CISO vs. IT-Sicherheitsbeauftragter: der Unterschied

Der Unterschied zwischen einem CISO und einem IT-Sicherheitsbeauftragten liegt nicht im Titel, sondern darin, wer entscheidet und wer kontrolliert. Das klingt nach einer Formalie, entscheidet in der Praxis aber darüber, ob Informationssicherheit in deinem Unternehmen stattfindet oder nur auf dem Papier steht.

Die Frage taucht in den meisten KMU nicht aus Neugier auf. Sie kommt von aussen: Ein Grosskunde schickt einen Security-Fragebogen mit dem Feld «Verantwortliche Person für Informationssicherheit». Ein Auditor fragt nach dem Organigramm. Die Cyber-Versicherung will einen Namen. Und plötzlich braucht es einen Titel, den es gestern noch nicht gab. In unserer Erfahrung füllt die Geschäftsleitung diese Lücke dann innerhalb einer Woche, meistens mit dem IT-Leiter und einem zweiten Hut. Verständlich, pragmatisch, und in vielen Fällen der Anfang eines Problems, das erst Jahre später sichtbar wird.

Schauen wir uns die beiden Rollen deshalb in Ruhe an, so wie sie in einem Betrieb mit 50 bis 500 Mitarbeitenden im Alltag funktionieren.

CISO und IT-Sicherheitsbeauftragter: zwei verschiedene Jobs

Der CISO (Chief Information Security Officer) ist eine Führungsrolle. Er legt fest, welche Risiken das Unternehmen trägt und welche nicht, priorisiert das Sicherheitsbudget, entscheidet über Massnahmen und berichtet an Geschäftsleitung oder Verwaltungsrat. Er arbeitet an der Risikolandkarte des Geschäfts und nur selten an der Firewall. Ein guter CISO verbringt mehr Zeit mit der Frage «Was davon brauchen wir nicht?» als mit der Frage «Was kaufen wir als Nächstes?».

Der IT-Sicherheitsbeauftragte (oft auch Informationssicherheitsbeauftragter oder ISB genannt) ist eine operative und überwachende Rolle. Er sorgt dafür, dass beschlossene Massnahmen umgesetzt werden, kontrolliert die Einhaltung von Vorgaben, pflegt Richtlinien, begleitet Audits und meldet Abweichungen. Er ist näher an den Systemen und am Alltag, und genau das ist sein Wert.

Der CISO beantwortet die Frage «Was ist uns Sicherheit wert, und wo setzen wir sie ein?». Der IT-Sicherheitsbeauftragte beantwortet die Frage «Wird das, was wir beschlossen haben, auch gemacht?». Das eine ist Steuerung, das andere ist Betrieb und Kontrolle. Beides ist nötig, aber es sind zwei verschiedene Jobs, und sie brauchen unterschiedliche Fähigkeiten. Der eine muss mit dem Verwaltungsrat über Geschäftsrisiken sprechen können, der andere muss ein Berechtigungskonzept lesen wollen.

In einem Konzern sind die beiden Rollen sauber getrennt: Der CISO führt ein Team, der Informationssicherheitsbeauftragte ist Teil davon oder sitzt bewusst ausserhalb der IT. In einem KMU verschwimmen die Funktionen zwangsläufig, weil es schlicht weniger Köpfe gibt. Nur muss die Klarheit, die im Konzern das Organigramm liefert, bei dir aus einer bewussten Abmachung kommen. Deshalb lohnt es sich, die beiden Jobs erst getrennt zu verstehen und dann zu entscheiden, wie viele Personen sie tragen.

Übrigens verlangt kein Standard, dass du diese Rollen genau so nennst. ISO 27001 fordert, dass Verantwortlichkeiten für Informationssicherheit zugewiesen und kommuniziert sind. Von einem CISO steht dort nichts. Auch das Schweizer Datenschutzgesetz verlangt angemessene Datensicherheit, aber keinen bestimmten Titel im Organigramm. Die Titel sind Konvention, die Verantwortlichkeiten sind der Kern.

