Warum das CISO-Mandat neu verhandelt werden muss: Verantwortung ohne Einfluss

Die wichtigsten Cyberrisiken entstehen heute selten allein in der Security-Abteilung. Sie beginnen, wenn ein Fachbereich eine Software-as-a-Service-(SaaS)-Lösung beschafft, ein Produktteam eine neue Schnittstelle öffnet, der Einkauf Haftungs- und Auditklauseln verhandelt, ein Werk eine Fernwartung einführt oder ein Vorstand ein Transformationsprogramm beschleunigt.

Security kann diese Entscheidungen absichern – treffen kann sie diese meistens nicht. Trotzdem behandeln viele Unternehmen den CISO als Eigentümer des Gesamtrisikos. Er soll gegenüber der Geschäftsleitung, der Kunden, der Aufsichtsbehörden und den Versicherern erklären, wie resilient das Unternehmen ist.

Gleichzeitig liegen das Budget, die Architekturhoheit, die Lieferantenauswahl und die Prozessverantwortung an anderer Stelle. Daraus entsteht eine strukturelle Schieflage: Die Rolle wird an Ergebnissen gemessen, ohne die wesentlichen Einflussfaktoren steuern zu können.

Diese Mandatslücke fällt im Alltag kaum auf, solange nichts schiefgeht. Sichtbar wird sie erst bei einem Audit, einer schweren Störung oder einem Vorfall. Dann lautet die Frage schnell, warum die Security das Risiko nicht erkannt oder verhindert habe. Seltener fragt jemand, ob die Security zum richtigen Zeitpunkt beteiligt war, vollständige Informationen erhielt und eine belastbare Eskalationsmöglichkeit hatte.

Späte Einbindung, frühe Verantwortung

Ein typisches Beispiel aus Industrieprojekten ist die Einführung einer cloudbasierten Fernwartung für Produktionsanlagen. Der Fachbereich hat den Anbieter ausgewählt, das Industrial-Internet-of-Things-(IIoT)-Gateway ist bestellt, der Produktivtermin mit dem Werk abgestimmt. Erst kurz vor der Inbetriebnahme soll die Security-Abteilung die Lösung freigeben.

Zu diesem Zeitpunkt sind die entscheidenden Weichen bereits gestellt: Netzpfade, Identitätsmodell, Vertragsbedingungen, Supportzugänge und Betriebsverantwortung lassen sich nur noch mit erheblichem Aufwand ändern. Dem CISO bleiben formal mehrere Möglichkeiten, praktisch aber nur schlechte. Er kann den Termin verzögern, eine Ausnahme akzeptieren oder ein Risiko dokumentieren, das wirtschaftlich kaum noch zu beseitigen ist. Jede Option erzeugt Konflikte, obwohl die eigentliche Ursache Monate zuvor lag.

Wäre die Security bereits bei der Bedarfsklärung und der Architekturentscheidung eingebunden gewesen, ließen sich Segmentierung, starke Authentisierung, Protokollierung, zeitlich begrenzte Zugänge, Notfallverfahren und Exit-Szenarien als normale Projektanforderungen behandeln. Das technische Wissen ist in beiden Situationen dasselbe. Der Unterschied liegt im Zeitpunkt der Beteiligung – und darin, ob die Security beraten darf oder tatsächlich Bestandteil des Entscheidungsprozesses ist.

Regulatorik verschiebt Verantwortung nach oben

Die Richtlinie zur Netz- und Informationssicherheit 2 (NIS-2) [3] und der Digital Operational Resilience Act (DORA) [4] machen deutlich, dass Informations- und Kommunikationstechnologie-(IKT)-Risiken nicht an eine Fachfunktion delegiert werden können. Leitungsorgane müssen die erforderlichen Maßnahmen billigen, ihre Umsetzung überwachen und Verantwortung für den Governance-Rahmen übernehmen.

Das stärkt jedoch nicht automatisch die Position des CISO. Regulatorische Verantwortung auf Leitungsebene und operative Zuständigkeit der Security-Funktion sind zwei unterschiedliche Dinge. Gerade deshalb braucht die Organisation eine saubere Übersetzung:

Welche Entscheidungen verbleiben beim Vorstand oder bei der Geschäftsführung? Welche Befugnisse erhält der CISO? Welche Risiken dürfen Fachbereiche akzeptieren? Ab welcher Schwelle ist eine Eskalation zwingend?

Ohne diese Zuordnung entsteht der gefährlichste Zustand: Das Management glaubt, Cyberrisiko sei an den CISO delegiert, während der CISO davon ausgeht, wesentliche

Geschäftsrisiken würden dort entschieden, wo Budget und Prozessverantwortung liegen. Die wachsende formale Aufwertung der Rolle löst dieses Problem nicht allein. Laut dem „State of the CISO Benchmark Report 2026“ von IANS Research und Artico Search [1] stieg in großen Unternehmen der Anteil von CISOs mit Executive-Level-Titel von 33 Prozent im Jahr 2023 auf 47 Prozent im Jahr 2025. Gleichzeitig berichten weiterhin 64 Prozent in die IT-Linie. Die Zahlen zeigen vor allem eins: Titel verändern sich schneller als Organisationsmodelle.

