9 Min. Lesezeit

Bei der letzten Bilanzpressekonferenz eines DAX-Konzerns saß im Aufsichtsrat eine Person mit explizitem KI-Mandat. Bei dreizehn weiteren saß keine. Das ist nicht Statistik, das ist Governance-Lage. Wer im Mai 2026 über NIS2-Haftung, EU AI Act und Lieferketten-Resilienz redet, redet über Themen, die im Aufsichtsrat aktuell selten einen verantwortlichen Sitz haben.

Das Wichtigste in Kürze

• Tech-Mandat im Aufsichtsrat ist 2026 kein Nice-to-have: NIS2-Geschäftsleitungshaftung, EU AI Act mit Sanktionsrahmen ab Februar 2026 und die laufende CSRD-Datenpipeline binden Aufsichtsorgane in technische Detail-Fragen, für die viele Gremien personell nicht aufgestellt sind.
• Skill-Gap ist messbar, nicht gefühlt: In einer DSW-Analyse zu DAX- und MDAX-Aufsichtsräten gaben weniger als ein Fünftel der Mitglieder bei einer Selbsteinschätzung an, KI-bezogene Risikofragen ohne externe Beratung verantwortungsbewusst entscheiden zu können.
• Audit- und Risikoausschuss tragen den Hauptdruck: Wer Tech-Mandate vergibt, ohne den Audit-Ausschuss strukturell mit Tech-Kompetenz auszustatten, schiebt das Risiko an eine Stelle, die es nicht prüfen kann. Die Folge sind Beschluss-Vorlagen, die Geschäftsleitung und Aufsichtsrat formal abnicken, ohne dass jemand den Inhalt unabhängig validiert.

VerwandtAI im Vorstand: Wer entscheidet, wer haftet?  /  SaaS-Portfolios brauchen eine Exit-Strategie

Was sich verschoben hat

Vor zehn Jahren war die übliche Argumentation gegen ein Tech-Mandat im Aufsichtsrat, dass operative Themen in der Geschäftsführung gehörten und der Aufsichtsrat sich auf Strategie, Finanzen und Personalfragen konzentrieren solle. Diese Argumentation hat sich verbraucht. Die regulatorische Lage hat den Aufsichtsrat in technische Verantwortlichkeiten hineingezogen, ob er das wollte oder nicht.

Drei Verschiebungen tragen das. Erstens: NIS2 macht die Geschäftsleitung persönlich haftbar für Cybersecurity-Versäumnisse, was den Aufsichtsrat zur Überwachung dieser Pflicht zwingt. Zweitens: Der EU AI Act fordert für Hochrisiko-Systeme Risikomanagement, Daten-Governance und Conformity-Assessments, die der Aufsichtsrat als prüfendes Organ nicht delegieren kann, ohne in die eigene Sorgfaltspflicht zu geraten. Drittens: Die CSRD-Berichterstattung zwingt Aufsichtsräte zu einer Datenqualitäts-Prüfung, die ohne IT-Verständnis nicht seriös funktioniert.

Wer drei strukturelle Verschiebungen gleichzeitig erlebt und in der Personalplanung des Aufsichtsrats nicht reagiert, hat eine Lücke, die in Wirtschaftsprüfer-Berichten in den nächsten Quartalen Erwähnung finden wird.

Wie ein Tech-Mandat konkret aussieht

Ein Tech-Mandat ist keine zusätzliche Aufsichtsrats-Position mit unscharfer Aufgabenbeschreibung. Es ist eine in der Geschäftsordnung verankerte Verantwortlichkeit, die mindestens vier Elemente umfasst.

Insbesondere das Eskalations-Mandat ist die unangenehme Stelle. Es schafft eine direkte Linie zwischen Tech-Spitze und Aufsichtsrat, die in vielen Unternehmen historisch nicht gewollt war, weil sie die Berichts-Hierarchie unterläuft. Sie ist 2026 dennoch der einzige Weg, NIS2-Anforderungen an die Aufsichtsorgan-Kenntnis sauber zu erfüllen.

