In einem KMU ist die Geschäftsleitung für Cybersicherheit rechenschaftspflichtig, und eine namentlich benannte Person muss sie verantworten. NIS2 verpflichtet das Leitungsorgan, die Sicherheitsmaßnahmen zu billigen und zu überwachen. ISO 27001 verpflichtet die oberste Leitung, die Rollen zuzuweisen. Keines von beiden verlangt einen CISO. In einem Unternehmen mit vierzig bis hundertfünfzig Beschäftigten bedeutet diese Verantwortung ein bis zwei Tage Entscheidungen im Monat.
Dieser Leitfaden behandelt, was NIS2 und ISO 27001 verlangen, wo Sicherheit standardmäßig landet, einen Test mit fünf Fragen, was die verantwortliche Person tut und wann ein vCISO (externer CISO) passt.
| Wer | Verantwortlich für | Grundlage |
|---|---|---|
| Leitungsorgan | Die Sicherheitsmaßnahmen billigen, ihre Umsetzung überwachen, für Verstöße einstehen und Schulungen absolvieren | NIS2 |
| Oberste Leitung | Verantwortlichkeiten und Befugnisse für das Informationssicherheits-Managementsystem zuweisen und bekannt machen | ISO 27001, Abschnitt 5.3 |
| Eine namentlich benannte sicherheitsverantwortliche Person | Die wiederkehrenden Entscheidungen: Risikoregister, Ausnahmen, Lieferanten, Fragebögen, internes Audit, Vorfälle, Berichte an die Geschäftsleitung | ISO 27001, Control 5.2 aus Anhang A: Rollen festgelegt und zugewiesen |
| Ein CISO | Nicht erforderlich | NIS2 schafft keine Rolle; ISO 27001 verwendet das Wort nicht |
Warum braucht Sicherheit eine namentlich benannte verantwortliche Person?
Fragen Sie ein Unternehmen mit vierzig Beschäftigten, wer die Sicherheit verantwortet, und Sie erhalten eine von drei Antworten. Einen Namen, schnell genannt, meist den der IT-Leitung. Eine Pause, dann „na ja, eigentlich wir alle“. Oder einen Namen, langsam genannt, weil der Person beim Aussprechen gerade klar wird, dass es ihr eigener ist.
Die dritte Antwort ist die ehrliche. Die ersten beiden erklären, wie Unternehmen in ein Audit gehen, mit einem Richtlinienwerk, das niemand gelesen hat, und einem Risikoregister, das zuletzt im Monat seiner Erstellung angefasst wurde.
Sicherheitsarbeit in einem kleinen Unternehmen ist kein Projekt mit Enddatum. Sie ist ein Strom kleiner Entscheidungen, die jede Woche eintreffen. Ein Lieferant schickt einen Fragebogen samt Frist. Ein Ingenieur bittet für eine Woche um Administratorrechte, und die Woche geht zu Ende. Ein Notebook verschwindet an einem Flughafen. Ein Penetrationstest liefert elf Feststellungen, und vier davon werden in diesem Quartal nicht behoben. Also muss jemand ein Papier unterschreiben, das dies für akzeptabel erklärt. Ein Kundenvertrag verlangt eine Meldung innerhalb von vierundzwanzig Stunden nach einem Vorfall, und niemand hat festgelegt, was als Vorfall gilt.
Keine dieser Entscheidungen braucht eine Vollzeitfachkraft. Alle brauchen eine Person, die für die Antwort verantwortlich ist. Ohne diese Person entscheidet jeweils, bei wem die Sache gerade gelandet ist, jedes Mal anders, und nichts davon wird festgehalten.
Verlangen NIS2 oder ISO 27001 einen CISO?
Nein. Beide Regelwerke, die ein europäisches KMU betreffen, verlangen eine verantwortliche Person, und keines verlangt eine Neueinstellung.
NIS2 legt Billigung und Überwachung auf das Leitungsorgan. Die Leitung muss die Maßnahmen billigen und ihre Umsetzung überwachen, und sie kann für Verstöße verantwortlich gemacht werden. Mehr dazu in NIS2: Verantwortung und Governance der Leitung. Die Leitung muss außerdem an Schulungen teilnehmen und den Beschäftigten vergleichbare Schulungen anbieten, behandelt in den NIS2-Schulungspflichten. Die Richtlinie schafft Verantwortlichkeit und lässt das Organigramm unberührt.
