Wofür ein CISO verantwortlich ist
Der CISO übersetzt Geschäftsrisiken in ein belastbares Sicherheitsprogramm. Das Mandat ist breit, doch eine ausgereifte Rolle umfasst typischerweise sieben Kernverantwortlichkeiten.
Sicherheitsstrategie und Governance
Der CISO definiert die mehrjährige Sicherheitsstrategie, legt das Kontrollrahmenwerk fest (häufig an NIST CSF, ISO 27001 oder CIS Controls ausgerichtet) und schreibt die Richtlinien, die regeln, wie die Organisation mit Daten, Identität und Zugriff umgeht. Governance ist der rote Faden: zu entscheiden, was die Organisation erlauben wird und was nicht, und das Programm dafür in die Verantwortung zu nehmen.
Risikomanagement
Sicherheit ist eine Risikodisziplin, keine Checkliste. Der CISO führt ein Risikoregister, quantifiziert das Exposure und priorisiert Investitionen gegen die Bedrohungen, die am ehesten materiellen Schaden verursachen. Dazu gehört zu entscheiden, welche Risiken gemindert, übertragen oder akzeptiert werden — und diese Entscheidungen für Führungskräfte und Prüfer zu dokumentieren.
Sicherheitsbetrieb
Der CISO steuert das tägliche Verteidigungsprogramm: das Security Operations Center (SOC), Bedrohungserkennung und -überwachung, Schwachstellenmanagement, Identitäts- und Zugriffsmanagement sowie Endgeräteschutz. Das Ziel ist die kontinuierliche Reduzierung der Angriffsfläche und die schnelle Erkennung dessen, was durchrutscht.
Incident-Response
Wenn es zu einem Sicherheitsvorfall oder einer Eindringung kommt, leitet der CISO Eindämmung, Beseitigung und Wiederherstellung — sowie die damit verbundene Kommunikation. Eine belastbare Incident-Response-Fähigkeit erfordert getestete Playbooks, klare Eskalationswege, forensische Bereitschaft und einen Audit-Trail, der regulatorischer und rechtlicher Prüfung standhält.
Compliance und Audit
Der CISO stellt sicher, dass die Organisation ihre regulatorischen und vertraglichen Verpflichtungen erfüllt — DSGVO, EU AI Act, SOC 2, HIPAA, PCI DSS und branchenspezifische Vorgaben. Das bedeutet, Kontrollen auf Anforderungen abzubilden, sie für Prüfer zu belegen und Feststellungen zu schließen, bevor sie zu Haftungsrisiken werden.
Sicherheitsbewusstsein und -kultur
Menschen bleiben die am häufigsten ausgenutzte Angriffsfläche. Der CISO verantwortet Schulungen zum Sicherheitsbewusstsein, Phishing-Simulationen und die kulturelle Arbeit, sicheres Verhalten zur Norm statt zur Ausnahme zu machen.
Lieferanten- und Drittparteienrisiko
Moderne Organisationen laufen auf Drittanbietersoftware, Cloud-Diensten und — zunehmend — externen AI-Anbietern. Der CISO bewertet und überwacht kontinuierlich das Risiko, das Lieferanten einbringen, einschließlich der Stellen, an denen Unternehmensdaten zu Diensten fließen, die die Organisation nicht kontrolliert.
Wem der CISO berichtet und wie sich die Rolle entwickelt hat
Die CISO-Rolle entstand in den 1990er-Jahren als technische, der IT untergeordnete Funktion mit Fokus auf Perimeterverteidigung. Sie ist seither zu einer Führungsrolle mit Rechenschaftspflicht geworden. Die Berichtswege variieren und signalisieren, wie eine Organisation Sicherheit einordnet:
- CISO → CIO — die traditionelle Struktur, die Sicherheit als IT-Disziplin behandelt. Effizient, kann aber einen Interessenkonflikt schaffen, bei dem dieselbe Führungskraft sowohl Liefergeschwindigkeit als auch Sicherheitszurückhaltung verantwortet.
- CISO → CEO oder Vorstand — zunehmend verbreitet in regulierten und sicherheitssensiblen Organisationen, was widerspiegelt, dass Sicherheitsrisiko nun Unternehmensrisiko ist.
- CISO → CRO / General Counsel — rahmt Sicherheit primär als Risiko- und Compliance-Funktion.
