Kurzdefinition: Der CISO (Chief Information Security Officer) ist die für die Informationssicherheit verantwortliche Leitungs- oder Stabsfunktion. Er steuert Strategie, Risikomanagement, Sicherheitsarchitektur und Meldewesen — die gesetzliche Gesamtverantwortung nach § 38 BSIG bleibt jedoch bei der Geschäftsleitung.
Was macht ein CISO?
Er verantwortet die Informationssicherheit operativ: Strategie, Richtlinien, Risikomanagement, Sicherheitsarchitektur, Awareness und die Reaktion auf Vorfälle. Er ist die zentrale Steuerungsstelle.
Nimmt der CISO der Leitung die Verantwortung ab?
Nein. Die Geschäftsleitung kann Aufgaben delegieren, nicht aber die gesetzliche Umsetzungs- und Überwachungspflicht nach § 38 BSIG. Der CISO handelt für sie, nicht an ihrer Stelle.
Wo sollte der CISO angesiedelt sein?
Möglichst unabhängig und mit direktem Draht zur Leitung. Eine Unterordnung allein unter die IT-Leitung kann Interessenkonflikte schaffen — Sicherheit muss auch gegen Betriebsinteressen bestehen können.
Braucht jedes Unternehmen einen CISO?
Nicht formal, aber die Funktion. Auch kleinere Einrichtungen sollten die Verantwortung für Informationssicherheit klar zuweisen — ob als Vollzeit-CISO oder als Rolle.
Wie arbeitet der CISO mit der Leitung zusammen?
Über Berichte und Entscheidungsvorlagen. Der CISO liefert die Risikoinformationen, die die Geschäftsleitung für ihre Überwachungspflicht braucht.
Häufige Fehlannahmen
- „Der CISO haftet, nicht die Leitung.“ Nein. Die gesetzliche Verantwortung bleibt bei der Geschäftsleitung.
- „Ein CISO ist nur für Großkonzerne nötig.“ Nein. Die Funktion braucht jede erfasste Einrichtung.
- „Der CISO gehört unter die IT-Leitung.“ Problematisch. Unabhängigkeit ist wichtig.
- „Mit einem CISO ist alles erledigt.“ Nein. Die Leitung muss weiter überwachen.
- „Der CISO ist reine Technik.“ Nein. Die Rolle ist stark organisatorisch und strategisch.
Was die Geschäftsleitung tun sollte
- Funktion einrichten. Eine klare Verantwortliche für Informationssicherheit benennen.
- Unabhängigkeit sichern. Direkten Zugang zur Leitung ermöglichen.
- Berichtswege bauen. Regelmäßige Risikoberichte etablieren.
- Verantwortung behalten. Überwachungspflicht der Leitung wahrnehmen.
Für die Geschäftsleitung
Der CISO steuert die Informationssicherheit — aber er ersetzt nicht die Verantwortung der Geschäftsleitung. Wer die Funktion unabhängig aufstellt und die Berichtswege ernst nimmt, unterstützt die Wahrnehmung der Überwachungspflicht und verbessert die Sicherheitssteuerung.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
