Leitungsstellen bilden in diesem Portal mit 23 Anzeigen eine der größeren Gruppen – Titel wie Leiter Informationssicherheit, Head of Security oder CISO. Wer dorthin will, sollte eines wissen: Es ist nicht die nächste Stufe derselben Arbeit, sondern ein anderer Beruf mit anderen Fähigkeiten. Dieser Text beschreibt, was sich ändert, welche Stationen vorbereiten und was vor der Zusage zu klären ist.
Was sich ändert
Sie entscheiden über Prioritäten statt über Maßnahmen. Als Fachverantwortlicher lösen Sie Probleme; als Leitung entscheiden Sie, welche drei von zwanzig in diesem Jahr bearbeitet werden – und begründen die siebzehn, die liegen bleiben. Das ist die schwierigste Umstellung.
Ihre Arbeit ist Kommunikation. Berichte an die Geschäftsführung, Vorlagen für Aufsichtsgremien, Abstimmung mit Fachbereichsleitungen, Gespräche mit Prüfern und Behörden, Erklärungen gegenüber Kunden. Technische Tiefe brauchen Sie, um beurteilen zu können, was Ihr Team sagt – nicht, um es selbst zu tun.
Sie führen Menschen. Einstellen, einarbeiten, Gespräche führen, Konflikte austragen, Bereitschaftspläne verantworten, im Zweifel trennen. Die meisten Neu-Führungskräfte unterschätzen, wie viel Zeit das kostet.
Sie tragen die Regulierung. Nachweise, Meldefristen, Berichtspflichten. Mit der europäischen NIS2-Richtlinie sind die Pflichten der Leitungsorgane ausdrücklich geregelt worden; das hat die Rolle in vielen Häusern gestärkt und ihr zugleich Verbindlichkeit gegeben – siehe NIS2 und, für Betreiber, KRITIS und Nachweispflichten.
Sie sind im Ernstfall der Ansprechpartner. In einer Krise entscheidet die Leitung über Eindämmung, Kommunikation und Meldungen – mit unvollständigen Informationen und unter Zeitdruck.
Die Stationen, die vorbereiten
Es gibt drei Wege, die in Bewerbungsgesprächen für Leitungsstellen tatsächlich überzeugen.
Über das Managementsystem. Wer ein ISMS aufgebaut, Audits geführt und der Leitung berichtet hat, hat die Hälfte der Führungsaufgabe schon gemacht: Er kennt die Sprache der Nachweise und die Gremien. Siehe ISO 27001 und Informationssicherheitsbeauftragter werden.
Über die Teamleitung im Betrieb. Schichtleitung, Leitung eines Sicherheitsbetriebs, Verantwortung für Bereitschaft. Hier lernt man Personalführung unter realen Bedingungen, siehe Laufbahn im Sicherheitsbetrieb.
Über die Beratung. Wer Projekte bei Kunden verantwortet hat, hat Angebote geschrieben, Budgets gehalten und Geschäftsführungen überzeugt. Der Wechsel in die Linie gelingt häufig – umgekehrt auch.
Was in allen drei Wegen fehlt und nachgeholt werden muss: Budgetplanung, Personalrecht in Grundzügen, Berichtswesen für Aufsichtsgremien, und die Fähigkeit, ein Risiko in Geld und Wahrscheinlichkeit zu übersetzen, ohne beides zu erfinden.
Welche Nachweise zählen
Für Leitungsstellen zählen die breiten Managementzertifikate – siehe CISSP und CISM und CISA –, und sie zählen mehr als in Fachrollen, weil in Ausschreibungen und bei Aufsichtsgremien nach formalen Qualifikationen gefragt wird. Technische Zertifikate verlieren dagegen an Gewicht.
Wichtiger als jedes Papier ist eine belegbare Wirkung: ein Managementsystem, das zertifiziert wurde; ein Sicherheitsbetrieb, der aufgebaut ist; eine Krise, die geführt wurde; ein Prüfungsergebnis, das sich verbessert hat. Solche Punkte gehören in den Lebenslauf, mit Umfang und Zeitraum – siehe Lebenslauf. Was das Portal an Rollen und Gehaltsangaben dazu führt, steht beim CISO und beim Security Manager.
Die Fragen, die vor der Zusage geklärt sein müssen
Leitungsstellen scheitern selten an der Fachlichkeit und häufig an ihrem Zuschnitt. Sechs Punkte, die schriftlich geklärt sein sollten:
- An wen berichten Sie? An die Geschäftsführung, an einen Vorstand, an die IT-Leitung? Eine Sicherheitsleitung, die dem IT-Betrieb unterstellt ist, prüft ihren eigenen Vorgesetzten.
- Welches Mandat haben Sie? Dürfen Sie eine Freigabe verweigern, einen Betrieb anhalten, eine Beschaffung stoppen? Und wer entscheidet, wenn Sie überstimmt werden – und wird das dokumentiert?
- Welches Budget und welches Personal? Beides mit Zahlen, nicht als Absicht.
- Wie ist die Krisenorganisation aufgestellt? Gibt es einen Krisenstab, war er schon einmal einberufen, wer führt ihn?
- Welche Pflichten treffen das Haus, und wo steht es? Betroffenheit geprüft, Registrierung erfolgt, Nachweise aktuell, Meldewege geübt?
- Was ist mit dem Vorgänger geschehen? Bei Leitungsstellen die aufschlussreichste Frage überhaupt.
Die vollständige Fragenliste für Gespräche steht unter Vorstellungsgespräch.
