Resilienz im Maschinenbau: Wo die blinden Flecken sind

Produktion: Resilienz wird in vielen Unternehmen noch immer vor allem mit Notfallplänen und Versicherungen verbunden. Was unterscheidet aus Ihrer Sicht einen tatsächlich resilienten Maschinenbauer von einem Unternehmen, das lediglich einzelne Risiken absichert?

Birger Neurink, Geschäftsführer der VSMA GmbH: Ein tatsächlich resilientes Unternehmen denkt Resilienz deutlich umfassender als nur über Notfallpläne oder Versicherungsschutz. Es analysiert nicht nur einzelne Risiken, sondern auch die Abhängigkeiten zwischen ihnen und fragt sich, wie kritische Situationen möglichst vermieden, ihre Auswirkungen begrenzt und die eigene Handlungsfähigkeit im Ernstfall schnell wiederhergestellt werden kann.

Dazu gehören technische Schutzmaßnahmen, belastbare Lieferketten, funktionierende Notfallprozesse, klare Zuständigkeiten und eine Organisation, die auch unter Druck entscheidungsfähig bleibt. Versicherungen sind dabei ein wichtiger Bestandteil, aber eben nur ein Baustein innerhalb eines ganzheitlichen Ansatzes.

Ob ein Unternehmen resilient ist, zeigt sich letztlich nicht daran, ob jedes Risiko abgesichert wurde, sondern daran, ob es auch dann handlungsfähig bleibt, wenn etwas nicht nach Plan verläuft.

Produktion: Lieferkettenprobleme, Cyberangriffe, geopolitische Spannungen und regulatorische Vorgaben wirken zunehmend gleichzeitig. Welche Risiken unterschätzen Maschinen- und Anlagenbauer derzeit am stärksten?

Birger Neurink: Aus meiner Sicht wird heute weniger ein einzelnes Risiko unterschätzt als vielmehr das Zusammenspiel mehrerer Risiken. Gerade stark vernetzte und auf Effizienz optimierte Strukturen schaffen Abhängigkeiten, die im Alltag oft nicht sichtbar sind und erst im Störungsfall ihre volle Wirkung entfalten.

Ein typisches Beispiel sind kritische elektronische Bauteile, die zwar über mehrere Lieferanten bezogen werden, deren zentrale Vorprodukte aber aus derselben Region oder vom gleichen Vorlieferanten stammen. Auf dem Papier besteht dann zwar eine Alternative, faktisch aber bleibt ein gemeinsamer Ausfallpunkt bestehen. Ähnlich verhält es sich bei Cyberangriffen auf zentrale IT-Dienstleister: Betroffen ist zunächst ein Dritter, die Folgen reichen aber schnell bis ins eigene Unternehmen – etwa durch fehlende Auftragsdaten, gestörte Logistik oder Produktionsausfälle. Der eigentliche blinde Fleck liegt daher häufig nicht im Einzelrisiko, sondern in den Wechselwirkungen und Abhängigkeiten zwischen verschiedenen Risiken.

Produktion: Gerade mittelständische Unternehmen verfügen nur über begrenzte personelle und finanzielle Ressourcen. Wie lässt sich Resilienz so organisieren, dass sie nicht zu einem zusätzlichen Bürokratieprojekt wird, sondern im Tagesgeschäft verankert ist?

Birger Neurink: Resilienz muss kein eigenes Bürokratieprojekt sein. Im Mittelstand funktioniert sie dann am besten, wenn sie in bestehende Entscheidungen und Abläufe integriert wird. Bei Investitionen, der Auswahl neuer Lieferanten, Digitalisierungsprojekten oder Veränderungen in der Produktion sollte immer mitgedacht werden, welche neuen Abhängigkeiten entstehen und welche Alternativen im Ausfallfall bestehen.

Wichtig ist dabei vor allem eine klare Priorisierung: Welche Prozesse sind für das Unternehmen wirklich kritisch? Wovon hängen sie ab? Wie lange kann auf sie verzichtet werden? Und wer trägt im Ernstfall die Verantwortung? Wenn diese Fragen regelmäßig gestellt und Verantwortlichkeiten klar geregelt werden, wird Resilienz Teil der Unternehmensführung und nicht zu einem zusätzlichen Projekt.

Gerade mittelständische Unternehmen können dabei auch auf bestehende Partner zurückgreifen, etwa auf Versicherungsmakler, Versicherer oder weitere externe Experten. Entscheidend ist, die verschiedenen Perspektiven zusammenzuführen und gemeinsam auf die wirklich kritischen Punkte zu schauen.

Produktion: Cyberrisiken betreffen längst nicht mehr nur die IT, sondern auch Produktion, Maschinensteuerungen und vernetzte Anlagen. Wo bestehen aus Ihrer Erfahrung die größten Lücken zwischen technischer Absicherung, organisatorischer Vorbereitung und tatsächlichem Versicherungsschutz?

