Na 228. sjednici Senata Sveučilišta u Dubrovniku, održanoj 27. svibnja 2026., imenovano je Povjerenstvo za ocjenu doktorskog rada doktorandice Martine Schmucki u sastavu:
1. Predsjednik povjerenstva: prof. dr. sc. Mario Spremić, Ekonomski fakultet Sveučilišta u Zagrebu, Hrvatska
2. Član povjerenstva: prof. dr. sc. Božidar Jaković, Ekonomski fakultet Sveučilišta u Zagrebu, Hrvatska
3. Član povjerenstva: prof. dr. sc. Iva Vuksanović Herceg, Ekonomski fakultet, Univerzitet u Beogradu, Srbija
Doktorski rad pod nazivom The Impact of Cybersecurity Risk Maturity on Resilience: A Holistic Model izrađen je pod mentorstvom prof. dr. sc. Mirjane Pejić Bach s Ekonomskog fakulteta Sveučilišta u Zagrebu i izv. prof. dr. sc. Josipa Marića s EM Normandie Business School.
Abstract
The Impact of Cybersecurity Risk Maturity on Resilience: A Holistic Model
The increasing number and complexity of cyber threats have prompted firms globally to embrace cybersecurity as a strategic imperative. In the evolving digital landscape, an organization’s capacity to recover from cyber incidents and adapt to threats is critical for maintaining operations and competitive advantage. Cybersecurity risk maturity denotes an organization’s overall capacity to detect, assess, and manage cyber risks systematically. It has emerged as a fundamental determinant of whether an organization can endure in new threat environments. Organizational resilience in cybersecurity is the ability to understand potential security threats, absorb their impact, adjust operational policies in response to these incidents, and swiftly recover, thereby ensuring operational continuity. Although the constructs of cybersecurity maturity and organizational resilience have been examined, little empirical evidence exists on how cybersecurity risk maturity affects organizational resilience.
This research addresses this gap by proposing and testing an integrated, holistic model that establishes the relationship between cybersecurity risk maturity and organizational resilience. These findings, based on structural equation modeling using data from 170 cybersecurity professionals at large Swiss enterprises, indicate that cybersecurity risk maturity is the primary predictor of organizational resilience, accounting for 93.4% of the variance. This refined model identifies three important pathways: the governance and leadership pathway, driven by market turbulence; the collaborative capability pathway, enabled by cross-functional engagement; and the maturity and resilience pathway, grounded in technological infrastructure and organizational capabilities.
To evaluate this relationship, a conceptual framework was developed that encompasses cybersecurity maturity models, organizational resilience theory, risk management frameworks, and the dynamic capabilities perspective. The study employed a quantitative research design, with a focus on structural equation modeling, and was underpinned by qualitative pilot interviews with cybersecurity professionals, including Chief Information Security Officers and senior information technology leaders, to refine and validate the research instrument for applicability across a wide range of industry and organizational settings. The theoretical model and its predicted associations were examined using structural equation modeling, multivariate analysis, and other advanced statistical techniques.
This work contributes to the literature by first presenting a robust empirical model linking cybersecurity risk maturity to organizational resilience. Second, the study finds that cybersecurity risk maturity is the foremost proximal predictor of organizational resilience, demonstrating significant predictive implications for practitioners. Third, it develops theoretical insights into enterprise cybersecurity capability strategies that support resilience amid an evolving cyber threat landscape. Fourth, this research advances applied cybersecurity research by demonstrating how structural equation modeling can empirically validate multi-level capability-governance frameworks. In practice, an organization can use the validated model to assess the maturity of its cybersecurity risk posture and select the appropriate levers to strengthen organizational resilience. The implications of this analysis support the strategic deployment of cybersecurity resources and guide investments that strengthen resilience.
The research offers recommendations for establishing governance structures and capability-building programs, and for advancing understanding of the interplay between cybersecurity and resilience. The findings inform cybersecurity governance frameworks and guide investments in continuous risk assessment. They also foster a security-aware culture and support the development of incident response systems, adaptive security architectures, and cross-functional collaboration.
The research also emphasizes leadership commitment, resource allocation, and ongoing learning, which set the stage for the maturity of organizations’ cybersecurity risk management and thereby enhance resilience. Critically, the research finds that broad-based awareness programs do not contribute to organizational maturity unless they are integrated into formal, capability-focused training programs, and that market turbulence, rather than technological change alone, is the primary catalyst for organizational adaptation. The refined, evidence-based model shows that resilience evolves in a cascade: market pressures increase executive perceptions of risk, prompting top management to support cross-functional collaboration to develop the technological infrastructure and organizational capabilities necessary for mature cybersecurity risk management.