ISO 27001 verlangt, dass die Rollen zugewiesen werden. Nach Abschnitt 5.3 ist die oberste Leitung dafür verantwortlich, Verantwortlichkeiten und Befugnisse für das Informationssicherheits-Managementsystem zuzuweisen und bekannt zu machen. Control 5.2 aus Anhang A verlangt, dass Rollen und Verantwortlichkeiten für Informationssicherheit entsprechend den Erfordernissen der Organisation festgelegt und zugewiesen werden. Das Wort CISO kommt nicht vor. Was vorkommt, ist ein bestimmter Mensch, in einem Dokument benannt, verantwortlich für bestimmte Dinge.
In dieser Lücke zwischen verantwortlicher Person und Neueinstellung stehen die meisten KMU, und sie ist kein Schlupfloch. Ein Auditor wird fragen, wer die Entscheidungen zur Risikobehandlung verantwortet, und „das Führungsteam“ übersteht die Nachfrage nicht.
Wo landet Sicherheit standardmäßig, und was geht dabei schief?
Ohne Entscheidung landet die Aufgabe bei dem, der am nächsten dran ist. Es gibt drei übliche Landeplätze, und jeder scheitert auf vorhersehbare Weise.
Die IT-Leitung. Der häufigste Fall, und der, der am vernünftigsten aussieht. Er scheitert an der Unabhängigkeit: Wer die Infrastruktur betreibt, beurteilt nun, ob sie ausreichend geschützt ist, entscheidet, welche der eigenen Feststellungen akzeptiert werden, und berichtet über den eigenen Arbeitsrückstand. Der Konflikt ist strukturell, nicht persönlich. Er scheitert auch an der Reichweite: Entscheidungen zu Lieferanten, Verträgen, Schulung und physischem Zutritt sind keine IT-Entscheidungen, und eine IT-Leitung ist nicht befugt, sie zu treffen.
Die Qualitäts- oder Compliance-Leitung. Häufig in der Fertigung und in Unternehmen, die bereits nach ISO 9001 zertifiziert sind. Das Ergebnis ist hervorragende Dokumentation und sehr wenig Veränderung. Diese Person kann die Richtlinie schreiben, das interne Audit durchführen und die Nachweise verwalten. Sie kann nicht beurteilen, ob ein Konzept zur Netzsegmentierung tragfähig ist oder ob eine Aufbewahrungsfrist für Protokolle lang genug ist, um überhaupt etwas zu untersuchen. Von außen wirkt das Managementsystem gesund, und das ist der Unterschied zwischen zertifiziert und sicher.
Der Gründer oder der CTO. Am fähigsten von den dreien und am wenigsten verfügbar. Die Entscheidungen sind richtig, wenn sie getroffen werden, aber sie werden spät getroffen, gebündelt, meist in der Woche vor einem Audit oder in der Woche nach einem Vorfall. Das Problem ist nicht das Urteilsvermögen. Es ist die Verzögerung.
Woran erkennen Sie, ob überhaupt jemand die Sicherheit verantwortet?
Stellen Sie den Mitgliedern des Führungsteams fünf Fragen, getrennt voneinander, und vergleichen Sie die Antworten.
- Wer zeichnet ab, dass eine bekannte, nicht behobene Schwachstelle vorerst hingenommen werden kann?
- Wer entscheidet, wann eine befristete Zugriffsausnahme ausläuft, und wer prüft, dass sie tatsächlich ausgelaufen ist?
- Wer liest die Sicherheitsunterlagen, die ein Lieferant vor der Vertragsunterzeichnung schickt?
- Wer wird um zweiundzwanzig Uhr angerufen, wenn etwas nicht stimmt, und wozu ist diese Person befugt?
- Wer schreibt den Sicherheitsteil der Unterlagen für die Geschäftsleitung, und wer hinterfragt ihn?
Nennen die Antworten drei oder mehr verschiedene Personen, oder ist eine Antwort eine Abteilung statt eines Menschen, dann verantwortet niemand die Sicherheit. Das Unternehmen hat die Arbeit verteilt und keinerlei Verantwortlichkeit behalten. Das liest sich im Audit am schlechtesten und funktioniert bei einem Vorfall am schlechtesten.
Was macht eine sicherheitsverantwortliche Person konkret?
Ohne den Stellentitel ist die Arbeit in einem Unternehmen dieser Größe eine kurze, wiederkehrende Liste.
- Das Risikoregister pflegen und zu jedem Eintrag eine Entscheidung herbeiführen, statt ihn altern zu lassen. Die Form, die einer Prüfung standhält, steht in Nachweise, die sich selbst zusammenstellen.
