Security & Resilience als Baustein für unternehmerischen Erfolg. Florian Polt von UNIQA

Business Circle: Sehr geehrter Herr Polt, Sie sind Chief Security & Resilience Officer der UNIQA. Möchten Sie uns eingangs kurz skizzieren, wie Sie Ihr Weg dorthin geführt hat und warum es genau Security & Resilience sein sollte?

Florian Polt: Den Grundstein hat mein Studium an der FH Campus Wien gelegt, an der ich heute selbst als Lektor für Security Governance unterrichte. Seit 2017 baue ich bei UNIQA die Gruppenfunktion Security & Resilience auf. Was mit einem kleinen Team begann, ist heute eine Organisation, die für die gesamte Gruppe mehrere Bereiche verbindet: Informationssicherheit, physische Sicherheit, Business Continuity, Krisenmanagement, das Risikomanagement von IKT-Dienstleistern und AI Security Governance.Warum genau diese Kombination? Security fragt, wie man Vorfälle verhindert. Resilienz fragt, wie ein Unternehmen handlungsfähig bleibt, wenn trotzdem etwas passiert. Nicht jede Krise lässt sich verhindern. Entscheidend ist, wie gut man vorbereitet ist und wie man als Organisation zusammenhält. Deshalb sehe ich Security & Resilience nicht als technische Spezialdisziplin, sondern als Führungsaufgabe.

BC: Seit Februar 2022 hält UNIQA den Geschäftsbetrieb auch in der Ukraine aufrecht. Was war ein typischer Moment, in dem Sie festgestellt haben: Für das, was jetzt passiert, gibt es kein Framework, keine Norm und kein Handbuch?

Polt: Normen und Frameworks sind stark darin zu beschreiben, was zu tun ist, wenn ein Ereignis eingetreten ist. Weniger helfen sie bei der Frage, wann man unter großer Unsicherheit handeln soll, also bevor Klarheit herrscht. Rückblickend war die Haltung, sich frühzeitig vorzubereiten statt abzuwarten, wertvoller als jeder einzelne Plan. Und kein Handbuch beschreibt, wie man für Kolleginnen und Kollegen und ihre Familien da ist, wenn sich deren Leben von einem Tag auf den anderen so massiv verändert. In solchen Momenten zählen Menschlichkeit, Zusammenhalt und kurze Wege mehr als jedes Formular. Der Einsatz und die Stärke unserer Kolleginnen und Kollegen in der Ukraine beeindrucken mich bis heute.

BC: Daran anschließend: Wie gestaltet und institutionalisiert man am besten die Lessons learned aus solchen Situationen?

Polt: Lessons learned beginnen nicht nach der Krise, sondern während. Bewährt hat sich, Lageinformationen, Entscheidungen und Aufgaben laufend strukturiert zu dokumentieren. Sonst diskutiert man hinterher über Erinnerungen statt über Fakten und verankert ist eine Erkenntnis erst, wenn sie drei Dinge hat: eine verantwortliche Person, eine Frist und einen festen Platz – in einer Richtlinie, einem Prozess oder dem nächsten Übungsszenario. Wichtig ist außerdem eine offene, schuldfreie Aufarbeitung. Und ob etwas wirklich gelernt wurde, zeigt erst die nächste Übung.

BC: "Resilient by Design". Viele Unternehmen haben dicke Krisenhandbücher und Notfallpläne. Was macht den Unterschied aus, ob ein Resilienzprogramm tatsächlich funktioniert oder nur auf PowerPoint gut aussieht?

Polt: Resilient by Design heißt für mich: Resilienz wird von Anfang an in Prozesse, Technologie und Führung eingebaut, nicht nachträglich beschrieben. Den Unterschied machen aus meiner Sicht vier Dinge.

• Erstens Klarheit statt Umfang: Ein gutes Krisenhandbuch beantwortet vor allem, wer entscheidet, wer informiert wird und wann eskaliert wird.

• Zweitens regelmäßiges Üben unter realistischen Bedingungen, auch auf Führungsebene - ein nie getesteter Plan bleibt eine Annahme.

• Drittens Abhängigkeiten kennen, zu Systemen, Partnern und Schlüsselpersonen.