Warum der Titel allein nichts schützt

Hier kommt der Teil, der in Stellenausschreibungen und Fragebögen gern untergeht: Eine Rolle wirkt nur, wenn drei Dinge dahinterstehen. Ein Mandat, Zeit und ein direkter Draht zur Geschäftsleitung.

Das Mandat zuerst. Wer Sicherheitsverantwortung trägt, muss etwas entscheiden oder zumindest verbindlich eskalieren dürfen. In unserer Erfahrung ist das die häufigste Lücke: Es gibt einen Beauftragten, aber seine Empfehlungen versanden in der Linie, weil niemand festgelegt hat, was passiert, wenn IT-Leitung, Finanzchef und Beauftragter unterschiedlicher Meinung sind. Ein Beauftragter ohne Eskalationsweg ist ein Briefkasten.

Wie das aussieht, haben wir in einem Assessment bei einem Produktionsbetrieb gesehen. Auf dem Papier gab es seit Jahren einen Informationssicherheitsbeauftragten, ernannt damals wegen eines Kundenfragebogens. Auf die Frage, wann er der Geschäftsleitung zuletzt berichtet hatte, folgte Schweigen. Es gab keinen Berichtsrhythmus, keine reservierten Stunden, kein Budget, und die offenen Punkte aus dem letzten Audit lagen unbearbeitet in einem Ordner, den ausser ihm niemand kannte. Der Betrieb war deswegen nicht schutzlos. Aber alles, was funktionierte, funktionierte trotz der Rolle, nicht wegen ihr. Der Fragebogen von damals war korrekt ausgefüllt, mehr hatte die Ernennung nie geleistet.

Dann die Zeit. Ein zweiter Hut ist billig verteilt und teuer getragen. Wenn der IT-Leiter die Rolle «nebenbei» übernimmt, gewinnt im Alltag meistens das Dringende gegen das Wichtige: Das Ticket schlägt die Risikoanalyse, der Serverausfall schlägt das Awareness-Programm. Böser Wille ist dafür gar nicht nötig. Der Betrieb ist laut, Sicherheit ist leise, und leise Aufgaben verlieren jede Woche aufs Neue. Wer die Rolle ernst meint, reserviert ihr feste Stunden und schützt sie.

Und schliesslich der Draht nach oben. Sicherheit ist eine Abwägung zwischen Risiko und Geld, und diese Abwägung gehört dorthin, wo auch sonst über Risiko und Geld entschieden wird. Wer die Sicherheitsverantwortung trägt, aber drei Hierarchiestufen unter der Geschäftsleitung hängt und ihr nie direkt berichtet, kann seine wichtigste Aufgabe nicht erfüllen: unbequeme Wahrheiten dorthin tragen, wo sie Konsequenzen haben. Warum das auch haftungsrechtlich zählt, haben wir im Beitrag zur Cyber-Haftung im Verwaltungsrat beschrieben: Das Gremium muss zeigen können, dass es informiert war und gehandelt hat. Dafür braucht es jemanden, der es informiert.

Fehlen diese drei Dinge, hast du keinen Sicherheitsverantwortlichen. Du hast einen Namen für den Fragebogen.

Der zweite Hut und sein blinder Fleck

Ein Punkt verdient einen eigenen Abschnitt, weil er so verbreitet ist: der IT-Leiter als Sicherheitsbeauftragter in Personalunion.

Auf den ersten Blick liegt das nahe. Niemand kennt die Systeme besser, die Person ist schon da, und ein neuer Kopf kostet Geld. Auf den zweiten Blick entsteht ein eingebauter Interessenkonflikt: Dieselbe Person, die die IT betreibt, soll beurteilen, ob diese IT sicher genug betrieben wird. Sie kontrolliert ihre eigene Arbeit, priorisiert Findings gegen ihr eigenes Budget und meldet der Geschäftsleitung Mängel, für die sie selbst verantwortlich ist. Das ist eine Konstruktionsfrage, keine Charakterfrage. Auch der gewissenhafteste IT-Leiter hat blinde Flecken bei Entscheidungen, die er selbst getroffen hat.