Sažetak rada
Utjecaj zrelosti rizika kibernetičke sigurnosti na otpornost: holistički model
Sve veći broj i složenost kibernetičkih prijetnji potaknule su tvrtke diljem svijeta da prihvate kibernetičku sigurnost kao strateški imperativ. U sve razvijenijem digitalnom okruženju, sposobnost organizacije da se oporavi od kibernetičkih incidenata i prilagodi prijetnjama ključna je za održavanje poslovanja i konkurentske prednosti. Zrelost rizika kibernetičke sigurnosti označava sveukupnu sposobnost organizacije da sustavno otkriva, procjenjuje i upravlja kibernetičkim rizicima. Ona se nametnula kao temeljna odrednica može li organizacija opstati u novim okruženjima s prijetnjama. Organizacijska otpornost u kibernetičkoj sigurnosti jest sposobnost razumijevanja potencijalnih sigurnosnih prijetnji, apsorbiranja njihovog utjecaja, prilagodbe operativnih politika kao odgovor na te incidente i brzog oporavka, čime se osigurava operativni kontinuitet. Iako su konstrukti zrelosti kibernetičke sigurnosti i organizacijske otpornosti istraženi, postoji malo empirijskih dokaza o tome kako zrelost rizika kibernetičke sigurnosti utječe na organizacijsku otpornost.
Ovo istraživanje rješava taj problem predlaganjem i testiranjem integriranog, cjelovitog modela koji uspostavlja odnos između zrelosti rizika kibernetičke sigurnosti i organizacijske otpornosti. Ovi nalazi, temeljeni na modeliranju strukturnih jednadžbi pomoću podataka 170 stručnjaka za kibernetičku sigurnost iz velikih švicarskih poduzeća, ukazuju na to da je zrelost rizika kibernetičke sigurnosti primarni prediktor organizacijske otpornosti, objašnjavajući 93,4 % varijance. Ovaj usavršeni model identificira tri važna puta: put upravljanja i vodstva, potaknut tržišnim turbulencijama; put suradničke sposobnosti, omogućen međufunkcionalnim angažmanom; i put zrelosti i otpornosti, utemeljen na tehnološkoj infrastrukturi i organizacijskim sposobnostima.
Kako bi se procijenio taj odnos, razvijen je konceptualni okvir koji obuhvaća modele zrelosti kibernetičke sigurnosti, teoriju organizacijske otpornosti, okvire upravljanja rizicima i perspektivu dinamičkih sposobnosti. Studija je koristila kvantitativni istraživački dizajn, s naglaskom na modeliranje strukturiranih jednadžbi, a bila je potkrijepljena kvalitativnim pilot-intervjuima sa stručnjacima za kibernetičku sigurnost, uključujući glavne službenike za sigurnost informacija i više rukovoditelje informacijske tehnologije, kako bi se poboljšao i validirao istraživački instrument za primjenjivost u širokom rasponu industrijskih i organizacijskih okruženja. Teorijski model i njegove predviđene povezanosti ispitivani su pomoću modeliranja strukturiranih jednadžbi, multivarijantne analize i drugih naprednih statističkih tehnika.
Ovaj rad doprinosi znanstvenoj literaturi time što prvo predstavlja robustan empirijski model koji povezuje zrelost rizika kibernetičke sigurnosti s organizacijskom otpornošću. Drugo, studija utvrđuje da je zrelost rizika kibernetičke sigurnosti najvažniji neposredni prediktor organizacijske otpornosti, čime se pokazuju značajne prediktivne implikacije za praktičare. Treće, razvija teorijske uvide u strategije sposobnosti kibernetičke sigurnosti poduzeća koje podržavaju otpornost usred promjenjivog krajolika kibernetičkih prijetnji. Četvrto, ovo istraživanje unapređuje primijenjena istraživanja u području kibernetičke sigurnosti pokazujući kako strukturirano modeliranje jednadžbi može empirijski potvrditi višerazinske okvire upravljanja sposobnostima. U praksi, organizacija može koristiti potvrđeni model za procjenu zrelosti svog stanja u pogledu rizika kibernetičke sigurnosti i odabrati odgovarajuća sredstva za jačanje organizacijske otpornosti. Implikacije ove analize podupiru strateško raspoređivanje resursa za kibernetičku sigurnost i usmjeravaju ulaganja koja jačaju otpornost.
Istraživanje nudi preporuke za uspostavljanje upravljačkih struktura i programa za izgradnju sposobnosti te za unapređenje razumijevanja međusobnog djelovanja između kibernetičke sigurnosti i otpornosti. Nalazi služe kao smjernica za okvire upravljanja kibernetičkom sigurnošću i usmjeravaju ulaganja u kontinuiranu procjenu rizika. Također potiču kulturu osviještenosti o sigurnosti i podržavaju razvoj sustava za odgovor na incidente, adaptivnih sigurnosnih arhitektura i međufunkcionalnu suradnju.
Istraživanje također naglašava predanost vodstva, raspodjelu resursa i kontinuirano učenje, koji pripremaju teren za zrelost upravljanja rizicima kibernetičke sigurnosti organizacija i time povećavaju otpornost. Ključno je da istraživanje utvrđuje kako sveobuhvatni programi podizanja svijesti ne doprinose organizacijskoj zrelosti ako nisu integrirani u formalne programe obuke usmjerene na sposobnosti, te da je tržišna turbulencija, a ne samo tehnološka promjena, primarni katalizator za organizacijsku prilagodbu. Uljepšani model utemeljen na dokazima pokazuje da se otpornost razvija kaskadno: tržišni pritisci povećavaju percepciju rizika kod izvršnih rukovoditelja, potičući najviše rukovodstvo da podrži međufunkcionalnu suradnju radi razvoja tehnološke infrastrukture i organizacijskih sposobnosti potrebnih za zrelo upravljanje rizikom kibernetičke sigurnosti.
