Wer das lesen sollte: ein Unternehmen mit zwanzig bis zweihundertfünfzig Beschäftigten ohne CISO, das inzwischen Sicherheitsfragen von Kunden oder einer Behörde erhält und nicht weiß, wer im Haus sie beantworten soll.
Fragen Sie ein Unternehmen mit vierzig Beschäftigten, wer die Sicherheit verantwortet, und Sie erhalten eine von drei Antworten. Einen Namen, schnell genannt, meist den der IT-Leitung. Eine Pause, dann: eigentlich wir alle. Oder einen Namen, langsam genannt, weil der Person beim Aussprechen klar wird, dass es ihr eigener ist.
Die dritte Antwort ist die ehrliche. Die ersten beiden erklären, wie ein Unternehmen bei einem Audit ankommt mit einem Richtlinienwerk, das niemand gelesen hat, und einem Risikoregister, dessen letzte Änderung aus dem Monat seiner Erstellung stammt.
Die Aufgabe existiert, ob die Rolle existiert oder nicht
Sicherheitsarbeit in einem kleinen Unternehmen ist kein Projekt mit Enddatum. Sie ist ein Strom kleiner Entscheidungen, die wöchentlich eintreffen und von jemandem getroffen werden müssen.
Ein Kunde schickt einen Sicherheitsfragebogen mit Frist. Ein Ingenieur bittet für eine Woche um Administratorrechte, und die Woche endet. Ein Notebook verschwindet an einem Flughafen. Ein Penetrationstest liefert elf Feststellungen zurück, vier davon werden in diesem Quartal nicht behoben, was bedeutet, dass jemand ein Dokument unterschreiben muss, das dies für vertretbar erklärt. Ein Kundenvertrag kommt mit einer Klausel zur Meldung innerhalb von vierundzwanzig Stunden, und niemand hat definiert, was als Vorfall gilt.
Keine dieser Entscheidungen braucht eine Vollzeitspezialistin. Alle brauchen eine Person, die für die Antwort verantwortlich ist. In Unternehmen ohne diese Person trifft jede Entscheidung derjenige, bei dem sie gelandet ist, jedes Mal anders, und nichts davon wird festgehalten.
Was die Vorgaben tatsächlich verlangen
Beide Regelwerke, die ein europäisches KMU erreichen, sagen dasselbe mit anderen Worten, und keines sagt, was ihm unterstellt wird.
NIS2 legt Billigung und Überwachung auf das Leitungsorgan. Die Maßnahmen müssen von der Leitung gebilligt werden, die Leitung muss ihre Umsetzung überwachen, und sie kann für Verstöße verantwortlich gemacht werden. Ausführlich in NIS2 und die Verantwortung der Leitung. Die Richtlinie verpflichtet die Leitung zudem, Schulungen zu absolvieren und vergleichbare Schulungen den Beschäftigten anzubieten, behandelt in den NIS2-Schulungspflichten. Was die Richtlinie nicht tut, ist eine Stelle zu schaffen. Sie schafft Verantwortlichkeit und lässt das Organigramm unberührt.
ISO 27001 verlangt, dass die Rollen zugewiesen werden. Abschnitt 5.3 macht die oberste Leitung verantwortlich dafür, Verantwortlichkeiten und Befugnisse für das Informationssicherheits-Managementsystem zuzuweisen und bekannt zu machen. Maßnahme 5.2 in Anhang A verlangt, dass Rollen und Verantwortlichkeiten für Informationssicherheit entsprechend den Bedürfnissen der Organisation festgelegt und zugewiesen werden. Das Wort CISO kommt nicht vor. Vor kommt die Anforderung, dass ein bestimmter Mensch, in einem Dokument benannt, für bestimmte Dinge verantwortlich ist.
Beide Regime verlangen also eine verantwortliche Person, und keines verlangt eine Einstellung. In dieser Lücke sitzen die meisten KMU, und die Lücke ist kein Schlupfloch. Ein Auditor fragt, wer die Entscheidungen zur Risikobehandlung trägt, und die Geschäftsleitung ist keine Antwort, die die Nachfrage übersteht.
Wo die Aufgabe standardmäßig landet, und was bricht
Ohne Entscheidung landet die Aufgabe beim Nächstbesten. Es gibt drei übliche Landepunkte, und jeder scheitert auf vorhersehbare Weise.