Die ersten hundert Tage
Eine Leitungsrolle wird in den ersten Monaten entschieden, und die Reihenfolge ist in erfolgreichen Fällen ähnlich.
Zuhören, bevor Sie umbauen. Gespräche mit dem eigenen Team, mit den Fachbereichsleitungen, mit dem IT-Betrieb, mit Datenschutz und Revision. Ziel ist nicht die Diagnose, sondern die Frage, wo Zusammenarbeit heute klemmt.
Den Stand feststellen. Welche Nachweise sind aktuell, welche Feststellungen offen, welche Pflichten laufen, wo liegen die größten Risiken. Danach eine kurze Darstellung für die Leitung, mit drei Prioritäten für zwölf Monate – nicht zwanzig.
Einen sichtbaren Erfolg planen. Etwas, das nach drei Monaten fertig ist und das im Haus bemerkt wird: ein geübter Meldeweg, ein aufgeräumter Bereich privilegierter Konten, eine Schulung, die Leute für brauchbar halten.
Den Berichtsrhythmus festlegen. Regelmäßig, kurz, mit denselben Kennzahlen. Wer jedes Mal andere Zahlen zeigt, wird nicht gelesen.
Nicht alles selbst machen. Der häufigste Fehler guter Fachleute in der ersten Leitungsrolle: Sie bearbeiten weiter Fälle und kommen nicht zur Führung. Das fällt nach einem halben Jahr auf – beim Team.
Verantwortung, sachlich
Zur Haftung wird viel geredet und wenig unterschieden. Die gesetzlichen Pflichten zur Organisation der Informationssicherheit treffen die Geschäftsleitung – das gilt auch dort, wo eine Sicherheitsleitung eingesetzt ist. Wer als Beschäftigter eine Leitungsrolle ausfüllt, ist kein Organ des Unternehmens; für ihn gelten die allgemeinen Grundsätze der Arbeitnehmerhaftung, die nach dem Grad des Verschuldens abstuft.
Praktisch folgen daraus zwei Dinge. Erstens: Dokumentieren Sie, welche Risiken Sie gemeldet haben und welche Entscheidung die Leitung getroffen hat. Das ist keine Absicherungsgeste, sondern Ihre Berichtspflicht – und im Zweifel die Antwort auf die Frage, wer wann was wusste. Zweitens: Fragen Sie bei Stellen mit Organfunktion oder mit sehr weitreichender Verantwortung nach dem Versicherungsschutz des Hauses. Wer als Geschäftsführer einer Tochtergesellschaft eingesetzt wird, ist in einer anderen Lage als ein Abteilungsleiter.
Der Titel und was dahintersteckt
Die Bezeichnung sagt in diesem Feld weniger als in jedem anderen Bereich der Führung. Vier Konstellationen, die sich hinter demselben Titel verbergen:
Die Stabsstelle ohne Team. Ein Titel mit Verantwortung und Berichtsweg, aber ohne Personal. Wirksam, wenn das Mandat stimmt; frustrierend, wenn Sie jede Umsetzung erbitten müssen.
Die Abteilungsleitung. Team, Budget, Bereitschaftsplan, Zielvereinbarungen. Die klassische Führungsrolle.
Die Konzernfunktion. Vorgaben für Landesgesellschaften, Berichtslinien in eine Zentrale, viel Abstimmung und wenig eigener Betrieb. Verlangt Geduld mit Gremien und Sprachkenntnis.
Die Organfunktion. Geschäftsführer einer Tochtergesellschaft oder Vorstandsmitglied mit dem Ressort Sicherheit. Hier ändert sich die Rechtslage grundlegend: Sie tragen Organpflichten und haften nach anderen Maßstäben als ein Beschäftigter. Diese Frage gehört vor die Unterschrift, samt Versicherungsschutz.
Fragen Sie deshalb nicht nach dem Titel, sondern nach diesen vier Merkmalen: Team, Budget, Weisungsbefugnis, Rechtsstellung. Ein Haus, das darauf klar antwortet, hat die Rolle durchdacht. Eines, das den Titel betont und die Merkmale offenlässt, verkauft eine Bezeichnung – siehe auch Rollen in der IT-Sicherheit zum Umgang mit unscharfen Stellentiteln.
Der Preis
Drei Dinge, die man vorher wissen sollte.
Die Erreichbarkeit endet nicht. Eine Leitungsrolle ist im Ernstfall immer ansprechbar, auch ohne Bereitschaftsplan. Wer aus der Schicht kommt und glaubt, damit ende die Unruhe, irrt.
Die Fachlichkeit verblasst. Nach zwei Jahren Leitung sind Sie technisch nicht mehr auf dem Stand. Das ist unvermeidlich und für viele der schwerste Verlust. Wer das nicht will, sollte den Fachweg gehen – in größeren Häusern gibt es dafür ausgewiesene Expertenrollen, die ähnlich vergütet werden.
Die Rolle ist exponiert. Nach einem schweren Vorfall wird nach Verantwortung gefragt. Ein gutes Haus fragt nach Ursachen; darauf sollte man sich vorher verlassen können – siehe Alarmmüdigkeit und Belastung.
Wer das abwägt und sich dafür entscheidet, findet in diesem Feld mehr offene Leitungsstellen als in vielen anderen: Die Regulierung schafft sie gerade in Häusern, die vorher keine hatten. Welche das sind, zeigen die offenen Stellenangebote und der Bereich Steuerung und Nachweis.
Wenden Sie das direkt an: Im Stellenmarkt stehen Anzeigen aus ganz Deutschland, und zu jedem Beruf finden Sie die Aufgaben und die üblichen Gehälter daneben.