- Das Ausnahmeverzeichnis führen: wer beantragt hat, was gewährt wurde, wann es ausläuft, wer geprüft hat.
- Lieferanten vor der Unterzeichnung und bei der Verlängerung prüfen, eine der zehn Maßnahmen, die NIS2 nennt.
- Sicherheitsfragebögen von Kunden beantworten und die Antworten untereinander konsistent halten.
- Internes Audit und Managementbewertung durchführen, der Kreislauf aus Internes Audit und Managementbewertung.
- Festlegen, was als Vorfall gilt, und den Meldeweg üben, bevor er gebraucht wird.
- Der Geschäftsleitung so berichten, dass sie auf dieser Grundlage handeln kann.
In einem Unternehmen mit vierzig bis hundertfünfzig Beschäftigten sind das ein bis zwei Tage Entscheidungsarbeit im Monat. Sie setzt auf Werkzeugen auf, die die zugrunde liegenden Fakten fortlaufend liefern. Das ist keine Vollzeitstelle. Es ist aber auch nicht nichts, und es überlebt nicht als zehnte Priorität aller Beteiligten.
Sollten Sie einen CISO einstellen, jemanden intern benennen oder einen vCISO nutzen?
Es gibt drei Wege, die Lücke zu schließen, und die Rechnung fällt jeweils sehr unterschiedlich aus.
Einstellen. Eine Sicherheitsleitung kostet in Luxemburg inklusive Arbeitgeberanteilen einen sechsstelligen Betrag pro Jahr. Die Suche dauert drei bis fünf Monate, in einem Markt, in dem jede Bank um dieselben Leute wirbt, und bis die Person wirksam arbeitet, vergehen weitere drei Monate. Das ist der größte Teil eines Jahres, bevor die erste Entscheidung besser wird. Für die meisten Unternehmen, die weiter wachsen, ist eine Einstellung irgendwann richtig. Als erster Schritt ist sie selten richtig, weil ein Unternehmen, das die Funktion nie hatte, noch nicht weiß, welche Art von Person es braucht.
Intern benennen. Am günstigsten und tragfähig, wenn zwei Bedingungen erfüllt sind: Die Person hat eine ausdrückliche Befugnis, schriftlich festgehalten statt stillschweigend vorausgesetzt, und die Zeit ist im Kalender geschützt statt einfach angenommen. Woran es scheitert, ist nie die Person. Die Rolle wurde einer vollen Stelle ohne Befugnis und ohne Stunden aufgesattelt und hat jeden Konflikt mit dem operativen Tagesgeschäft verloren.
Leihen. Eine vCISO-Lösung liefert die Entscheidungsarbeit ohne Rekrutierungszyklus, für wenige Tage im Monat statt eines Gehalts, mit einem Start in Tagen statt in Quartalen. Sie liefert außerdem Unabhängigkeit: jemanden, dessen Urteil über die Infrastruktur kein Urteil über die eigene Arbeit ist. Die ehrliche Einschränkung: Eine Teilzeitverantwortung kann nicht die Person sein, die um zweiundzwanzig Uhr etwas bemerkt. Der Erkennungsteil muss aus Werkzeugen kommen statt aus Aufmerksamkeit.
Zu vermeiden ist die vierte Möglichkeit: die Entscheidung aufzuschieben und die Aufgabe weiter bei dem landen zu lassen, der am nächsten dran ist. Das ist die Regelung, die jedes Unternehmen bereits hat, bevor es eine der drei wählt.
Reicht eine benannte verantwortliche Person aus?
Nein. Beide Regelwerke enden bei der Verantwortlichkeit, und ein Auditor kann beides durch das Lesen einer Seite prüfen. Keines verlangt, dass die benannte Person irgendetwas sehen kann.
Eine sicherheitsverantwortliche Person mit unterschriebener Verantwortungserklärung, ohne Asset-Inventar, ohne Protokollaufbewahrung über die Standardeinstellung hinaus und ohne Alarmierung verantwortet ein Dokumentenpaket, keine Sicherheitslage. Sie kann Ihnen sagen, was in der Richtlinie steht. Sie kann Ihnen nicht sagen, ob sie letzten Dienstag gehalten hat.