Die IT-Leitung. Der häufigste Fall und der scheinbar vernünftigste. Er scheitert an der Unabhängigkeit. Wer die Infrastruktur betreibt, beurteilt nun auch, ob diese Infrastruktur ausreichend geschützt ist, entscheidet, welche der eigenen Feststellungen akzeptiert werden, und berichtet über den eigenen Rückstand. Der Konflikt ist strukturell, nicht persönlich. Er scheitert auch am Umfang: Sicherheitsentscheidungen zu Lieferanten, Verträgen, Schulung und physischem Zutritt sind keine IT-Entscheidungen, und eine IT-Leitung hat keine Legitimation, sie zu treffen.
Die Qualitäts- oder Compliance-Leitung. Häufig in der Fertigung und in Unternehmen mit bestehender ISO 9001. Das Ergebnis ist ausgezeichnete Dokumentation und sehr wenig Veränderung. Die Person kann die Richtlinie schreiben, das interne Audit führen und die Nachweise verwalten, kann aber nicht beurteilen, ob eine Netzsegmentierung tragfähig ist oder ob eine Aufbewahrungsdauer für Protokolle lang genug ist, um irgendetwas zu untersuchen. Von außen wirkt das Managementsystem gesund. Der Unterschied zwischen zertifiziert und sicher ist genau dieses Scheitern.
Die Gründerin oder der CTO. Am fähigsten von den dreien und am wenigsten verfügbar. Entscheidungen sind richtig, wenn sie getroffen werden, und sie werden spät getroffen, gebündelt, meist in der Woche vor einem Audit oder in der Woche nach einem Vorfall. Das Problem ist nicht das Urteilsvermögen. Es ist die Verzögerung.
Der Test, der die Frage klärt
Stellen Sie der Führungsebene fünf Fragen, getrennt voneinander, und vergleichen Sie die Antworten.
- Wer zeichnet ab, dass eine bekannte, nicht behobene Schwachstelle tragbar ist?
- Wer entscheidet, wann eine befristete Zugriffsausnahme endet, und wer prüft, dass sie geendet hat?
- Wer liest die Sicherheitsunterlagen, die ein Lieferant vor Vertragsunterzeichnung schickt?
- Wer wird um zweiundzwanzig Uhr angerufen, wenn etwas auffällig aussieht, und wozu ist diese Person befugt?
- Wer schreibt den Sicherheitsteil der Vorlage für das Aufsichtsgremium, und wer hinterfragt ihn?
Nennen die fünf Antworten drei oder mehr verschiedene Personen, oder benennt eine Antwort eine Abteilung statt eines Menschen, dann verantwortet niemand die Sicherheit. Das Unternehmen hat die Arbeit verteilt und die Verantwortung nirgends behalten. Das liest sich im Audit am schlechtesten und funktioniert im Vorfall am schlechtesten.
Was diese Verantwortung tatsächlich umfasst
Ohne den Stellentitel ist die Arbeit in einem Unternehmen dieser Größe eine kurze, wiederkehrende Liste.
- Das Risikoregister pflegen und zu jedem Eintrag eine Entscheidung erzwingen, statt ihn altern zu lassen. Die Form, die einer Prüfung standhält, beschreibt Nachweise, die sich selbst zusammenstellen.
- Das Ausnahmeverzeichnis führen: wer beantragt hat, was gewährt wurde, wann es endet, wer geprüft hat.
- Lieferanten vor Unterzeichnung und bei Verlängerung bewerten, eine der zehn Maßnahmen, die NIS2 benennt.
- Sicherheitsfragebögen von Kunden beantworten und die Antworten untereinander konsistent halten.
- Internes Audit und Managementbewertung durchführen, die Schleife aus internes Audit und Managementbewertung.
- Festlegen, was als Vorfall gilt, und den Meldeweg proben, bevor er gebraucht wird.
- Dem Aufsichtsgremium so berichten, dass es handeln kann.
In einem Unternehmen mit vierzig bis hundertfünfzig Beschäftigten sind das ein bis zwei Entscheidungstage im Monat, aufgesetzt auf Werkzeuge, die die zugrunde liegenden Fakten fortlaufend erzeugen. Das ist keine Vollzeitstelle. Es ist aber auch nicht nichts, und es überlebt nicht als zehnte Priorität aller Beteiligten.