• Viertens die Menschen: Resilienz ist ein soziales System. Wer weiß, dass sich das Unternehmen im Ernstfall um ihn kümmert, engagiert sich auch für das Unternehmen.

Gute Governance plant Ausnahmesituationen mit ein

BC: Compliance braucht Prozesse, Regeln und Kontrollen, Resilienz braucht Geschwindigkeit und Improvisation. Wann muss man in diesem Spannungsverhältnis bewusst von Standardprozessen abweichen?

Polt: Ich sehe das weniger als Gegensatz. Gute Governance plant Ausnahmesituationen mit ein. Von Grundprinzipien – Schutz von Menschen und Assets, Rechtmäßigkeit, Nachvollziehbarkeit – weicht man nie ab. Von einzelnen Abläufen kann es dagegen sinnvoll sein abzuweichen, wenn der Standardprozess das Ziel gefährden würde, das er eigentlich schützen soll, etwa weil Minuten zählen. Damit daraus keine Beliebigkeit wird, braucht es klar festgelegte Befugnisse für den Ausnahmefall, eine saubere Dokumentation der Entscheidungen und eine anschließende Aufarbeitung. Regulatorische Pflichten wie Meldefristen sind dabei nicht Hindernis, sondern fester Bestandteil des Krisenprozesses. Kurz gesagt: Improvisation im Rahmen, nicht statt eines Rahmens.

BC: Gerade Versicherungen leben vom Vertrauen ihrer Kunden. Manchmal wird aus einem Cybervorfall oder einer Krise ein Reputationsproblem und ein Shitstorm in den (sozialen) Medien vergrößert den Schaden noch einmal immens. Wie kann man sich darauf vorbereiten und wie sollte die Zusammenarbeit IT / PR / Vorstand strukturiert sein?

Polt: Ob aus einem Vorfall ein Reputationsproblem wird, entscheidet sich oft weniger an der Technik als an der Kommunikation. Für Versicherungen, deren Geschäft auf Vertrauen beruht, gilt das in besonderem Maße. Bewährt hat sich, dass Kommunikation von Beginn an Teil des Krisenteams ist und nicht erst hinzukommt, wenn alle Fakten vorliegen. Vorbereitete Kernbotschaften für typische Szenarien, abgestimmt mit Recht und Datenschutz, verschaffen im Ernstfall wertvolle Zeit. Ebenso wichtig ist ein gemeinsames Lagebild, damit alle Beteiligten mit demselben Wissensstand agieren. Die Rollen sollten klar sein: Die Unternehmensleitung trifft die strategischen Entscheidungen und steht für die Botschaft. Die Fachbereiche liefern gesicherte Fakten. Die Kommunikation übersetzt sie verständlich für Kundinnen und Kunden. Nach außen gilt: offen sagen, was man weiß, was man noch nicht weiß und wann man wieder informiert. Und auch das sollte gemeinsam geübt werden.

BC: Abschließend und auch im Hinblick auf Ihre Lehrtätigkeit am Campus Wien: Wenn Sie Tipps für einen frisch ernannten CISO in einer Versicherungsgesellschaft hätten: Welche drei Maßnahmen sollten als Erstes angestoßen werden?

Polt: Erstens: Verstehen, wovon das Unternehmen lebt. Welche Geschäftsprozesse sind kritisch, und welche Assets, Daten und Partner hängen daran? Diese Landkarte ist die Grundlage für jede sinnvolle Priorisierung.

Zweitens: Rolle und Mandat klären. Wer trägt wofür Verantwortung, wie arbeiten operative Umsetzung und unabhängige Überwachung zusammen, und wie wird die Unternehmensleitung eingebunden? Klare Rollen tragen im Alltag und erst recht in der Krise.

Drittens: Früh gemeinsam üben – auch mit der Führungsebene. Eine gut vorbereitete Krisenübung schafft Bewusstsein, Rückhalt und eine gemeinsame Sprache, oft mehr als jede Präsentation.

Und über allem: Security ist Teamsport. Gute Beziehungen baut man auf, bevor man sie braucht.

BC: Sehr geehrter Herr Polt, vielen Dank für das Gespräch und Ihre praxisnahen Einblicke, wie sich Sicherheit, Resilienz und Handlungsfähigkeit verankern lassen. Wir freuen uns auf einen weiteren Austausch auf der PriSec.

‍