Deshalb trennen grössere Organisationen die Rollen, und deshalb schauen Auditoren bei dieser Konstellation genauer hin. Für ein KMU heisst das nicht, dass der zweite Hut verboten wäre. Es heisst, dass du den Konflikt kennen und irgendwo ausgleichen solltest: durch eine externe Zweitmeinung in festen Abständen, durch ein unabhängiges Assessment oder durch eine ausgelagerte Sicherheitsverantwortung, die neben der internen IT steht statt in ihr.

Aus demselben Grund funktioniert die Kombination «interner Beauftragter plus externe Sicherheitsführung» in unserer Arbeit so oft gut. Die interne Person kennt den Betrieb, die externe bringt das Mandat, die Erfahrung und den neutralen Blick. Keiner der beiden muss sich selbst benoten.

Welche Besetzung dein KMU braucht

Damit zur Frage, die hinter dem Rollenvergleich steckt: Was brauchst du?

Wenn dein Unternehmen klein ist, keine besonderen Kundenanforderungen hat und keine regulierten Leistungen erbringt, brauchst du zuerst Klarheit statt Titel. Eine Person mit definierter Verantwortung, festen Stunden und dem Recht, zur Geschäftsleitung zu eskalieren, deckt den Anfang ab. Wie sie im Organigramm heisst, ist zweitrangig.

Sobald Kunden Fragebögen schicken, ein ISMS im Raum steht oder der Verwaltungsrat regelmässige Berichte erwartet, reicht die rein operative Rolle nicht mehr. Dann braucht es die Führungsseite: jemanden, der Risiken priorisiert, das Budget verantwortet und der Geschäftsleitung Rede und Antwort steht. Das ist die CISO-Funktion, und sie muss keine Vollzeitstelle sein. Für die meisten KMU wäre ein fester CISO sogar die teuerste Antwort auf die falsche Frage, wie wir in der Übersicht zu den CISO-Kosten in der Schweiz vorgerechnet haben. Eine anteilige Besetzung, ein paar Tage im Monat mit vollem Mandat, deckt die Führungsseite ab, während intern jemand den Alltag trägt. Die verschiedenen Modelle dafür, vom Fractional CISO bis zum CISO as a Service, haben wir hier auseinandergenommen.

Wovon wir abraten: die Rolle zu besetzen, um ein Feld im Fragebogen zu füllen, und danach nichts zu ändern. Das beruhigt für einen Moment und rächt sich beim ersten Vorfall oder beim ersten Audit, wenn sichtbar wird, dass hinter dem Namen keine Struktur steht. Ein leerer Titel ist teurer als gar keiner, weil er allen Beteiligten das Gefühl gibt, das Thema sei erledigt.

Die Besetzungsfrage, richtig gestellt

Bevor du also eine Stellenausschreibung formulierst oder einen Namen ins Formular schreibst, stell die Frage anders. Statt «CISO oder IT-Sicherheitsbeauftragter?» lautet sie: Wer entscheidet bei uns über Sicherheitsrisiken, wer kontrolliert die Umsetzung, und sind das zwei verschiedene Köpfe mit Mandat, Zeit und Zugang zur Geschäftsleitung?

Wenn du diese Frage sauber beantworten kannst, ergibt sich die Titelfrage von selbst. Wenn nicht, ist genau das der Punkt, an dem sich ein Gespräch lohnt. Wir schauen uns solche Konstellationen regelmässig an, von der ersten Rollenklärung bis zur ausgelagerten Sicherheitsführung, und sagen dir auch, wenn dein zweiter Hut vorerst genügt. Buch dir ein unverbindliches Erstgespräch, wenn du die Verantwortungsfrage einmal aufräumen willst.

Uns interessiert dabei eine Sache am meisten: Wenn morgen ein Vorfall passiert, wüsste in deinem Unternehmen jeder sofort, wer entscheidet?