Jedes externe CISO-Mandat endet irgendwann. Das ist der Normalfall, und im Verkaufsgespräch kommt er selten vor.
Wenn ein Kunde die Frage doch stellt, klingt sie meistens so: Machen wir uns damit abhängig? Darauf folgt fast immer eine Vertragsklausel. Dokumentationspflicht, Übergabephase, Herausgabe der Arbeitsergebnisse. Alle drei nimmt dir ein Anbieter ohne Diskussion in den Vertrag.
In unserer Erfahrung bestimmt keine davon, was am Ende bleibt. Das hängt an einer Gewohnheit, die im ersten Monat anfängt: ob die Sicherheitsentscheide eurer Firma an einem Ort landen, den ihr auch ohne den externen CISO aufmachen könnt.
Was beim Mandatsende fehlt
Wir haben Mandate übernommen, die vorher jemand anderes geführt hat. Die Lücke sieht meistens ähnlich aus, und sie liegt nicht dort, wo die Firma sie erwartet.
Technisches Wissen fehlt selten lange. Wie der Mailschutz konfiguriert ist und wer auf dem Server administrative Rechte hat, steht in den Systemen. Unangenehm nachzulesen, aber eine Frage von Tagen.
Was fehlt, ist die Begründung. Warum läuft dieser eine Server noch auf einem alten Betriebssystem, obwohl er auf jeder Risikoliste oben steht? Weil eine Maschine in der Produktion daran hängt, der Hersteller die neue Steuerung erst im nächsten Jahr liefert und die Geschäftsleitung das Restrisiko bis dahin bewusst getragen hat. Diesen Satz hat niemand in ein System geschrieben. Er steht im Kopf des externen CISO, und er geht mit ihm.
Das Zweite, was fehlt, ist der Kontext, der nicht in Dokumenten lebt: welche zwei Prozesse das Geld verdienen, und wen man im Werk anruft, wenn um 22 Uhr eine Anlage stillsteht.
Das Dritte sind die offenen Punkte mit Stand. Die Liste selbst findet sich meist. Der Vermerk, dass Punkt sieben seit Juni beim Lieferanten liegt und dreimal ergebnislos nachgefasst wurde, fehlt.
Der Nachfolger findet die Liste. Die Geschichte dahinter findet er nicht, und deshalb fängt er mit einer Bestandsaufnahme an. Die bezahlst du dann zum zweiten Mal.
Warum die Exit-Klausel das nicht löst
Eine Dokumentationspflicht im Vertrag beschreibt eine Pflicht. Geschrieben hat damit noch niemand etwas.
Das Grundproblem einer Übergabe, die erst am Ende stattfindet: in diesem Moment kann niemand mehr sagen, welcher Entscheid wichtig war. Der ausscheidende Mandatsträger schreibt zusammen, was er für relevant hält, und das ist eine ehrliche, aber subjektive Auswahl. Die Firma, die abnimmt, hat keinen Vergleichsmassstab. Die Lücke merkt sie ein halbes Jahr später, wenn jemand eine Entscheidung begründen muss, die vor zwei Jahren gefallen ist.
Dazu kommt der Zeitpunkt. Mandate enden selten in Ruhe. Meistens endet eines, weil jemand das Budget kürzt oder weil beide Seiten unzufrieden sind. In diesen Lagen setzt sich selten jemand freiwillig hin und schreibt Kontext auf.
Behalte die Klauseln trotzdem. Wir schreiben sie selbst in unsere Verträge, und sie helfen, wenn eine Zusammenarbeit unfreundlich endet. Welche Klauseln gegenüber IT-Lieferanten etwas bringen, haben wir in Vertragsklauseln für IT-Lieferanten aufgeschrieben. Die Klauseln sind die zweite Verteidigungslinie. Die erste ist langweiliger.
Was das Aktienrecht dem Verwaltungsrat ohnehin aufträgt
Ein Teil der Antwort ist gar nicht verhandelbar.
Artikel 716a des Obligationenrechts listet die Aufgaben, die der Verwaltungsrat nicht abgeben kann, wörtlich als «unübertragbare und unentziehbare Aufgaben». Zwei davon betreffen dieses Thema. Ziffer 2 nennt «die Festlegung der Organisation». Absatz 2 hält fest, dass der Verwaltungsrat die Vorbereitung und Ausführung seiner Beschlüsse zuweisen kann, und ergänzt: «Er hat für eine angemessene Berichterstattung an seine Mitglieder zu sorgen.»
