vCISO in den ersten 90 Tagen: der Plan für Sicherheitsverantwortliche in Teilzeit

In den ersten 90 Tagen sollte ein vCISO (externer CISO) oder eine Person, die Sicherheit in Teilzeit verantwortet, vier nachweisbare Dinge liefern, nicht vierzig Richtlinien: eine gepflegte Liste der Systeme und ihrer Verantwortlichen, ein datiertes Entscheidungsprotokoll, eine Billigung durch die Geschäftsleitung, die die Restrisiken benennt, und eine Kundenfrage, die aus Systemaufzeichnungen beantwortet ist. Der Plan geht von einer Person aus, zwei bis acht Stunden pro Woche, ohne bestehende Sicherheitsfunktion.

Dieser Leitfaden erklärt, warum neunzig Tage, und beschreibt die sechs Phasen à fünfzehn Tage, was Sie ablehnen sollten, die vier Tests an Tag 90 und was Governance nicht sieht.

Tage	Schwerpunkt	Was Sie am Ende haben
1 bis 15	Geltungsbereich, Registrierung, was vorhanden ist	Eine erste Liste der Systeme
15 bis 30	Sicherheitsentscheidungen an eine Stelle leiten	Ein datiertes Entscheidungsprotokoll
30 bis 45	Eine verantwortliche Person je System, Zugänge abgeglichen	Eine benannte Person je System
45 bis 60	Risikoregister	Zehn bis fünfzehn als Szenarien formulierte Risiken
60 bis 75	Entscheidungsvorlage an die Geschäftsleitung	Eine protokollierte Billigung
75 bis 90	Eine Sache durchgängig belegen	Eine Antwort aus Systemaufzeichnungen und ihr Zeitaufwand

Warum die ersten 90 Tage planen und nicht das erste Jahr?

In einem Unternehmen mit dreißig bis zweihundertfünfzig Beschäftigten ist die Ernennung selten förmlich. Ein Vertrag kommt mit einem Sicherheitsanhang, oder ein Kunde fragt nach dem Sicherheitskontakt, und ein Name landet im Feld. Dieser Name verantwortet nun Arbeit, die niemand abgegrenzt hat, in Zeit, die niemand eingeplant hat.

Neunzig Tage sind lang genug, um eine vertretbare Position zu erreichen, und kurz genug, dass Sie sie nicht mit Dokumenten füllen können. Und die Fristen setzen nicht Sie.

Die Registrierung ist keine Sicherheitsmaßnahme, sondern ein Verwaltungsakt mit Bußgeld. In Luxemburg schloss das Fenster am 10. Juli 2026, wie in der Umsetzung von NIS2 durch das Gesetz vom 5. Mai 2026 beschrieben. Andernorts ist das Durcheinander keine Schonfrist. Am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande vor den Gerichtshof gebracht, weil sie keine vollständige Umsetzung mitgeteilt hatten. Ein Zulieferer dort erhält trotzdem dieselben Kundenklauseln, denn die Klauseln folgen aus der Pflicht des Kunden, nicht aus dem nationalen Recht des Zulieferers.

Die neunzig Tage sind also kein selbst auferlegter Sprint. Sie sind das Fenster vor dem nächsten Termin mit Datum.

Tag 1 bis 30: Was sollten neue Sicherheitsverantwortliche zuerst tun?

Tag 1 bis 15: feststellen, was tatsächlich ist, nicht was geplant ist

Zwei Fragen, beide in zwei Wochen zu beantworten, beide meist falsch aus dem Gedächtnis beantwortet.

1. Fallen Sie in den Geltungsbereich, und sind Sie registriert? Der Geltungsbereich hängt von Sektor und Größe ab, darunter liegen größenunabhängige Kategorien, die Unternehmen erfassen, die sich für zu klein halten. Der NIS2-Check zum Geltungsbereich dauert wenige Minuten, und der Leitfaden zu Geltungsbereich und Anwendbarkeit erklärt die Kategorien hinter der Antwort. Finden Sie dann heraus, ob sich jemand registriert hat. Wenn Sicherheit gerade jemandem übertragen wurde, hat das meist niemand getan.
2. Was haben Sie tatsächlich? Nicht das Diagramm, die Liste. Jedes System mit Kundendaten oder einem produktiven Dienst, jedes SaaS-Werkzeug mit Firmenlogin, jedes Cloud-Konto, jedes Repository und jede Domain. Auch die, die eine Teamleitung 2023 per Kreditkarte gekauft hat.

