Cyber Risk Accounting (CRA)

1. Executive Summary: Die Ära der bilanziellen Resilienz

Die Zeiten, in denen Cyber-Risiken als reine IT-Probleme in die Zuständigkeit der Systemadministration delegiert werden konnten, sind endgültig vorbei. In einer Welt, die von autonomen Systemen und KI-gestützter Wertschöpfung gesteuert wird, ist Cyber-Resilienz die neue Währung der Unternehmensstabilität.

Dieses Whitepaper begründet eine neue Management-Disziplin: das Cyber Risk Accounting (CRA). Es ist die Antwort auf die wachsende Kluft zwischen technologischer Bedrohungslage und finanzieller Berichterstattung. Wir zeigen, wie das NextLevel CRQ Framework technische Schwachstellen nicht nur identifiziert, sondern sie direkt in die Sprache des Kapitals übersetzt.

Die Kernbotschaft für das Board:

Durch Konzepte wie den Algorithmic Decay und das Cyber-Equity schaffen wir erstmals ein System, das Cyber-Risiken quantifiziert, nach IFRS-Standards (IAS 36, 37, 38) verankert und so die Überlebensfähigkeit des Unternehmens (Survival Horizon) mathematisch fassbar macht.

2. Die neue Rolle cyber-ökonomischer Risiken

Ein Cyber-Vorfall ist im Jahr 2026 kein technischer Defekt mehr, sondern ein finanzielles Großereignis. Wenn Ransomware heute die Produktion stoppt, betrifft dies nicht nur den Server, sondern unmittelbar das Working Capital und den Goodwill.

Der Paradigmenwechsel liegt in der Erkenntnis, dass digitale Abhängigkeiten als strategische Finanzrisiken zu bewerten sind. Ein Ausfall unterbricht die Wertschöpfungskette an sogenannten Digital Chokepoints – jenen Engpässen, die über den Cashflow entscheiden.

Vom Vorfall zum bilanziellen Effekt

Um die Tragweite zu verstehen, müssen wir die Brücke zwischen dem Incident und der Bilanz schlagen:

Das Fazit: Wer Cyber-Risiken heute nicht "accountet", führt eine unvollständige Bilanz.

3. Cyber Risk Accounting (CRA) – Definition & Paradigmenwechsel

Traditionelles Risikomanagement gleicht oft einem "Blick in die Glaskugel" – geprägt von subjektiven Heatmaps und Ampelfarben (Rot/Gelb/Grün). Cyber Risk Accounting bricht mit dieser Tradition und ersetzt Schätzwerte durch stochastische Präzision.

Die Neudefinition

CRA ist die methodische Integration der algorithmischen Integrität in das Corporate Reporting. Es ist das Werkzeug von NextLevel, um den Wertverzehr digitaler Systeme ebenso präzise abzubilden wie den Verschleiß einer physischen Produktionsanlage.

Der fundamentale Shift

Durch den Einsatz von Autonomous Close Agents wird CRA zu einem lebenden System. Es reagiert in Echtzeit auf den Algorithmic Decay (den jährlichen Resilienzverlust) und schlägt Korrekturbuchungen vor, bevor die Wirtschaftsprüfer die Unvollständigkeit der Risikovorsorge monieren.

4. Das NextLevel CRQ Framework: Die Mechanik der Quantifizierung

Das CRQ Framework ist keine einfache Schätzung, sondern ein stochastisches Modellierungssystem. Es basiert auf der Zerlegung von Risiko in mathematische Komponenten, die eine präzise Simulation ermöglichen.

4.1 Loss Event Frequency (LEF) – Die Eintrittsdynamik

Die LEF bestimmt, wie oft ein schadenswirksames Ereignis in einem definierten Zeitraum eintritt. Statt "hoch, mittel, niedrig" nutzt NextLevel folgende Datenströme:

• External Threat Intelligence: Aktuelle ML-gestützte Auswertungen globaler Angriffsvektoren.

• Vulnerability Scores: Echtzeit-Daten aus dem Schwachstellen-Management des CISO.

• Control Strength: Die Wirksamkeit der vorhandenen Abwehrmaßnahmen (z. B. MFA-Abdeckungsgrad).

• Eigener Incident-Verlauf: Historische Daten, die durch den Autonomous Close Agent auf Anomalien geprüft werden.

