Warum Governance-Programme an Woche 6 scheitern

Die meisten Programme sterben nicht am Start. Sie sterben an Woche 6.

Wenn aus Initiative Regelbetrieb werden müsste, aber niemand Zeit freischaufelt. Wenn das Steering Committee nicht mehr tagt. Wenn die erste Euphorie dem Tagesgeschäft weicht. Dann bleibt Souveränität ein Projektordner.

Initiative ist kein Regelbetrieb

Das ist das zentrale Missverständnis in vielen Governance-Programmen. Der Start gelingt: Budget bewilligt, Sponsor an Bord, erste Maßnahmen umgesetzt. Aber nachhaltiges Governance entsteht nicht durch einen erfolgreichen Kickoff. Es entsteht durch Wiederholung.

Kontrolle ist eine Gewohnheit. Und Gewohnheiten schlagen Folien.

Warum Programme an Woche 6 scheitern

Der Bruch kommt selten dramatisch. Er kommt schleichend.

Das erste Review wird verschoben. Das zweite fällt ganz aus. Die verantwortliche Person wechselt die Abteilung. Das Tool, das eigentlich die Nachweise liefern sollte, wurde noch nicht konfiguriert. Die Logs sind da, aber keiner schaut rein.

Was fehlte, war keine Ambition. Was fehlte, war ein verbindlicher Rhythmus, der auch dann funktioniert, wenn die Energie nachlässt.

Der Minimalstandard im Regelbetrieb

Sustainable Governance braucht keinen maximalen Aufwand. Es braucht einen minimalen, aber verbindlichen Rhythmus.

Fünf Elemente haben sich als besonders wirksam erwiesen, auch bei knappen Ressourcen:

Berechtigungsreviews

Monatlich oder vierteljährlich, je nach Risikoprofil. Wer hat Zugriff auf was, und ist das noch begründet? Kein komplexes Tool notwendig. Eine Tabelle mit Verantwortlichem und Datum reicht für den Anfang.

Vulnerability- und Patch-Takt

Nicht jede Schwachstelle muss sofort geschlossen werden. Aber jede muss bewertet werden, und es muss eine definierte Frist und ein Verantwortlicher existieren. Ohne Takt entsteht technische Schuld, die sich still ansammelt.

Recovery-Test

Einmal im Quartal: Ist das Backup wiederherstellbar? Wird der Test dokumentiert? Gibt es Maßnahmen aus dem Ergebnis? Ein ungetestetes Backup ist kein Backup. Es ist eine Hoffnung.

Incident-Übung

Ein Tabletop reicht, wenn er wirklich stattfindet. Einmal im Halbjahr, mit den richtigen Personen im Raum. Die Frage ist nicht, ob alles perfekt läuft. Die Frage ist, ob die Organisation unter Druck handlungsfähig bleibt.

Audit-Export

Logs, Freigaben und Reviews müssen abrufbar sein. Nicht wenn ein Audit angekündigt wird, sondern kontinuierlich. Was nicht dokumentiert ist, hat nicht stattgefunden.

Was bewusst weggelassen werden darf

Nicht alles muss sofort gebaut werden. Wer mit knappen Ressourcen startet, sollte priorisieren: Was ist das größte Risiko? Was ist bereits teilweise vorhanden? Was fordert die Regulierung zuerst?

Ein gut funktionierender Patch-Takt mit klarem Verantwortlichen ist mehr wert als fünf angefangene Prozesse ohne Eigentümer.

Kontrolle als Gewohnheit

Nachhaltiges Governance entsteht nicht durch ein großes Projekt. Es entsteht durch viele kleine, wiederholbare Handlungen, die zur Gewohnheit werden.

Das ist keine schlechte Nachricht. Es ist eine gute. Denn Gewohnheiten lassen sich aufbauen, auch mit begrenztem Budget, auch in kleinen Teams, auch parallel zum Tagesgeschäft.

Der erste Schritt ist nicht der schwierigste. Der schwierigste Schritt ist der von der Initiative in den Regelbetrieb. Wer diesen Schritt bewusst plant, hat das Wichtigste bereits richtig gemacht.