Birger Neurink: Die größten Lücken entstehen dort, wo IT-Sicherheit, Produktion, Risikomanagement und Versicherungsschutz noch getrennt voneinander betrachtet werden. Gerade im Maschinen- und Anlagenbau sind klassische IT-Systeme und produktionsnahe Steuerungstechnologien heute eng miteinander verbunden.

In der Praxis zeigt sich das häufig nach einem Cyberangriff: Oft werden zentrale IT-Systeme vorsorglich heruntergefahren, obwohl die Produktionsanlagen selbst gar nicht unmittelbar kompromittiert wurden. Trotzdem kommt die Produktion zum Stillstand, weil etwa Auftragsdaten, Produktionsplanung, Warenwirtschaft oder Schnittstellen zur Maschinensteuerung nicht mehr verfügbar sind. Dann reicht es nicht aus, nur auf Backups zu verweisen. Entscheidend ist, wie schnell ein Unternehmen seine kritischen Prozesse tatsächlich wieder zum Laufen bringt.

Ein zusätzlicher Risikofaktor sind ältere Produktionsanlagen, die technisch zwar weiterhin zuverlässig arbeiten, deren Betriebssysteme oder Steuerungskomponenten aber nicht mehr dem aktuellen Sicherheitsniveau entsprechen. Da ein Austausch oft weder kurzfristig möglich noch wirtschaftlich sinnvoll ist, gewinnen Segmentierung, organisatorische Schutzmaßnahmen und belastbare Wiederanlaufkonzepte an Bedeutung. Erst wenn diese technischen, organisatorischen und versicherungsbezogenen Zusammenhänge gemeinsam betrachtet werden, lässt sich sinnvoll entscheiden, welche Risiken reduziert, bewusst getragen oder auf Dritte übertragen werden sollten.

Produktion: Viele Unternehmen kennen ihre direkten Lieferanten gut, haben aber kaum Transparenz über vorgelagerte Stufen der Lieferkette. Wie tief muss ein Maschinenbauer seine Abhängigkeiten kennen, um im Krisenfall tatsächlich handlungsfähig zu bleiben?

Birger Neurink: Eine vollständige Transparenz über jede einzelne Stufe einer globalen Lieferkette ist für viele Unternehmen kaum realistisch – und auch nicht immer notwendig. Entscheidend ist vielmehr, die Auswirkungen eines möglichen Ausfalls auf die eigene Wertschöpfung zu kennen.

Dazu gehört, die wirklich kritischen Bauteile, Rohstoffe und Dienstleistungen zu identifizieren: Gibt es dafür Alternativen? Nutzen vermeintlich unterschiedliche Lieferanten in Wahrheit denselben Vorlieferanten oder dieselbe Region? Wie lange reichen Bestände? Und wie schnell kann eine Substitution tatsächlich erfolgen?

Unternehmen müssen also nicht jeden Lieferanten ihrer Lieferanten im Detail kennen. Sie sollten aber sehr genau wissen, an welchen Stellen ihre Produktion von wenigen Alternativen oder von verdeckten Konzentrationen abhängt. Genau dort entscheidet sich, wie handlungsfähig sie im Krisenfall bleiben.

Produktion: Resilienz kostet zunächst Zeit und Geld, ihr Nutzen zeigt sich oft erst im Ernstfall. Mit welchen Kennzahlen oder Prüfmechanismen können Geschäftsleitungen feststellen, ob ihr Unternehmen widerstandsfähiger geworden ist?

Birger Neurink: Resilienz lässt sich nicht in einer einzigen Kennzahl abbilden. Geschäftsleitungen können jedoch sehr konkrete Indikatoren heranziehen. Dazu gehört zum Beispiel, wie lange kritische Prozesse im Störungsfall ausfallen würden, wie schnell Systeme oder Produktionsbereiche wiederhergestellt werden können, wie viele kritische Lieferanten ohne echte Alternative existieren oder wie aktuell Notfall- und Wiederanlaufpläne tatsächlich sind.

Besonders wichtig sind dabei Übungen und Szenarioanalysen. Ein Notfallplan kann auf dem Papier sehr überzeugend wirken – wenn er unter realistischen Bedingungen nie getestet wurde, bleibt unklar, ob er im Ernstfall tatsächlich funktioniert. Deshalb sollte nicht nur geprüft werden, ob Vorsorgemaßnahmen dokumentiert sind, sondern auch, ob sie praktisch umsetzbar sind.

 Am Ende zeigt sich Resilienz weniger in der Anzahl vorhandener Konzepte als vielmehr darin, wie schnell ein Unternehmen nach einer Störung wieder entscheidungs- und lieferfähig wird.