Brauche ich einen CISO? Wenn du dir diese Frage stellst, lautet die ehrliche Antwort für die meisten Schweizer KMU: nein. Jedenfalls nicht so, wie die Frage üblicherweise gemeint ist. Gemeint ist nämlich eine Stelle: eine Person im Organigramm, mit einem Lohn, der in der Schweiz schnell sechsstellig wird.
Was du brauchst, klingt deutlich weniger glamourös: Jemand muss für die Sicherheit deines Unternehmens Entscheidungen treffen, Prioritäten setzen und der Geschäftsleitung Bericht erstatten. Diese Funktion fehlt in vielen KMU. Und sie ist etwas anderes als die Stelle.
Woher die Frage plötzlich kommt
In unserer Erfahrung stellt sich kaum ein Geschäftsführer diese Frage aus eigenem Antrieb. Sie kommt von aussen. Ein Enterprise-Kunde schickt einen Security-Fragebogen und will wissen, wer bei euch für Informationssicherheit zuständig ist. Die Cyber-Versicherung fragt bei der Erneuerung der Police dasselbe. Der Verwaltungsrat hat etwas über persönliche Haftung gelesen. Oder es hat einen Betrieb in der Nähe erwischt, und die Frage steht plötzlich auch bei euch im Raum.
Schau dir diese Auslöser genau an. Keiner davon fragt nach einem Titel. Der Kunde will wissen, ob jemand zuständig ist. Die Versicherung will wissen, ob jemand die Risiken kennt und im Griff hat. Der Verwaltungsrat will belegen können, dass jemand hinschaut. Die Antwort «wir haben einen CISO eingestellt» würde alle drei zufriedenstellen, das stimmt. Sie ist nur die teuerste Art, eine Frage zu beantworten, die eigentlich lautet: Wer trägt bei euch die Verantwortung für Sicherheit?
Solange du die Frage auf den Titel verengst, hast du genau zwei Optionen: eine teure Stelle schaffen oder nichts tun. Beide sind für die meisten KMU falsch.
Der Titel ist die falsche Einheit
Ein Vollzeit-CISO ergibt Sinn, wo genug Arbeit für ihn da ist: in stark regulierten Branchen und in Konzernstrukturen. In einem KMU mit 50 bis 500 Mitarbeitenden gibt die Sicherheitsarbeit selten ein volles Pensum her. Was passiert dann? Entweder die Stelle wird nie geschaffen, oder sie wird geschaffen und die Person füllt ihre Zeit. Sie schreibt Policies, die niemand liest, und beschafft Tools, die das Budget belasten, ohne das Risiko messbar zu senken. Wir haben beide Varianten gesehen. Die zweite ist teurer.
Die Funktion dahinter ist trotzdem unverzichtbar, und sie besteht aus wenigen, klar benennbaren Dingen. Jemand kennt die wichtigsten Risiken des Unternehmens und hat sie bewertet. Jemand entscheidet, was zuerst angegangen wird und was bewusst warten kann. Jemand sagt nein zu Ausgaben, die Schutz nur versprechen. Und jemand berichtet der Geschäftsleitung in einer Sprache, die dort verstanden wird.
Der naheliegende Einwand: «Das macht doch unsere IT.» Meistens macht sie es eben nicht, und das ist kein Vorwurf. Die IT betreibt Systeme, und Betrieb ist eine andere Aufgabe als Aufsicht. Wer die Firewall konfiguriert, kann nicht gleichzeitig unabhängig beurteilen, ob die Firewall-Strategie stimmt. Dazu kommt die Interessenlage: Die IT beurteilt mit jeder Sicherheitsfrage auch ihre eigene Arbeit. Warum das strukturell nicht aufgeht, haben wir im Beitrag warum IT-Betrieb keine Security-Strategie ersetzt beschrieben, und die Abgrenzung der Rollen im Detail im Unterschied zwischen CISO und IT-Sicherheitsbeauftragtem.
Eine dritte Variante verdient einen eigenen Absatz, weil sie so verbreitet ist: der CISO auf dem Papier. Der Kundenfragebogen verlangt einen Verantwortlichen für Informationssicherheit, also wird einer ernannt. Meistens der IT-Leiter, manchmal der CFO, gelegentlich jemand, der beim Meeting gerade im Raum sass. Die Person bekommt den Zusatz in die Stellenbeschreibung, aber keine Zeit, kein Budget und kein Mandat, der Geschäftsleitung unbequeme Dinge zu sagen. Der Fragebogen ist damit beantwortet. Die Funktion bleibt unbesetzt. Das ist die Variante, die sich am besten anfühlt und am wenigsten bringt: Sie kostet scheinbar nichts und erzeugt genau die Sorte Scheinsicherheit, die bei einem Vorfall am schnellsten zusammenfällt.
Der Test mit drei Fragen
Ob die Funktion bei euch besetzt ist, findest du ohne Berater und ohne Assessment heraus. Drei Fragen reichen.
Erstens: Wer entscheidet bei euch über Abwägungen zwischen Sicherheit und Geschäft? Konkret: Die IT will eine Zwei-Faktor-Anmeldung für alle, der Verkauf wehrt sich, weil es beim Kundentermin stört. Oder die Offerte für ein besseres Backup-Konzept liegt seit drei Budgetrunden auf dem Tisch, und niemand kann sagen, ob sie wichtiger ist als der neue Webshop. Wer entscheidet das? Wenn die Antwort «die IT» lautet, entscheidet die falsche Ebene. Solche Abwägungen betreffen das Geschäft und gehören dorthin, wo Geschäftsentscheidungen fallen. Wenn die Antwort «niemand, das versandet jeweils» lautet, entscheidet gar niemand. Das ist die häufigste Variante.
