, dass Training noch nicht vollständig durchdrungen ist (Business Continuity Institute, 2024). Damit erscheint Inzidenz als Treiber für Aktivität, nicht zwingend als Garant für vollständige Schließung der Lücken.
Evidenz für eine „Erosion der Aufmerksamkeit“ trotz anhaltender Störungen
Besonders aufschlussreich ist die Supply-Chain-Erhebung: Obwohl Disruptionen weiterhin „Norm“ sind (hoher Anteil berichtet Herausforderungen innerhalb eines Jahres), zeigen sich Anzeichen einer Abschwächung von Resilienzinitiativen (z. B. Plateau in strategischen Maßnahmen, abnehmende Formalisierung von Reporting-Routinen auf Senior-Management-Ebene). Die Daten berichten explizit einen Rückgang regelmäßiger Supply-Chain-Risk-Reporting-Cadences und identifizieren eine Boardroom-Lücke als zentralen Risikotreiber (McKinsey & Company, 2024).
Dieses Muster spricht gegen eine monotone Beziehung „mehr neue Gefahrenmomente → weniger Defizite“. Stattdessen deutet es auf eine nichtlineare Dynamik hin: In Hochdruckphasen werden Maßnahmen gestartet, in nachfolgenden Phasen können Initiativen aber an Ressourcenknappheit, Prioritätenkonkurrenz und Governance-Trägheit scheitern. In Standardsprache entspricht dies dem Problem, dass Managementdisziplinen zwar existieren, ihre Koordination und kontinuierliche Verbesserung aber nicht zuverlässig institutionalisiert werden (International Organization for Standardization, 2017).
Synthese: Wann Inzidenz Defizite reduziert und wann sie sie verstärkt
Aus der kombinierten Evidenz lassen sich drei mechanismische Schlussfolgerungen ableiten (als theoriegeleitete Interpretation der Befundlage):
- Erstens wirkt erhöhte Inzidenz häufig als Katalysator für Aufmerksamkeit, Investitionen und Trainingsintensität (Business Continuity Institute, 2024; PwC, 2023).
- Zweitens kann erhöhte Inzidenz Defizite sichtbarer machen, weil Interdependenzen (z. B. Cyber–Business Interruption–Supply Chain) stärker durchschlagen; Risikoerhebungen behandeln diese Kopplungen explizit und berichten gleichzeitig wachsende Unsicherheit (Allianz Commercial, 2026; World Economic Forum, 2026).
- Drittens kann hohe Inzidenz Defizite in bestimmten Dimensionen verstärken, wenn Organisationen in eine Abfolge taktischer Reaktionen geraten (z. B. ad hoc statt routinisiert), Governance nicht nachzieht und Lern- bzw. Transformationsfähigkeiten nicht institutionell abgesichert werden (McKinsey & Company, 2024; Williams et al., 2017).
Diskussion und Schlussfolgerungen
Die zentrale Frage dieses Artikels lautet, wie hoch Handlungsdefizite bei der Herstellung organisatorischer Resilienz sind. Die zusammengeführte Evidenz weist darauf hin, dass Defizite substanziell und strukturell sind. In einer globalen Resilienz-Erhebung fehlt einem großen Teil der Organisationen die „Grundausstattung“ zur Resilienzunterstützung (PwC, 2023). In einer globalen Lieferketten-Erhebung ist die Verankerung in der obersten Governance-Ebene häufig nicht formalisiert (McKinsey & Company, 2024). In der Krisenmanagement-Praxis sind Trainings- und Planungsreife nicht flächendeckend vollständig, und organisationsweite Verankerung/Kommunikation bleibt teils begrenzt (Business Continuity Institute, 2024).
Theoretisch sind diese Lücken konsistent mit drei bekannten Problemkomplexen:
- Erstens Konzept- und Messheterogenität:
Wenn Resilienz als „fuzzy“ konstruiert ist, entstehen in der Praxis unterschiedliche Teilimplementierungen, die schwer integrierbar sind, und Fortschritt wird schwer messbar (Hillmann & Guenther, 2021; Linnenluecke, 2017). - Zweitens Silo-Organisation von Managementdisziplinen:
Standards und konzeptionelle Modelle betonen Koordination und Integration (International Organization for Standardization, 2017; Duchek, 2020), während Surveys wiederholt zeigen, dass diese Integrationsleistung (Governance, Rollen, gemeinsame Sicht auf kritische Services/Abhängigkeiten) nicht durchgängig erreicht wird (PwC, 2023). - Drittens Incentive- und Aufmerksamkeitsdynamik:
Resilienz verlangt oft Investitionen in Fähigkeiten, die im Normalbetrieb nicht unmittelbar als Output erscheinen, etwa Redundanz, Übungen, Transparenz in tieferen Lieferketten oder systematisches Lernen. Die Supply-Chain-Literatur zeigt zugleich, dass Flexibilität zwar im Tagesgeschäft Nutzen stiftet, Redundanz jedoch als „Kosten“ wahrgenommen werden kann, was unter Effizienzdruck Resilienz unterminiert (Sheffi & Rice, 2005). Genau diese Spannung wird in Erhebungen sichtbar, wenn Initiativen nach Krisen starten, aber später an Momentum verlieren (McKinsey & Company, 2024; PwC, 2023).