Sie werden die Liste in fünfzehn Tagen nicht fertigstellen. Sie schaffen genug, um die zwei oder drei Dinge zu finden, von denen niemand wusste, dass sie noch laufen. Diese Funde machen den Rest der neunzig Tage intern glaubwürdig.

Tag 15 bis 30: die Entscheidungen übernehmen, die längst ohne Sie getroffen werden

Ohne Sicherheitsfunktion ist Sicherheit ein Strom kleiner Entscheidungen, getroffen von dem, bei dem sie gerade landen. Ein Entwickler will für eine Woche Administratorrechte. Ein Lieferantenfragebogen hat eine Frist. Ein Penetrationstest kommt mit elf Feststellungen zurück, vier werden nicht behoben, und jemand muss sagen, dass das akzeptabel ist.

Bisher wurden diese Entscheidungen uneinheitlich getroffen und nicht festgehalten. Das Wertvollste, was Sie in der zweiten Zwei-Wochen-Phase tun können, ist, sie an eine Stelle zu leiten, die jetzt Sie sind, und die Antwort festzuhalten. Warum eine benannte verantwortliche Person wichtig ist und was ohne sie passiert, steht in wer die Sicherheit verantwortet, wenn niemand sie verantwortet.

Halten Sie es schlank: ein laufendes Protokoll, jeder Eintrag mit Datum, Entscheidung und wer gefragt hat. Drei Monate dieses Protokolls sind bei einem Audit mehr wert als drei Monate Richtlinienschreiben. Sie belegen einen Prozess, nicht ein Dokument.

Tag 30 bis 60: Wie bauen Sie Inventar und Risikoregister auf?

Tag 30 bis 45: ein Inventar, eine verantwortliche Person je Element

1. Ergänzen Sie die Liste um zwei Spalten: wer das verantwortet, und was passiert, wenn es ausfällt. Verantwortung heißt eine benannte Person, kein Team, denn Teams erneuern keine Zertifikate. Die Systeme, die niemand verantwortet, sind zuverlässig die mit den ältesten Zugangsdaten und den weitesten Rechten.
2. Gleichen Sie die Zugänge mit der Wirklichkeit ab. Ziehen Sie die Nutzerliste aus jedem relevanten System und vergleichen Sie sie mit der aktuellen Gehaltsabrechnung und den aktuellen Verträgen.

Wo das nie gemacht wurde, ist das Ergebnis dasselbe: Konten von Ausgeschiedenen, Auftragnehmer mit beendetem Einsatz und ein geteilter Zugang, dessen Passwort in einem Chatverlauf steht. Zugänge werden sorgfältig vergeben und aus dem Gedächtnis entzogen. Deshalb ist dies die Kontrolle, die am häufigsten geprüft wird und am häufigsten durchfällt.

Tag 45 bis 60: ein Risikoregister, das dem Lesen standhält

Jetzt, und nicht früher, schreiben Sie das Risikoregister. Vor dem Inventar ist es Fiktion.

Halten Sie es kurz: zehn bis fünfzehn Risiken, die jemand im Unternehmen als real erkennen würde, jedes als Szenario formuliert statt als Kategorie. „Ransomware“ ist eine Kategorie. „Unser Build-Server hat ein lokales Administratorkonto, das sich vier Entwickler teilen, und kein Offline-Backup“ ist ein Risiko.