Einstellen, zuweisen oder leihen
Drei Wege, die Lücke zu schließen, und die Rechnung fällt deutlich unterschiedlich aus.
Einstellen. Eine Sicherheitsleitung in Luxemburg kostet mit Arbeitgeberanteilen jährlich einen sechsstelligen Betrag, braucht drei bis fünf Monate Suche in einem Markt, in dem jede Bank um dieselben Profile wirbt, und weitere drei Monate bis zur Wirksamkeit. Das ist fast ein Jahr, bevor die erste Entscheidung besser wird. Für die meisten wachsenden Unternehmen ist die Einstellung irgendwann richtig. Als erster Schritt ist sie selten richtig, weil ein Unternehmen, das die Funktion nie hatte, noch nicht weiß, welches Profil es braucht.
Intern zuweisen. Am günstigsten und tragfähig, wenn zwei Bedingungen erfüllt sind: Die Person hat eine ausdrücklich schriftlich festgehaltene Befugnis statt einer unterstellten, und die Zeit ist im Kalender geschützt statt angenommen. Was schiefgeht, ist nie die Person. Es ist, dass die Rolle einer vollen Stelle hinzugefügt wurde, ohne Befugnis und ohne Stunden, und jede Kollision mit dem Liefergeschäft verloren hat.
Leihen. Eine vCISO-Lösung kauft die Entscheidungsfähigkeit ohne Rekrutierungszyklus, für wenige Tage im Monat statt eines Gehalts, startbereit in Tagen statt in Quartalen. Sie kauft außerdem Unabhängigkeit: jemanden, dessen Urteil über die Infrastruktur kein Urteil über die eigene Arbeit ist. Die ehrliche Grenze: Eine Teilzeitverantwortung kann nicht die Person sein, die um zweiundzwanzig Uhr etwas bemerkt. Die Erkennungshälfte muss deshalb aus Werkzeugen kommen, nicht aus Aufmerksamkeit.
Zu vermeiden ist die vierte Möglichkeit: die Entscheidung aufzuschieben und die Aufgabe weiter beim Nächstbesten landen zu lassen. Das ist die Regelung, die jedes Unternehmen ohnehin hat, bevor es eine der drei wählt.
Die technische Realität
Beide Regelwerke enden bei der Verantwortlichkeit. NIS2 verlangt, dass die Leitung die Maßnahmen billigt und überwacht. ISO 27001 verlangt, dass die Rollen zugewiesen und dokumentiert sind. Ein Auditor kann beides durch das Lesen einer Seite prüfen.
Was keines von beiden verlangt, ist, dass die benannte Person überhaupt etwas sehen kann. Eine Sicherheitsverantwortung mit unterschriebener Aufgabenbeschreibung, ohne Bestandsverzeichnis, ohne Protokollaufbewahrung über die Standardeinstellung hinaus und ohne Alarmierung verantwortet ein Dokumentenwerk, keine Sicherheitslage. Sie kann sagen, was die Richtlinie vorsieht. Sie kann nicht sagen, ob diese am vergangenen Dienstag gehalten hat.
Diese Lücke zu schließen ist unspektakulär und sehr konkret. Die verantwortliche Person braucht ein Bestandsverzeichnis, das sich selbst aktualisiert, statt eines, das in jedem Auditzyklus von Hand neu erstellt wird, Protokolle, die lange genug aufbewahrt werden, um einen Vorfall zu rekonstruieren, statt lange genug für eine Standardeinstellung, Feststellungen, die nach Geschäftsrelevanz priorisiert eintreffen statt als undifferenzierte Liste, und eine Nachweisspur, die sich regeneriert, statt im Monat vor dem Auditbesuch zusammengestellt zu werden. Damit hält eine verantwortliche Person mit zwei Tagen im Monat die Position. Ohne das verbrächte ein Vollzeit-CISO den Großteil der Woche damit, Fakten zu sammeln, die ein System von selbst hätte sammeln sollen.
Verantwortung ist die Anforderung. Sichtbarkeit ist das, was der Anforderung Bedeutung gibt. Welche von beiden Ihnen fehlt, beantwortet ein unabhängiges Sicherheitsaudit in wenigen Wochen, und das Gesamtbild der NIS2-Erwartungen steht im NIS2-Compliance-Leitfaden.