Die verantwortliche Person braucht ein Inventar, das sich selbst aktualisiert, und Protokolle, die lange genug aufbewahrt werden, um einen Vorfall zu rekonstruieren. Feststellungen sollten nach Geschäftsrelevanz priorisiert eintreffen, nicht als undifferenzierte Liste. Die Nachweisspur sollte sich selbst erneuern, statt im Monat vor dem Auditbesuch zusammengestellt zu werden. Damit kann eine Person mit zwei Tagen im Monat die Position halten. Ohne das würde ein Vollzeit-CISO den größten Teil der Woche damit verbringen, Fakten zu sammeln, die ein System von selbst hätte sammeln sollen.
Verantwortung ist die Anforderung. Sichtbarkeit ist das, was ihr Bedeutung gibt. Ein unabhängiges Sicherheitsaudit zeigt Ihnen in wenigen Wochen, welches von beiden Ihnen fehlt, und das Gesamtbild dessen, was NIS2 erwartet, steht im NIS2-Compliance-Leitfaden.
Checkliste für die Sicherheitsverantwortung
- Stellen Sie die fünf Fragen zur Verantwortung jedem Mitglied des Führungsteams einzeln, und vergleichen Sie die Antworten.
- Benennen Sie eine Person, keine Abteilung, als verantwortlich für Sicherheitsentscheidungen.
- Halten Sie die Befugnisse dieser Person schriftlich fest, und schützen Sie ihre Zeit im Kalender.
- Dokumentieren Sie die Sicherheitsrollen und -verantwortlichkeiten, wie es Abschnitt 5.3 der ISO 27001 und Control 5.2 aus Anhang A verlangen.
- Lassen Sie die Geschäftsleitung die Sicherheitsmaßnahmen billigen und ihre Umsetzung überwachen.
- Legen Sie ein Ausnahmeverzeichnis an: wer beantragt hat, was gewährt wurde, wann es ausläuft, wer geprüft hat.
- Entscheiden Sie sich für Einstellen, interne Benennung oder Leihen, statt die Aufgabe bei dem landen zu lassen, der am nächsten dran ist.
- Prüfen Sie, ob die verantwortliche Person die Umgebung sehen kann: ein Inventar, das sich selbst aktualisiert, Protokolle, die lange genug für die Rekonstruktion eines Vorfalls aufbewahrt werden, und priorisierte Feststellungen.
Häufige Fragen
Wer ist in einem Unternehmen für Cybersicherheit verantwortlich?
Das Leitungsorgan ist rechenschaftspflichtig: Nach NIS2 billigt es die Sicherheitsmaßnahmen, überwacht ihre Umsetzung und kann für Verstöße verantwortlich gemacht werden. Abschnitt 5.3 der ISO 27001 verpflichtet die oberste Leitung, die Sicherheitsrollen zuzuweisen, sodass in der Praxis eine namentlich benannte Person die laufenden Entscheidungen verantwortet.
Muss ein Unternehmen nach NIS2 einen CISO ernennen?
Nein. NIS2 begründet eine Verantwortlichkeit des Leitungsorgans, schafft aber keine Rolle, und auch in ISO 27001 kommt das Wort CISO nicht vor. Beide verlangen eine namentlich benannte verantwortliche Person, keine Neueinstellung.
Sollte die IT-Leitung für Cybersicherheit verantwortlich sein?
Das ist die häufigste Lösung, und sie scheitert an der Unabhängigkeit: Wer die Infrastruktur betreibt, beurteilt am Ende selbst, ob sie ausreichend geschützt ist und welche der eigenen Feststellungen akzeptiert werden. Entscheidungen zu Lieferanten, Verträgen, Schulung und physischem Zutritt liegen zudem außerhalb der Befugnisse einer IT-Leitung.
Wie viel Zeit kostet Sicherheitsverantwortung in einem kleinen Unternehmen?
In einem Unternehmen mit vierzig bis hundertfünfzig Beschäftigten etwa ein bis zwei Tage Entscheidungsarbeit im Monat, während Werkzeuge die zugrunde liegenden Fakten fortlaufend liefern. Das ist keine Vollzeitstelle, aber es überlebt nicht als zehnte Priorität aller Beteiligten.
Wann lohnt sich ein vCISO für ein KMU?
Wenn das Unternehmen eine unabhängige verantwortliche Person braucht, bevor es weiß, welche Art von Sicherheitsstelle es besetzen sollte. Ein vCISO arbeitet wenige Tage im Monat statt gegen ein Gehalt und startet in Tagen statt in Quartalen. Die Erkennung muss trotzdem aus Werkzeugen kommen, denn eine Teilzeitverantwortung kann nicht die Person sein, die um zweiundzwanzig Uhr etwas bemerkt.