Die Leitlinien sind ungewöhnlich genau darin, was ein Eintrag enthalten muss. Die Technical Implementation Guidance der ENISA vom 26. Juni 2025 zur Durchführungsverordnung (EU) 2024/2690 der Kommission erwartet, dass ein Eintrag zur Risikobehandlung Folgendes festhält:

• das Risiko und das Ziel
• die Behandlungsoption
• die betroffenen Werte
• die mindernden Maßnahmen
• wie die Wirksamkeit bewertet wird
• den Zeitplan und die verantwortliche Rolle

Punkt 2.1.2(j) ergänzt, was den meisten Registern fehlt: Wird ein Restrisiko akzeptiert, sind die Gründe nachvollziehbar festzuhalten. Das macht aus einer Tabelle ein Governance-Dokument, der Unterschied, den das Risikoregister, das ein Audit übersteht beschreibt.

Tag 60 bis 90: Was muss die Geschäftsleitung billigen?

Tag 60 bis 75: der Geschäftsleitung übergeben, was rechtlich ihre Aufgabe ist

NIS2 verpflichtet das Leitungsorgan, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und für Verstöße zu haften. Das ist nicht an Sie delegierbar. Wer das in Teilzeit mit übernimmt, trägt ein persönliches Risiko für eine Entscheidung, die nie die eigene war.

Bereiten Sie also ein Papier vor und setzen Sie es auf die Tagesordnung. Keinen Statusbericht, sondern eine Entscheidungsvorlage:

1. Das Inventar auf einer Seite.
2. Die zehn Risiken.
3. Die drei, die in diesem Quartal behandelt werden, mit den Beträgen.
4. Die vier, die akzeptiert werden, und warum.
5. Was Sie zur Billigung vorlegen.

Lassen Sie die Billigung protokollieren. Das an Tag sechzig statt an Tag zweihundertsechzig zu tun, macht aus einer informellen Ernennung ein Mandat mit anschließendem Budgetgespräch. Es legt die Verantwortung dorthin, wo die Richtlinie sie ohnehin verortet. Billigung, Überwachung und die Schulungspflicht behandelt die Verantwortung der Geschäftsleitung nach NIS2.

Tag 75 bis 90: eine Sache durchgängig belegen

Wählen Sie eine Frage, die ein Kunde oder Auditor stellen wird, und beantworten Sie sie vollständig mit Nachweisen statt mit Behauptungen. Eine gute: Zeigen Sie, dass alle, die in den letzten sechs Monaten ausgeschieden sind, auf nichts mehr Zugriff haben, anhand von Systemaufzeichnungen statt einer Austrittscheckliste.

Es geht nicht um die Antwort, sondern darum, wie lange es dauert, sie zu liefern. Zwei Tage manuelles Sammeln heute sind zwei Tage bei jeder Anfrage, und jeder Kunde wird fragen, jedes Jahr. Das ist das Argument für Nachweise, die sich neu erzeugen, statt Nachweise, die Sie zusammentragen, die Unterscheidung aus Nachweise, die sich selbst zusammenstellen.

Was sollten Sie in den ersten 90 Tagen ablehnen?

Drei Dinge werden vorgeschlagen werden, und alle drei sind so früh falsch.

• Das vollständige Richtlinienwerk schreiben. Vierzig Richtlinien, die eine Person in drei Monaten schreibt, sind vierzig Dokumente, die niemand gelesen hat. Ein Auditor findet die Lücke zwischen ihnen und der Praxis in der ersten Stunde. Schreiben Sie die drei, die beschreiben, was Sie tatsächlich tun.
• Ein internes Audit starten. Abschnitt 9.2 verlangt ein Programm, und ein Programm auditiert ein System, das existiert. Ein Kontrollset zu auditieren, das Sie vor sechs Wochen aufgebaut haben, bringt nichts Neues. Die Reihenfolge und das Unabhängigkeitsproblem, das es in einem kleinen Unternehmen teuer macht, behandelt internes Audit und Managementbewertung.
• Eine Plattform vor dem Inventar kaufen. Werkzeuge auf einem unbekannten Bestand erzeugen ein selbstsicheres Dashboard, das einen Teil Ihres Unternehmens beschreibt.

Woran erkennen Sie an Tag 90, ob es funktioniert hat?

Nicht an der Zahl der Dokumente. An vier Tests, jeder mit Ja oder Nein zu beantworten.