Übersetzt heisst das: wie die Sicherheitsrolle bei euch eingebettet ist, an wen sie berichtet und in welchem Rhythmus, legt der Verwaltungsrat fest. Der Anbieter liefert das nicht mit. Der externe CISO besetzt eine Stelle in einer Organisation, die ihr definiert habt, und diese Definition bleibt, wenn er geht. Habt ihr sie nie aufgeschrieben, bleibt sie auch, nur steht dann niemand darin.
Artikel 717 Absatz 1 zieht die Sorgfaltspflicht ausdrücklich auch auf «Dritte, die mit der Geschäftsführung befasst sind». Ein Mandatsträger ist also mitgebunden. Entlastet seid ihr dadurch nicht, und genau diese Trennung haben wir in Sicherheitsverantwortung outsourcen auseinandergenommen. Wie der Verwaltungsrat seine eigene Sorgfalt belegt, steht in Cyber-Haftung im Verwaltungsrat.
Eine Rolle, die nur einer versteht, ist keine Rolle
Das NIST Cybersecurity Framework 2.0 formuliert die Anforderung in einem Satz. Unterkategorie GV.RR-02 verlangt: «Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced.» Veröffentlicht hat NIST diese Fassung im Februar 2024.
Festgelegt, kommuniziert, verstanden, durchgesetzt. Die mittleren zwei zählen beim Mandatsende. Eine Befugnis, die nur der externe CISO und die Geschäftsführerin kennen, ist nach diesem Satz nicht etabliert, sie ist bekannt. Der Unterschied fällt im Betrieb nicht auf. Er fällt beim Wechsel auf.
Das Kürzel GV steht übrigens für Govern, und diese Funktion ist mit der Fassung 2.0 neu dazugekommen. Die Rollen- und Befugnisfrage sitzt dort, wo das Rahmenwerk Führung und Steuerung einordnet. Dieselbe Frage steht hinter dem IKT-Minimalstandard des Bundes, der bewusst keinen Sollwert vorgibt: ohne eine Person, die den Risikoappetit festlegt, bleibt jede Bewertung ein Zahlenbild.
Was ihr ab dem ersten Monat mitschreiben lässt
Das Gegenmittel ist unspektakulär, und es gehört in den ersten Monat des Mandats, nicht in den letzten.
Erstens ein Entscheidprotokoll mit vier Spalten: was wurde entschieden, mit welcher Begründung, von wem, und bis wann gilt der Entscheid. Eine Zeile pro Entscheid, geführt in euren Systemen, nicht im Ablagesystem des Anbieters. Der Fehler, den wir regelmässig sehen, ist nicht die fehlende Dokumentation, sondern eine ordentliche Dokumentation auf dem Laufwerk des Beraters.
Zweitens die Risikoliste mit Namen. Nicht «IT», sondern eine Person pro Eintrag, und zwar eine Person im Haus. Ein Risiko, das dem externen CISO zugeordnet ist, wechselt mit ihm den Besitzer, und ein Risiko ohne Besitzer fasst niemand nach.
Drittens ein Protokoll des Berichtstermins. Wenn die Geschäftsleitung die Sicherheitslage einmal im Quartal behandelt, dann als Punkt mit Beschluss im Protokoll und nicht als Präsentation im Anhang einer Mail. Ein Sitzungsprotokoll ist in den meisten Firmen das Dokument, das die Leute am verlässlichsten wiederfinden.
Viertens, und am billigsten: einmal im Jahr die Zugriffe des Mandatsträgers durchgehen. Welche Konten existieren, welche Rechte hängen daran, und was davon wäre morgen noch aktiv. Diesen Punkt erledigen Firmen in unserer Erfahrung erst nach dem Mandatsende, oft Monate später, manchmal gar nicht.
Wenn ihr ein Mandat gerade aufsetzt, gehört das in die ersten Wochen. Wir machen das in unseren Fractional-CISO-Mandaten so, und der Aufwand dafür ist in unserer Erfahrung klein gegen den Ärger, den er erspart. Was eine solche Rolle im Alltag sonst tut, steht in CISO Aufgaben im KMU.
Was ihr dafür nicht kaufen müsst
Ein Entscheidprotokoll mit vier Spalten braucht keine Plattform. Es braucht eine Tabelle und eine Gewohnheit, und die Gewohnheit ist der teure Teil.