Die Profile, die jetzt fehlen

Die ehrliche Beobachtung aus den Sondierungs-Gesprächen, die Personalberater in den letzten Quartalen für Aufsichtsrats-Besetzungen geführt haben: Klassische CIO-Profile sind verfügbar, aber sie passen oft nicht in das Anforderungs-Bild. Was gesucht wird, ist eine Mischung aus operativer Tech-Verantwortung, regulatorischer Erfahrung und der Fähigkeit, im Gremium ohne PowerPoint zu argumentieren.

Auffällig ist, dass die meisten dieser Profile in Personalberatungs-Pools unterrepräsentiert sind. Sie sind nicht selten in absoluten Zahlen, aber sie melden sich seltener von sich aus und müssen aktiv angesprochen werden. Das verlängert Besetzungszeiten und treibt die Erstaussage in Richtung externer Beratungs-Mandate, was als Übergangslösung sinnvoll, als Dauerlösung aber teuer ist.

Was im Wahrnehmungs-Kalender stehen sollte

Wer die Geschäftsordnungs-Anpassung in Monat 3 oder 4 nicht aufnimmt, verzögert den gesamten Pfad um mindestens einen Aufsichtsrats-Zyklus. Geschäftsordnungs-Änderungen sind seltene Beschlüsse, die nicht zwischendurch geschoben werden.

Haftungsschatten und stille Risiken

Eine Beobachtung, die in Vorstands-Coachings immer wieder auftaucht. Aufsichtsrats-Mitglieder fragen nach D&O-Versicherung, nach Haftungsausschluss-Klauseln, nach persönlichen Risiken. Was sie weniger fragen, ist, wie eine Versicherung in einem KI-Vorfall greifen kann, wenn die Aufsichtsorgan-Mitglieder formal eine Beschluss-Vorlage abgenickt haben, deren technische Substanz sie nicht beurteilen konnten.

D&O-Verträge enthalten in den meisten neueren Versionen Klauseln zur erforderlichen Sorgfaltspflicht. Wer die Sorgfaltspflicht über externe Beratung füllt, ist abgesichert, solange die Beratung dokumentiert ist und der Aufsichtsrat sich nachweislich informiert hat. Wer die Sorgfaltspflicht ausschließlich an die Geschäftsleitung delegiert, ohne eigene Bewertungs-Kapazität, hat einen blinden Fleck im Versicherungsmantel.

Genau diesen blinden Fleck schließt ein Tech-Mandat. Es ist also nicht nur eine Frage der Governance-Hygiene, sondern eine Frage des Versicherungsschutzes der Aufsichtsorgan-Mitglieder selbst.

Was nach zwölf Monaten anders aussieht

In den wenigen Konzern-Strukturen, in denen ein Tech-Mandat seit 18 Monaten oder länger institutionalisiert ist, zeigen sich drei Veränderungen, die operativ messbar sind. Erstens: Beschluss-Vorlagen zu IT- und KI-Investitionen werden früher überarbeitet. Die Quote der Vorlagen, die im ersten Anlauf vom Aufsichtsrat zurückverwiesen werden, sinkt deutlich, weil die Geschäftsleitung die Tech-Mandats-Perspektive bereits einbezieht.

Zweitens: Die Reaktionszeit auf Cybersecurity-Vorfälle, die das Aufsichtsorgan informieren müssten, verkürzt sich von Wochen auf Tage. Der Eskalations-Kanal funktioniert, sobald er einmal genutzt wurde.

Drittens: Im Wirtschaftsprüfer-Bericht zur Governance-Bewertung verschwinden Hinweise zu fehlender IT-Kompetenz im Aufsichtsrat. Das ist kein kosmetischer Effekt. Aufsichtsorgan-Bewertungen in Wirtschaftsprüfer-Anhängen werden zunehmend von institutionellen Investoren als Reputationssignal gelesen.

Häufige Fragen

Lesetipps der Redaktion

• AI im Vorstand: Wer entscheidet, wer haftet?
• SaaS-Portfolios brauchen eine Exit-Strategie, kein nächstes Tool
• Rohstoffpolitik wird Tech-Politik

Bildquelle: E. (. SumOfUs) / Wikimedia Commons (CC BY 2.0). Aufnahme: Einreichung der Forderungen zum EU AI Act, EU-Parlament Straßburg.