4.2 Loss Magnitude (LM) – Die monetäre Schadenskurve

Hier berechnen wir die "Schadensschwere". Wir nutzen eine Dreiecksverteilung (Min, Mode, Max), um die Unsicherheit abzubilden:

1. Primärkosten: Forensik, Krisenkommunikation, technische Wiederherstellung.

2. Sekundärkosten: DSGVO-Bußgelder (bis zu 4 % des Weltumsatzes), zivilrechtliche Klagen.

3. Opportunitätskosten: Deckungsbeitragsverluste durch Produktionsstillstand (Downtime-Kosten pro Stunde).

4. Reputations-Equity: Der diskontierte Wertverlust künftiger Cashflows durch Kundenabwanderung (Churn).

4.3 Die Monte-Carlo-Simulation & CyVaR

Wir werfen die LEF und die LM in eine Simulation mit 100.000 Durchläufen.

• Ergebnis: Eine Wahrscheinlichkeitsdichtefunktion.

• CyVaR (Cyber Value-at-Risk): Der Punkt auf der Kurve, den wir mit 95 %iger Sicherheit nicht überschreiten. Für den CFO ist dies die Zahl, die im Risiko-Reporting als Potenzieller Brutto-Verlust stehen muss.

5. Algorithmic Decay & Burn-Down: Die Entdeckung der digitalen Alterung

Dies ist der revolutionärste Teil des CRA. Wir behandeln Software und Algorithmen nicht als unendliche immaterielle Vermögenswerte, sondern als verschleißbehaftete Produktionsmittel.

5.1 Die mathematische Definition des Algorithmic Decay

Jedes digitale Asset hat eine Resilienz-Halbwertszeit.

• Algorithmic Decay Rate (lambda): Der Prozentsatz, um den die Widerstandsfähigkeit eines Systems pro Zeiteinheit abnimmt, wenn keine Updates erfolgen.

• Faktoren: Neue Zero-Day-Exploits, technologische Veralterung der Verschlüsselung, sinkende Vorhersagequalität von KI-Modellen (Model Drift).

5.2 Der Algorithmische Burn-Down-Faktor

Dieser Faktor setzt die Instandhaltungskosten (CapEx/OpEx für Security) ins Verhältnis zum Verfall.

• Formel-Logik: Wenn Investitionen < Decay, sinkt die algorithmische Integrität unter das kritische Niveau.

• Bilanzielle Konsequenz: Dies stellt einen Indikator für eine Wertminderung (Internal Indicator of Impairment) dar. Der Autonomous Close Agent meldet: "Das Asset 'Fulfillment-KI' ist technisch zu 30 % erodiert – Ein Impairment-Test nach IAS 36 ist zwingend erforderlich."

6. Digital Chokepoints: Die neue Systemkritikalität

Wir führen eine Value-Chain-Analyse durch, um die "Single Points of Failure" der digitalen Bilanz zu finden.

6.1 Identifikation und Mapping

Ein Digital Chokepoint ist ein Knotenpunkt, an dem ein technisches Risiko zu einem systemischen finanziellen Kollaps führt.

• Beispiel ERP-Core: Wenn die Datenbank steht, können keine Rechnungen gestellt werden -> Sofortiger Stopp des operativen Cashflows.

• Beispiel Data-Hub: Ohne Daten keine KI-Entscheidung -> Verlust der Steuerungsfähigkeit.

6.2 Quantifizierung der Abhängigkeit

Für jeden Chokepoint berechnen wir die Downtime-Elasticity: Um wie viel Prozent sinkt der Tagesumsatz pro Stunde Ausfall dieses spezifischen Systems? Dies priorisiert die Investitionen des CISO nach rein finanziellen Kriterien.

7. Cash-Flow-at-Risk (CFaR) & Survival Horizon

Hier führen wir Cyber-Risiken und Treasury zusammen.

7.1 Der Survival Horizon (SH)

Der SH ist die Antwort auf das "Worst-Case-Szenario".

SH = (Verfügbare Liquidität + Sofort-Kreditlinien) / Cyber-Burn-Rate pro Tag

Die Cyber-Burn-Rate inkludiert den fixen Kostensatz plus die entgangenen Margen während eines Totalausfalls. Ein SH von unter 14 Tagen gilt im NextLevel-Modell als bestandsgefährdendes Risiko.

8. Cyber-Equity: Die interne Resilienzreserve

Um die Volatilität in der Erfolgsrechnung zu glätten, nutzen wir das Eigenkapital als Puffer.

8.1 Die Digital Resilience Reserve

Wir buchen einen Teil der Gewinnrücklagen in eine Cyber-Resilienz-Reserve um.

• Zweck: Deckung von Schäden, die über der Versicherungs-Police liegen.