Anbieter offerieren in dieser Lage regelmässig drei Positionen, und wir würden alle drei streichen. Ein GRC-Werkzeug, dessen Zweck darin besteht, Entscheide und Risiken zu verwalten, solange die Liste auf eine Seite passt. Eine zweite Bestandsaufnahme nach dem Wechsel, um eine gemeinsame Grundlage zu schaffen: das ist genau die Zahlung, die ein geführtes Protokoll vermeidet. Und Werkzeuge für Wissensmanagement, die eine Frage der Zuständigkeit als Frage der Software behandeln.
Das Geld liegt besser in der Zeit der internen Person, die das Protokoll führt. Eine halbe Stunde im Monat reicht am Anfang. Wie du Sicherheitsausgaben auf die eigene Grösse zuschneidest, haben wir in IT-Sicherheit richtig dimensionieren hergeleitet, und warum Werkzeugbestände mit der Zeit wachsen, in Sicherheitstools konsolidieren.
Wann ein Wechsel trotzdem weh tut
Zwei Einschränkungen gehören dazu.
Manche Zeitfenster vertragen keinen Wechsel, egal wie gut die Dokumentation ist. Mitten in einem Zertifizierungsverfahren oder zwei Wochen vor einem Kundenaudit wechselt man die Rolle nicht. Der Grund sind die Beziehungen, die in diesen Wochen tragen, nicht das Wissen. Wie ein Vorfall organisatorisch abläuft, steht in Incident-Response-Readiness.
Dazu der zweite Fall: beim Mandatsende fehlt nichts, weil nie etwas da war. Ein Mandat, das einen Bericht pro Quartal produziert hat, hinterlässt keine Lücke. Es hat auch keine geschlossen. Woran du erkennst, ob die Rolle bei euch besetzt oder nur vergeben ist, steht in Brauche ich einen CISO.
Drei Monate rückwärts gelesen
Für die Probe brauchst du keine Vorbereitung. Nimm die Protokolle der letzten drei Monate und suche die Sicherheitsentscheide. Nicht die Massnahmen, die Entscheide. Was habt ihr bewusst nicht gemacht, und aus welchem Grund.
Massnahmen findest du in jedem Protokoll, weil sie Geld gekostet haben und jemand sie freigeben musste. Der Entscheid gegen eine Massnahme kostet nichts und landet deshalb selten auf Papier. Genau dieser Entscheid ist der, den nach einem Wechsel niemand mehr erklären kann.
Findest du drei solche Einträge mit Begründung und Namen, ist euer Mandat übergabefähig, unabhängig davon, wer es führt. Findest du keinen, dann liegt die Entscheidungsgeschichte eurer Sicherheit im Kopf einer einzigen Person. Das ist auch dann ein Thema, wenn diese Person bei euch angestellt ist.
Wenn du nicht sicher bist, wie euer Mandat hier aufgestellt ist, schau einmal strukturiert drauf oder sprich uns an. Ein erstes Gespräch ist unverbindlich und kostet nichts.
Eine Frage interessiert uns dabei selbst: wenn dein jetziger Mandatsträger morgen ausfiele, welche Entscheidung aus den letzten zwei Jahren könntest du am schwersten rekonstruieren?
Häufige Fragen
Was bleibt im Unternehmen, wenn ein externer CISO geht?
Die Systeme und die Massnahmen bleiben, die Begründung geht mit. Wer welches Risiko bewusst getragen hat und warum, steht meist in keinem Dokument. Wird das von Anfang an in einem Entscheidprotokoll mitgeführt, ist ein Wechsel eine Formsache statt einer neuen Bestandsaufnahme.
Reicht eine Dokumentationspflicht im Vertrag?
Sie hilft, wenn eine Zusammenarbeit unfreundlich endet, löst das Problem aber nicht. Am Ende eines Mandats kann niemand mehr beurteilen, welcher Entscheid wichtig war, und Mandate enden selten in Ruhe. Die Klausel ist die zweite Verteidigungslinie, nicht die erste.
Kann der Verwaltungsrat die Sicherheitsrolle ganz abgeben?
Nein. Artikel 716a des Obligationenrechts nennt die Festlegung der Organisation eine unübertragbare Aufgabe des Verwaltungsrats, und Absatz 2 verlangt eine angemessene Berichterstattung an seine Mitglieder. Ein externer CISO besetzt eine Stelle, die ihr definiert habt.