1. Können Sie die Liste der Systeme und ihrer Verantwortlichen in unter einer Stunde vorlegen, aus etwas Gepflegtem statt aus dem Gedächtnis?
2. Gibt es eine datierte Aufzeichnung jeder Sicherheitsentscheidung der letzten zwei Monate, samt Begründung?
3. Hat das Leitungsorgan etwas schriftlich gebilligt und dabei die Restrisiken benannt?
4. Können Sie die Zugangsfrage durchgängig aus Systemaufzeichnungen beantworten?

Viermal Ja ist eine vertretbare Position für ein Unternehmen ohne Sicherheitsteam. Es ist keine Zertifizierung und keine Reife. Es ist die Grundlage, auf der jedes weitere Rahmenwerk aufsetzt, und ungefähr der Punkt, an dem ISO 27001 ohne Sicherheitsteam beginnt.

Viermal Nein ist ebenfalls eine nützliche Information. Meist bedeutet es, dass die Ernennung ohne die Stunden kam, und eine benannte verantwortliche Person ohne Zeit ist dasselbe wie keine, nur anders beschrieben. Die Abhilfe sind entweder Stunden oder eine vCISO-Lösung, die die Ermessensentscheidungen jemandem überträgt, der das jede Woche macht.

Was sehen neunzig Tage Governance nicht?

Alles oben Beschriebene erzeugt dokumentierte, gebilligte, datierte Absicht. Das verlangen die Rahmenwerke, und das akzeptiert ein Auditor. Nichts davon sagt Ihnen, was auf Ihren Systemen passiert.

Das Inventar ist eine von Hand erstellte Momentaufnahme und beginnt am Tag nach seiner Fertigstellung abzudriften. Der Zugangsabgleich stimmt an dem Morgen, an dem Sie ihn gemacht haben. Das Risikoregister beschreibt, woran Sie in Woche sieben in einem Besprechungsraum gedacht haben. Ein Unternehmen kann saubere neunzig Tage abschließen und trotzdem nicht wissen, dass ein Build-Server exponiert ist oder dass ein Konto, das im März hätte geschlossen werden müssen, noch genutzt wird.

Diese Lücke zu schließen heißt: Die Asset-Liste wird aus dem Bestand erzeugt, und die Zugangsliste gleicht sich selbst mit Personal- und Vertragsdaten ab. Schwachstellen in dem, was Sie betreiben, kommen als priorisierte Feststellungen mit einer empfohlenen Maßnahme. Nachweise entstehen aus der Arbeit, statt in der Woche davor zusammengetragen zu werden. Das läuft kontinuierlich, ohne dass bei Ihnen etwas installiert werden muss, und genau das leistet die Plattform neben dem Governance-Nachweis. Neunzig Tage der obigen Arbeit machen ein Unternehmen auditbereit. Die technische Hälfte hält die Antworten im vierten Monat richtig, wenn die sicherheitsverantwortliche Person wieder mit dem Job beschäftigt ist, den sie vorher hatte.

90-Tage-Checkliste für Sicherheitsverantwortliche in Teilzeit

• Prüfen Sie, ob Sie in den Geltungsbereich fallen und ob sich jemand registriert hat.
• Listen Sie jedes System, SaaS-Werkzeug, Cloud-Konto, Repository und jede Domain auf, auch die per Kreditkarte gekauften.
• Beginnen Sie ein einziges Entscheidungsprotokoll: Datum, Entscheidung, wer gefragt hat.
• Benennen Sie für jedes System eine Person, kein Team, als verantwortlich.
• Gleichen Sie die Nutzer jedes relevanten Systems mit der aktuellen Gehaltsabrechnung und den aktuellen Verträgen ab.
• Formulieren Sie zehn bis fünfzehn Risiken als Szenarien, mit den Gründen für jedes akzeptierte Restrisiko.
• Legen Sie der Geschäftsleitung eine Entscheidungsvorlage vor und lassen Sie die Billigung protokollieren.
• Beantworten Sie die Frage nach den Zugängen Ausgeschiedener aus Systemaufzeichnungen, und messen Sie, wie lange das dauert.

Häufige Fragen