• Signalwirkung: Es beweist den Analysten, dass das Unternehmen seine Risikotragfähigkeit aktiv managt. Es ist "hartes Geld" hinter dem Versprechen der Sicherheit.

9. IFRS-Verankerung: Die regulatorische Einbettung

9.1 IAS 36 & 38: Die Wert-Erosion

Die herkömmliche lineare Abschreibung von Software ist veraltet. CRA fordert eine leistungs- oder risikobasierte Abschreibung. Sinkt die Resilienz (Decay), muss die Nutzungsdauer verkürzt oder ein Impairment gebucht werden.

9.2 IAS 37: Die Drohverlust-Logik

Wenn eine Sicherheitslücke bekannt ist, aber noch nicht gepatcht wurde, besteht eine gegenwärtige Verpflichtung aus einem belastenden Ereignis. CRA liefert die Datenbasis für die Bewertung dieser Rückstellung.

9.3 Management Commentary (Lagebericht)

Wir fordern die Offenlegung der Cyber-Risiko-Sensitivität. Wie reagiert das Konzernergebnis auf eine Erhöhung der LEF um 10 %? Das macht das Unternehmen für Investoren transparent und vergleichbar

10. Vollständiges Praxisbeispiel: Digital Retail Group AG (DRG)

Die DRG ist ein international tätiger E-Commerce-Konzern mit einem Jahresumsatz von 850 Mio. CHF. Das Geschäftsmodell basiert zu 100 % auf einer KI-gesteuerten Logikkette.

10.1 Die Ausgangslage: Das digitale Anlagevermögen

Die DRG hat drei Digital Chokepoints identifiziert, die als immaterielle Vermögenswerte (IAS 38) aktiviert sind:

• DFX (Fulfillment-Engine): Steuert die Roboter in den Lagern. (Buchwert: 35 Mio. CHF)

• PGX (Payment Gateway): Wickelt alle Transaktionen ab. (Buchwert: 22 Mio. CHF)

• ERP-Core: Das „Gehirn“ für Buchhaltung und Bestände. (Buchwert: 60 Mio. CHF)

• Gesamtbuchwert: 117 Mio. CHF

10.2 Schritt 1: Die CRQ-Simulation (Risiko-Quantifizierung)

Die NextLevel-Experten nutzen das NextLevel-Framework, um das Risiko für das kommende Geschäftsjahr zu simulieren.

• Eintrittswahrscheinlichkeit (LEF): Durch Machine Learning wird die kombinierte Wahrscheinlichkeit eines schweren Ransomware-Angriffs auf 18 % pro Jahr berechnet.

• Schadenshöhe (LM): Die Simulation ergibt eine Bandbreite von 20 Mio. bis 120 Mio. CHF.

• Ergebnis (CyVaR): Die Monte-Carlo-Simulation (100.000 Iterationen) liefert den CyVaR (95 %) von 63 Mio. CHF.

10.3 Schritt 2: Der Algorithmic Decay (Wertverzehr)

Hier berechnet der Autonomous Close Agent die „digitale Erosion“.

• Soll-Instandhaltung: Um das Sicherheitsniveau (Patch-Level) stabil zu halten, müssten jährlich 7,5 Mio. CHF investiert werden.

• Ist-Instandhaltung: Das IT-Budget investierte nur 4 Mio. CHF.

• Unterdeckung: 3,5 Mio. CHF.

• Decay-Rate: Das System verliert 11 % seiner relativen Resilienz.

Die bilanzielle Konsequenz (IAS 36):

Die Unterdeckung führt zu einem Impairment-Trigger. Da die Systeme verwundbarer geworden sind, sinkt ihr „Nutzungswert“ (Value in Use). Ein Werthaltigkeitstest ergibt einen neuen beizulegenden Zeitwert von nur noch 104 Mio. CHF.

Buchungssatz (Impairment):

10.4 Schritt 3: Die Cyber-Equity Reserve (Eigenkapital-Puffer)

Um den Kapitalmarkt zu beruhigen und das Rating zu stützen, entscheidet der CFO, den CyVaR (95 %) im Eigenkapital abzusichern.

Logik: Wir binden 63 Mio. CHF der frei verfügbaren Gewinnrücklagen und widmen sie in eine „Digital Resilience Reserve“ um.

Buchungssatz (Reservenbildung):

10.5 Schritt 4: Liquiditäts-Check (Survival Horizon)

Das Board will wissen: „Wie lange halten wir einen Totalausfall der DFX-Engine aus?“

• Liquide Mittel: 85 Mio. CHF.

