Interview: «Es geht nicht um richtig oder falsch, sondern um die Lernmomente»
Nemanja Mitic ist Head of Cyber Governance bei der UBS und engagiert sich seit 2022 beim Swiss FS-CSC für die Cyberresilienz des Finanzsektors. Als Lead des Chapters «Exercises & Training» spricht er im Interview darüber, warum realistische Cyberübungen mehr sind als blosse Trockenübungen, wieso Führungskräfte eine Schlüsselrolle spielen und welchen Mehrwert der sektorweite Austausch bringt.
Nemanja Mitic, was sind die wichtigsten Erfolgsfaktoren bei der Vorbereitung einer Cyberübung?
Ein zentraler Erfolgsfaktor ist für mich die Zusammensetzung des Teams, das die Übungen vorbereitet. Dort sind alle wichtigen Stakeholder vertreten. So stellen wir sicher, dass die Teilnahme an den Cyberübungen für alle Mitglieder wertvoll ist. Wichtig in der Vorbereitung ist zudem ein klares Ziel vor Augen: Was wollen wir üben? Welche Entscheidungen sollen die Teilnehmenden treffen müssen? Ein weiterer Punkt, und das wird oft unterschätzt, ist die gute und strukturierte Diskussionsleitung mit antizipierten Fragen, Antwortlinien und Zeitankern. Dies sorgt dafür, dass die Diskussionen in den verschiedenen Gruppen vergleichbar bleiben und die Übung als Ganzes konsistent ins Ziel kommt und den Teilnehmenden Lerneffekte bringt.
Warum sind szenariobezogene Übungen ein zentrales Instrument zur Stärkung der Cyberresilienz?
Cyberresilienz entsteht nicht einfach durch das Erstellen nützlicher Dokumente und Checklisten. Szenariobezogene Cyberübungen testen die Theorie unter realistischen Bedingungen in der Praxis. Deshalb sind sie nicht nur nützlich, sondern unbedingt notwendig.
Was sind die grössten Herausforderungen bei der Planung und Durchführung von Cyberübungen?
Beim Swiss FS-CSC ist die Heterogenität der Zielgruppe anspruchsvoll. Die Teilnehmenden unterscheiden sich einerseits durch ihren Background: Je nach Grösse des Instituts und Rolle der teilnehmenden Person ergeben sich starke Unterschiede bei der Tiefe des Fachwissens. Andererseits bringen sie unterschiedliche Erwartungshaltungen mit, mit denen wir umgehen müssen. Während einige klare Antworten oder Lösungen wünschen, wollen andere bewusst offen diskutieren. Es geht aber nicht um richtige oder falsche Lösungen, sondern um die Lernmomente.
Im März 2026 fand eine strategische Cyberübung statt. Was ist der Unterschied zu den operativen Cyberübungen?
Der Unterschied liegt in der Art der Entscheidungen, die die Teilnehmenden treffen müssen. Während operative Übungen darauf abzielen, technische Probleme zu lösen, zwingen strategische Übungen Führungskräfte dazu, unter Unsicherheit und Zeitdruck mit Zielkonflikten umzugehen, Prioritäten zu setzen und strategische Entscheidungen zu fällen. Die beiden Formate ergänzen sich zwingend. Erst das Zusammenspiel beider Ebenen schafft echte Cyberresilienz.
Warum sollen auch oberste Führungskräfte aktiv an Cyberübungen teilnehmen?
Bei einem eskalierenden Cybervorfall geht es sehr schnell um Fragen wie die Priorisierung kritischer Services, die Aktivierung des Business Continuity Management oder die Kommunikation mit Kundschaft und Öffentlichkeit. Diese lassen sich nicht delegieren. Cyberresilienz ist vor allem auch ein strategisches Thema.
Wie profitieren die Teilnehmenden von den Cyberübungen des Swiss FS-CSC?
Der Mehrwert liegt bei der sektorweiten Perspektive. Grössere Cyberangriffe betreffen heute selten bloss ein einzelnes Institut. Abhängigkeiten zu Drittparteien, Marktinfrastrukturen, Dienstleistern oder anderen Finanzinstituten spielen eine zentrale Rolle. In den Cyberübungen des Swiss FS-CSC wird genau dieses Zusammenspiel sichtbar. Besonders wertvoll ist aus meiner Sicht auch der Perspektivenwechsel. Die Teilnehmenden erleben nicht nur ihre eigene Situation, sondern sehen, wie andere Institute mit ähnlichen Herausforderungen umgehen. Das schafft Verständnis und erhöht die Qualität der Diskussion – ohne den Druck einer Bewertung.
Was motiviert dich bei dieser Aufgabe? Welchen Mehrwert ergibt sich daraus für deine Arbeit bei der UBS?
Mich motiviert die gute Zusammenarbeit mit Kolleginnen und Kollegen aus anderen Instituten und der Gedanke, dass wir durch unsere Arbeit Führungsteams befähigen, im entscheidenden Moment richtig zu handeln. Den Mehrwert für meine Arbeit bei der UBS sehe ich in der sektorweiten Perspektive, die es mir ermöglicht, Muster, Abhängigkeiten und Entscheidungsdynamiken über einzelne Organisationen hinaus zu erkennen. Dieses Wissen fliesst direkt in meine tägliche Arbeit ein.