Vier Bausteine für ein wirksames Mandat

Ein belastbares Mandat braucht mehr als eine Stellenbeschreibung. Es muss im Tagesgeschäft wirksam werden. Vier Elemente sind dafür entscheidend:

• Erstens braucht der CISO ein verbindliches Informationsrecht. Dazu gehören nicht nur technische Kennzahlen, sondern auch geplante Investitionen, neue Lieferanten, wesentliche Architekturänderungen, Mergers-and-Acquisitions-(M&A)-Aktivitäten sowie Ausnahmen von Sicherheitsvorgaben. Wer nur über bereits beschlossene Vorhaben informiert wird, kann Risiken dokumentieren, aber nicht steuern.
• Zweitens braucht die Security definierte Beteiligungspunkte. Beschaffung, Architektur, Produktentwicklung und Änderungen an der Operational Technology (OT) sollten klare Auslöser enthalten, ab denen eine Security-Prüfung erforderlich ist. Die Beteiligung darf nicht vom persönlichen Netzwerk des CISO oder vom guten Willen eines Projektleiters abhängen. Sie muss Bestandteil des Prozesses sein.
• Drittens braucht die Rolle ein unabhängiges Eskalationsrecht. Ein CISO muss ein wesentliches Risiko an die zuständige Leitungsebene adressieren können, ohne dass die operative Linie den Inhalt abschwächt oder die Eskalation verhindert. Das bedeutet nicht, dass die Security jedes Vorhaben stoppen darf. Es bedeutet, dass relevante Risiken dort sichtbar werden, wo sie getragen werden müssen.
• Viertens braucht es eine verbindliche Risikoakzeptanz. Wird eine Sicherheitsanforderung bewusst nicht umgesetzt, muss feststehen, wer das daraus entstehende Geschäftsrisiko übernimmt. Der CISO kann die Bewertung vorbereiten und Kontrollen empfehlen. Er sollte jedoch nicht allein Risiken akzeptieren, deren Auswirkungen Produktion, Umsatz, Produkthaftung oder regulatorische Pflichten betreffen.

Die Berichtslinie ist nur ein Indikator

Ob der CISO an Chief Information Officer (CIO), Chief Executive Officer (CEO), Chief Operating Officer (COO), General Counsel oder Chief Risk Officer berichtet, wird häufig als zentrale Governance-Frage behandelt. Die Berichtslinie ist relevant, aber sie ist kein Ersatz für ein Mandat. Ein CISO kann unter einem CIO wirksam arbeiten, wenn Interessenkonflikte transparent geregelt sind, eine unabhängige Eskalation möglich ist und die Security früh in Entscheidungen eingebunden wird.

Umgekehrt kann ein direkter Bericht an den CEO wirkungslos bleiben, wenn Budget, Personal, Informationszugang und Prozessrechte fehlen. Ein Platz im Organigramm schafft noch keine Beteiligung an einem Sourcing-Verfahren, einem Architektur-Board und einer Produktfreigabe. Entscheidend ist deshalb nicht nur, wem der CISO berichtet, sondern worüber, wann und mit welchen Konsequenzen.

Das gilt besonders in Konzernen und industriellen Umgebungen. Dort verteilen sich Sicherheitsentscheidungen auf zentrale IT, lokale Werke, Engineering, Produktentwicklung, Einkauf und externe Betreiber. Ein CISO, der jede Entscheidung selbst genehmigen soll, würde zum Engpass. Ein CISO ohne verbindliche Schnittstellen wird dagegen zum nachgelagerten Prüfer. Wirksam ist nur ein Modell, das Verantwortung dezentral belässt, aber Mindestanforderungen, Eskalationsschwellen und Nachweise zentral steuert.

Risikoakzeptanz ist keine technische Freigabe

In vielen Unternehmen verschwimmen technische Freigabe und geschäftliche Risikoentscheidung. Die Security bestätigt beispielsweise, dass eine Lösung bestimmte Kontrollen erfüllt. Daraus wird anschließend abgeleitet, das Vorhaben sei insgesamt „sicher“. Umgekehrt soll der CISO eine Ausnahme genehmigen, obwohl die wirtschaftlichen Folgen einer Störung außerhalb seines Verantwortungsbereichs liegen.

Eine saubere Governance trennt drei Fragen:

• Welche Sicherheitsanforderungen gelten?
• Welche davon sind umgesetzt und wie wurde ihre Wirksamkeit nachgewiesen?
• Wer akzeptiert das verbleibende Risiko im konkreten Geschäftskontext?