• Cyber-Burn-Rate: Im Totalausfall verliert DRG durch Fixkosten und entgangene Deckungsbeiträge 4,8 Mio. CHF pro Tag.

• Berechnung: $85\text{ Mio.} / 4,8\text{ Mio.} = \mathbf{17,7\text{ Tage}}$.

Management-Entscheidung: Der Survival Horizon von ca. 18 Tagen ist zu kurz. Das Board beschließt eine Erhöhung der Kreditlinie um weitere 50 Mio. CHF, um den Horizont auf über 28 Tage zu heben.

Zusammenfassung der Effekte (Das Dashboard für den NextLevel-Consultant)

Fazit für die Anwendung:

Dieses Beispiel zeigt, wie Cyber Risk Accounting aus einer vagen IT-Gefahr ein präzises Steuerungswerkzeug macht. Der CFO kann nun exakt begründen, warum er mehr Budget für IT-Sicherheit braucht: Nicht um "Hacker zu jagen", sondern um IAS 36 Abschreibungen zu verhindern und den Survival Horizon abzusichern.

Das ist NextLevel Finance.

11. Die harten Fakten: Bilanz-, Erfolgsrechnung- & Cashflow-Effekte

Cyber Risk Accounting ist keine theoretische Übung – es verändert die finanzielle DNA des Unternehmens. Am Beispiel der Digital Retail Group AG lassen sich die Auswirkungen präzise zusammenfassen. Es entsteht ein transparentes Bild der tatsächlichen Risikokosten.

Zusammenfassung der bilanziellen Auswirkungen

Auswirkungen auf die Performance (GuV) & Liquidität

• Erfolgsrechnung: Das Periodenergebnis wird durch den Impairment Loss (–13 Mio.) und den Cyber Incident Expense (–7 Mio.) realistisch belastet. Dies verhindert eine künstliche Überbewertung der Ertragslage bei gleichzeitigem technologischem Verfall.

• Cashflow: Wir erkennen eine strategische Verschiebung. Statt unplanbarer Notfall-Kosten treten geplante Maintenance CapEx (Instandhaltungsinvestitionen), um den Algorithmic Decay zu stoppen. Die Liquiditätsbindung durch die Reserve stabilisiert das Unternehmen gegenüber Kapitalmarktschwankungen.

12. Governance, Rating & Kapitalmarkt: Vertrauen durch Quantifizierung

CRA transformiert die Kommunikation mit externen Stakeholdern. Wenn Cyber-Risiken nicht mehr als "Black Box" behandelt werden, entstehen handfeste wirtschaftliche Vorteile:

• Analystentransparenz: Investoren schätzen Unternehmen, die ihre digitalen Abhängigkeiten monetär bewerten können. Dies reduziert den Risikoabschlag bei der Unternehmensbewertung.

• Rating-Outlook: Ratingagenturen honorieren die explizite Bildung von Resilienzreserven. Ein stabiler Survival Horizon führt zu besseren Kreditkonditionen.

• Regulatorische Compliance: Das System erfüllt proaktiv die Anforderungen moderner Regulatorik wie NIS2, DORA oder FINMA-Vorgaben, indem es Risiken nicht nur verwaltet, sondern bilanziell verankert.

13. Vorteile, Grenzen & Zukunftsausblick

Die Vorteile auf einen Blick

1. CFO-Kompatibilität: Cyber-Risiken sprechen endlich die Sprache des Kapitals.

2. IFRS-Verankerung: Die Methodik fügt sich nahtlos in bestehende Rechnungslegungsstandards ein.

3. Investitionsschutz: Budgets werden dorthin gelenkt, wo der größte Algorithmic Decay droht.

4. Autonome Integration: Das System ist bereit für den Einsatz von KI-Agenten, die Bilanzanpassungen in Echtzeit vorschlagen.

Die Grenzen des Modells

Kein Modell ist perfekt. CRA stößt dort an Grenzen, wo die Datenqualität der IT-Systeme unzureichend ist. Zudem bleiben extreme "Black Swan"-Ereignisse (Tail-Risiken) trotz 100.000 Simulationen schwer vorhersehbar. Das Modell ist ein Werkzeug zur Steuerung, keine Garantie für absolute Sicherheit.

Zukunftsausblick: Autonomous Finance

Wir stehen erst am Anfang. In naher Zukunft werden Autonomous Close Agents die Verbindung zwischen Patch-Level und Buchungssatz vollautomatisch herstellen. Die Bilanz wird "intelligent" und spiegelt die technologische Widerstandsfähigkeit in Echtzeit wider.