Zweitens: Wer berichtet der Geschäftsleitung regelmässig zur Sicherheitslage? Regelmässig heisst: auch dann, wenn nichts brennt. Ein Bericht pro Quartal, verständlich, mit den relevanten Risiken und dem Stand der Massnahmen. Wenn die Geschäftsleitung nur nach Vorfällen von Sicherheit hört, kennt sie ihre Risikolage nicht. Sie kann dann auch nicht sorgfältig entscheiden, und genau diese Sorgfalt ist es, die sie im Ernstfall belegen muss.
Drittens: Wer steht nach einem Vorfall hin? Die Versicherung stellt Fragen, betroffene Kunden wollen Antworten, je nach Fall auch Behörden. Jemand muss erklären können, welche Risiken bekannt waren und was dagegen unternommen wurde. «Das müssten wir dann anschauen» ist keine Antwort, die du in dieser Situation geben willst.
Wenn du alle drei Fragen mit einem Namen beantworten kannst, ist deine Funktion besetzt. Der Titel dieser Person ist zweitrangig. Wenn du bei einer oder mehreren Fragen zögerst, hast du die Lücke gefunden, um die es in der CISO-Frage geht.
Wie du die Funktion besetzt
Für die Besetzung gibt es zwei ehrliche Wege, und welcher passt, hängt von deinem Unternehmen ab.
Der interne Weg funktioniert, wenn drei Bedingungen erfüllt sind. Die Person braucht ausgewiesene Zeit für die Aufgabe, nicht «zusätzlich zum Tagesgeschäft, wenn es die Auslastung erlaubt». Sie braucht direkten Zugang zur Geschäftsleitung, ohne dass ihr Bericht vorher durch drei Hierarchiestufen weichgespült wird. Und sie darf nicht dieselbe Person sein, die den IT-Betrieb verantwortet, sonst beurteilt sie wieder ihre eigene Arbeit. In einem KMU sind diese drei Bedingungen schwer gleichzeitig zu erfüllen. Es geht, aber es ist selten.
Der externe Weg ist das Mandat: eine erfahrene Person, die die Funktion in einem definierten Umfang übernimmt und der Geschäftsleitung direkt berichtet. Der Vorteil liegt weniger im Fachwissen als in der Struktur. Eine externe Person hat keine eigenen Systeme zu verteidigen und kein Interesse daran, dass das Sicherheitsbudget wächst. Der Nachteil ist genauso real: Sie kennt dein Unternehmen am Anfang nicht und muss sich das Verständnis erarbeiten. Ein Mandat, das in der ersten Woche fertige Antworten liefert, liefert Antworten von der Stange. Dafür lässt sich der Umfang anpassen: mehr am Anfang, weniger im eingespielten Betrieb, wieder mehr, wenn ein Audit oder eine Zertifizierung ansteht.
Was in den ersten Monaten passieren sollte, ist in beiden Varianten gleich: eine Bestandsaufnahme dessen, was da ist, eine Risikobeurteilung, die sich am Geschäft orientiert statt an einer Norm, und ein Berichtsrhythmus an die Geschäftsleitung, der auch ohne Vorfall läuft. Wer mit einer Tool-Liste beginnt, hat die Reihenfolge nicht verstanden.
Was die Funktion kosten darf
Bleibt die Frage nach dem Preis. Eine Vollzeitstelle ist die teuerste Lösung, und was sie in der Schweiz kostet, haben wir separat aufgeschlüsselt: Was kostet ein CISO in der Schweiz? Für die Funktion, wie sie oben beschrieben ist, braucht ein KMU in unserer Erfahrung eher wenige Tage pro Monat als eine Vollzeitkraft. Genau dafür gibt es das Modell des externen CISO auf Zeitbasis, ob man es nun Fractional CISO, CISO as a Service oder Mandat nennt.
Woran erkennst du, ob die Person ihre Arbeit macht? An einem einfachen Muster: Ein guter CISO senkt in einem KMU über die Zeit die Sicherheitskosten. Das klingt widersprüchlich, ist aber die logische Folge der Funktion. Wer Risiken bewertet und priorisiert, entdeckt zuerst die Ausgaben, die nichts bewirken: doppelte Tools und Massnahmen, die nur auf dem Papier schützen. Aufräumen kommt vor Dazukaufen. Wenn dein externer CISO im ersten Jahr vor allem neue Beschaffungen empfiehlt, hast du keinen CISO engagiert, sondern einen Verkäufer mit besserem Titel.
Das ist auch der Massstab, den du an uns anlegen darfst.
Drei Fragen, ein Name
Vergiss den Titel für einen Moment. Die Frage «Brauche ich einen CISO?» heisst übersetzt: Ist bei uns jemand für Sicherheit verantwortlich, der entscheidet, priorisiert und berichtet? Wenn ja, bist du weiter als die meisten. Wenn nein, besetzt du die Funktion bewusst, in einem Umfang, der zu deinem Unternehmen passt. Sechsstellige Personalkosten braucht das selten, und «die IT macht das mit» hat den Test oben schon einmal nicht bestanden.
Welche der drei Fragen konntest du nicht mit einem Namen beantworten?
Wenn du darüber sprechen willst, wie diese Funktion bei euch aussehen könnte: Ein Erstgespräch kostet nichts und verpflichtet zu nichts. Wir sagen dir auch, wenn ihr keinen CISO braucht. Gerade das gehört zur Funktion.