Erst die dritte Frage ist eine Managemententscheidung. Sie braucht eine nachvollziehbare Begründung, ein Enddatum oder einen Review-Termin und gegebenenfalls kompensierende Maßnahmen.

Diese Trennung schützt auch den CISO. Seine Aufgabe besteht nicht darin, jedes Risiko zu verhindern. Er muss sicherstellen, dass Risiken erkannt, verständlich beschrieben, angemessen behandelt und auf der richtigen Ebene entschieden werden. Ein Unternehmen, das jede Abweichung informell an die Security delegiert, schafft weder Sicherheit noch klare Verantwortung.

Vom Kontrollpunkt zum Entscheidungsarchitekten

Die stärkste CISO-Funktion ist nicht die mit den meisten Vetorechten, sondern diejenige, die Entscheidungen früh strukturieren kann. Dafür muss sie technische, regulatorische und wirtschaftliche Perspektiven zusammenführen. Ein guter CISO formuliert nicht nur, was verboten ist. Er zeigt, welche Optionen bestehen, welche Voraussetzungen jede Option braucht und welches Restrisiko verbleibt.

Das verlangt fachliche Tiefe, aber keine Allzuständigkeit. Der CISO muss Risiken aus den Bereichen Cloud, Identität, OT, Produkten und künstlicher Intelligenz (KI) so weit verstehen, dass er Annahmen hinterfragen und Abhängigkeiten sichtbar machen kann. Gleichzeitig braucht er die Fähigkeit, diese Risiken in Betriebsunterbrechung, Wiederherstellungszeit, Lieferfähigkeit, Vertragsfolgen und regulatorische Exposition zu übersetzen.

Gerade hier zeigt sich die Lücke zwischen Vorstand und operativer Security. Der „Global Cybersecurity Outlook 2026“ des Weltwirtschaftsforums [2] berichtet, dass CEOs Cyberbetrug und KI-Risiken besonders hoch gewichten, während CISOs weiterhin vor allem Ransomware und Lieferkettenresilienz nennen. Beide Perspektiven können richtig sein. Die Aufgabe des CISO besteht nicht darin, eine davon zu verdrängen, sondern sie zu einem gemeinsamen Entscheidungsbild zu verbinden.

Damit wird der CISO zum Entscheidungsarchitekten: Er entwirft keine Geschäftsstrategie allein, sorgt aber dafür, dass das Cyberrisiko in die Strategie, die Investitionen und die Betriebsmodelle eingebaut wird. Sein Wert bemisst sich nicht nur an verhinderten Vorfällen, sondern daran, ob das Unternehmen unter Unsicherheit schneller zu belastbaren Entscheidungen kommt.

Fünf Fragen für den Governance-Test

Ob das Mandat und die Verantwortung zusammenpassen, lässt sich mit fünf einfachen Fragen prüfen:

• Erfährt der CISO von wesentlichen Vorhaben, bevor Anbieter und Architektur feststehen?
• Ist seine Beteiligung an Beschaffung, Produktentwicklung und kritischen Änderungen verbindlich geregelt?
• Kann er erhebliche Risiken unabhängig an die Leitungsebene eskalieren?
• Ist eindeutig festgelegt, wer Restrisiken akzeptiert?
• Werden Ausnahmen samt Owner, kompensierenden Maßnahmen und Enddatum zentral nachverfolgt?

Wer mehrere dieser Fragen verneint, hat kein individuelles Leistungsproblem des CISOs, sondern ein Governance-Problem. Zusätzliche Reports, neue Dashboards oder ein größerer Titel werden es nicht lösen. Erforderlich sind klare Entscheidungsrechte und Prozesse, die die Security dort einbinden, wo Risiken entstehen – nicht erst dort, wo sie dokumentiert werden sollen.

Fazit

Cybersecurity ist längst Teil von Investitions-, Produkt-, Lieferketten- und Resilienzentscheidungen. Trotzdem arbeiten viele CISO-Funktionen noch mit einem Mandat, das aus einer Zeit stammt, in der Sicherheit überwiegend innerhalb der IT gesteuert wurde. Diese Diskrepanz erzeugt Reibung, Scheinsicherheit und unklare Haftungsbilder.

Die Lösung ist weder ein allmächtiger CISO noch ein neuer Titel. Unternehmen müssen festlegen, wann Security beteiligt wird, welche Informationen sie erhält, wie Eskalationen funktionieren und wer Geschäftsrisiken akzeptiert. Erst dann wird aus wachsender Verantwortung tatsächliche Steuerungsfähigkeit. Wer den CISO erst nach einer Entscheidung hinzuzieht, bekommt Kontrolle am Ende. Wer sein Mandat klar definiert, gewinnt bessere Entscheidungen von Anfang an.