Zur Frage der zeitlichen Inzidenz neuer Gefahrenmomente ergibt sich eine differenzierte Schlussfolgerung: Mehr Gefahrenmomente erhöhen Handlungsdruck, doch ohne institutionalisierte Governance, klar definierte Verantwortlichkeiten, wiederholtes Üben, robuste Daten- und Abhängigkeitsmodelle sowie eine Lernarchitektur können Defizite bestehen bleiben oder sogar wachsen (Business Continuity Institute, 2024; McKinsey & Company, 2024; World Economic Forum, 2026).
Für das Resilienzmanagement folgt daraus eine belastbare Implikation: Organisatorische Resilienz ist weniger als „Programm“ zu verstehen, sondern als Dachfähigkeit, die Managementdisziplinen integriert, Governance und Kultur verbindet sowie Antizipation–Bewältigung–Anpassung als kontinuierlichen Zyklus operationalisiert (Duchek, 2020; International Organization for Standardization, 2017). Forschungseitig bleibt zentral, Resilienz mess- und vergleichbarer zu machen, ohne Komplexität zu verflachen; praxisnah sind Metriken zu entwickeln, die Board-Level-Entscheidungsroutinen, Abhängigkeits-Transparenz, Übungsreife und Lerninstitutionalisierung zuverlässig abbilden (Hillmann & Guenther, 2021; National Institute of Standards and Technology, 2024).
Literaturverzeichnis
- Allianz Commercial. (2026). Allianz Risk Barometer 2026 (Report). Retrieved April 11, 2026, from https://commercial.allianz.com/
- Business Continuity Institute. (2024). BCI Crisis Management Report 2024 (Report). Retrieved April 11, 2026, from https://www.thebci.org/
- Bundy, J., Pfarrer, M. D., Short, C. E., & Coombs, W. T. (2017). Crises and crisis management: Integration, interpretation, and research development. Journal of Management, 43(6), 1661–1692. doi:10.1177/0149206316680030
- Duchek, S. (2020). Organizational resilience: A capability-based conceptualization. Business Research, 13(1), 215–246. doi:10.1007/s40685-019-0085-7
- European Commission. (2026). NIS2 Directive: securing network and information systems. Retrieved April 11, 2026, from https://digital-strategy.ec.europa.eu/
- European Insurance and Occupational Pensions Authority. (2025). Digital Operational Resilience Act (DORA). Retrieved April 11, 2026, from https://www.eiopa.europa.eu/
- European Union. (2022). Directive (EU) 2022/2557 on the resilience of critical entities. Retrieved April 11, 2026, from https://eur-lex.europa.eu/
- Financial Conduct Authority. (2024). Operational resilience: insights and observations for firms. Retrieved April 11, 2026, from https://www.fca.org.uk/
- Financial Conduct Authority. (2026). Operational resilience: insights and observations one year on. Retrieved April 11, 2026, from https://www.fca.org.uk/
- Geneva Association. (2026). Strengthening cyber resilience through insurance (Report). Retrieved April 11, 2026, from https://www.genevaassociation.org/
- Hillmann, J., & Guenther, E. (2021). Organizational resilience: A valuable construct for management research? International Journal of Management Reviews, 23(1), 7–44. doi:10.1111/ijmr.12239
- International Organization for Standardization. (2017). ISO 22316:2017 Security and resilience — Organizational resilience — Principles and attributes. Geneva: ISO.
- International Organization for Standardization. (2019). ISO 22301:2019 Security and resilience — Business continuity management systems — Requirements. Geneva: ISO.
- Linnenluecke, M. K. (2017). Resilience in business and management research: A review of influential publications and a research agenda. International Journal of Management Reviews, 19(1), 4–30. doi:10.1111/ijmr.12076
- McKinsey & Company. (2024). Supply chains: Still vulnerable. Retrieved April 11, 2026, from https://www.mckinsey.com/
- National Institute of Standards and Technology. (2024). The NIST Cybersecurity Framework (CSF) 2.0 (NIST CSWP 29). doi:10.6028/NIST.CSWP.29
- National Institute of Standards and Technology. (2024). NIST releases version 2.0 of landmark cybersecurity framework. Retrieved April 11, 2026, from https://www.nist.gov/
- PwC. (2023). Global Crisis and Resilience Survey 2023 (Report). Retrieved April 11, 2026, from https://www.pwc.com/
- Sheffi, Y., & Rice, J. B., Jr. (2005). A supply chain view of the resilient enterprise. MIT Sloan Management Review, 47(1), 41–48.
- Sutcliffe, K. M., & Vogus, T. J. (2003). Organizing for resilience. In K. S. Cameron, J. E. Dutton, & R. E. Quinn (Eds.), Positive organizational scholarship: Foundations of a new discipline (pp. 94–110). San Francisco, CA: Berrett-Koehler.
- Williams, T. A., Gruber, D. A., Sutcliffe, K. M., Shepherd, D. A., & Zhao, E. Y. (2017). Organizational response to adversity: Fusing crisis management and resilience research streams. Academy of Management Annals, 11(2), 733–769. doi:10.5465/annals.2015.0134