Regulatorischer Druck hat den Wandel beschleunigt. Regeln wie die Offenlegungsanforderungen der SEC zur Cybersicherheit sowie die EU-Richtlinien DORA und NIS2 haben Vorstände direkt für Cyberrisiken verantwortlich gemacht und den CISO in den Vorstandsraum gezogen. Die Rolle hat sich von „die Firewalls am Laufen halten" zu „das Sicherheitsrisiko der Organisation gegenüber den rechtlich Verantwortlichen verantworten und artikulieren" gewandelt.
Der CISO-Aufgabenbereich im Vergleich zu angrenzenden Rollen
Der CISO wird häufig mit dem CIO und dem Datenschutzbeauftragten (DPO) verwechselt. Es sind eigenständige Rollen mit unterschiedlichen Mandaten, und in gut geführten Organisationen wirken sie als bewusste gegenseitige Kontrolle.
| CISO | CIO | DPO | |
|---|---|---|---|
| Primäres Mandat | Die Organisation vor Sicherheitsrisiken schützen | IT-Leistungsfähigkeit liefern und das Geschäft ermöglichen | Rechtmäßige, konforme Verarbeitung personenbezogener Daten sicherstellen |
| Optimiert für | Risikoreduktion und Resilienz | Geschwindigkeit, Verfügbarkeit, Kosten der IT-Lieferung | Betroffenenrechte und regulatorische Compliance |
| Verantwortet | Sicherheitsstrategie, SOC, Incident-Response | Infrastruktur, Anwendungen, IT-Betrieb | Datenschutzprogramm, DSGVO-Pflichten, DSFAs |
| Unabhängigkeit | Sollte unabhängig vom Lieferdruck sein | Verantwortet die Lieferung selbst | Gesetzlich zur Unabhängigkeit verpflichtet (DSGVO Art. 38) |
| AI-Verantwortung | AI-Nutzung absichern, Shadow AI, agentisches AI-Risiko | AI-Tools und -Plattformen bereitstellen | Rechtmäßigkeit personenbezogener Daten in AI-Systemen |
Die Überschneidung bei AI ist genau dort, wo Koordination am meisten zählt: Der CIO stellt AI-Tools bereit, der DPO regelt die darin enthaltenen personenbezogenen Daten, und der CISO ist für das Sicherheitsrisiko verantwortlich, das das gesamte Muster erzeugt.
Das neue Mandat des CISO: Enterprise AI regeln
Die AI-Einführung in Unternehmen ist den Kontrollen, die sie regeln sollen, vorausgeeilt, und die Lücke ist direkt auf dem Schreibtisch des CISO gelandet.
Shadow AI
Mitarbeiter führen Verbraucher-AI-Tools schneller ein, als die Sicherheit sie prüfen kann — sie fügen Quellcode, Kundendaten und vertrauliche Dokumente in öffentliche Chatbots und Browser-Erweiterungen ein. Dieses „Shadow AI" spiegelt das Shadow-IT-Problem der Cloud-Ära wider, jedoch mit einer höheren Datenexfiltrationsrate und weit weniger Sichtbarkeit. Die meisten CISOs können die grundlegende Frage derzeit nicht beantworten: Welche AI-Tools nutzt meine Organisation tatsächlich, und welche Daten fließen in sie hinein?
Sanktionierte AI-Einführung absichern
Selbst freigegebene AI-Tools benötigen Governance: welche Rollen welche Modelle nutzen dürfen, welche Daten übermittelt werden dürfen und welche Ausgaben akzeptabel sind. AI sicher zu ermöglichen — statt sie zu verbieten und die Nutzung in den Untergrund zu treiben — ist nun eine zentrale CISO-Aufgabe.
Agentisches AI-Risiko
Autonome AI-Agenten handeln im Auftrag von Nutzern und rufen Tools, APIs und interne Systeme mit delegierter Autorität auf. Diese Aktionen sind für klassische Protokollierung oft unsichtbar, schaffen neue Pfade zur Rechteausweitung und verlangen Kontrollen, für die der Sicherheits-Stack nie ausgelegt war — Least-Privilege-Tool-Zugriff, Freigabe vor der Ausführung für risikoreiche Aktionen und Audit je Aufgabe.
AI-Governance und Rechenschaftspflicht
Rahmenwerke wie der EU AI Act und das NIST AI RMF machen AI zu einem Governance-Thema auf Vorstandsebene. Der CISO ist zunehmend die Führungskraft, von der erwartet wird, AI-Richtlinien zu operationalisieren — und das in den meisten Organisationen heute ohne angemessenes Tooling.
