Leitung Informationssicherheit & CISO

Was macht ein CISO?

Er verantwortet die Informationssicherheit eines Unternehmens als Ganzes: die Leitlinie, das Programm, das Budget, die Mannschaft und die Berichterstattung nach oben. Praktisch besteht die Arbeit aus vier Dingen. Aus Strategie – welche Risiken das Haus trägt, welche es behandelt und in welcher Reihenfolge. Aus Organisation – wer welche Rolle hat, was die eigene Abteilung macht und was Dienstleister. Aus Berichterstattung an Geschäftsführung, Vorstand, Aufsichtsrat und Prüfer. Und aus Krisenarbeit, denn im schweren Vorfall ist diese Stelle diejenige, die neben der Geschäftsleitung sitzt.

Der Titel ist in Deutschland nicht geschützt und wird sehr unterschiedlich verwendet. In einem Konzern führt ein CISO eine Abteilung mit eigenem Budget; in einem mittelständischen Haus steht derselbe Titel gelegentlich auf einer Stelle, die alles alleine macht. Der Unterschied zeigt sich an drei Dingen: Anzahl der unterstellten Personen, eigenes Budget und Berichtslinie.

Wie wird man CISO?

Über Jahre, nicht über einen Lehrgang. Zwei Herkünfte sind üblich. Die erste ist die technische: Jahre in Betrieb, Architektur oder Security Engineering, dann die Steuerung, dann die Leitung. Die zweite kommt von der Nachweisseite – Revision, Risikomanagement, Qualitätsmanagement, Beratung – und muss sich die Technik erarbeiten. Verlangt wird in der Regel ein Studium und Führungserfahrung; in kleineren Häusern ersetzt langjährige Praxis den Abschluss.

Die Zertifikate dieses Berufs sind Managementzertifikate und verlangen deshalb Erfahrung. CISM von ISACA setzt fünf Jahre im Informationssicherheitsmanagement voraus, CISSP fünf Jahre in zwei von acht Domänen – wer sie nicht hat, wird zunächst nur Associate. CISA gehört dazu, wenn die Rolle stark auf Prüfung und Nachweis ausgerichtet ist. Nützlicher als ein weiteres Zertifikat ist meist ein belegter Aufbau: ein ISMS, das unter Ihrer Verantwortung zertifiziert wurde.

Was der Beruf verlangt

Die Bereitschaft, Verantwortung ohne Weisungsbefugnis zu tragen. Die Systeme gehören der IT, die Prozesse den Fachbereichen, die Entscheidung der Geschäftsleitung – Sie tragen die Bewertung. Wer das nicht aushält, hält diese Rolle nicht lange. NIS2 verschiebt dieses Verhältnis etwas: Die Leitungsorgane müssen die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen; die Verantwortung ist damit ausdrücklich oben angekommen.

Dazu kommt die ständige Erreichbarkeit im Krisenfall, die Notwendigkeit, fachliche Sachverhalte in zehn Minuten für Nichtfachleute zu übersetzen, und ein Konflikt, der zum Beruf gehört: Sie sind die Stelle, die Vorhaben verzögert. Ein CISO, mit dem alle immer zufrieden sind, tut seine Arbeit vermutlich nicht.

Aussichten

Die Nachfrage wächst deutlich, weil die Regulierung eine verantwortliche Stelle erwartet und weil Kunden und Versicherer nach ihr fragen. NIS2 zieht den Kreis der verpflichteten Unternehmen weit über die bisherigen KRITIS-Sektoren hinaus; in Finanzunternehmen kommt DORA hinzu. Viele dieser Stellen sind die erste ihrer Art im Haus – eine Chance für den Zuschnitt und ein Risiko, weil die Strukturen fehlen. Wechselwege führen in die IT-Leitung, in die Beratung, in Aufsichts- und Prüfrollen und in die Geschäftsführung von Sicherheitsdienstleistern.