Kostenloses E-Handbook: Wie sich die Rolle des CISO verändert

In der im Dezember 2025 auch hierzulande in Kraft getretenen NIS2-Richtlinie ist festgelegt, dass die Geschäftsführung von Unternehmen Cybersicherheit als integralen Bestandteil der Geschäfte des Unternehmens und des Risikomanagements sicherstellen muss. Und Hand aufs Herz, das sollte nicht nur für von NIS2 betroffene Unternehmen gelten. Denn Cybersicherheit und Cyberresilienz können heute über das Wohl und das Überleben eines jeglichen Unternehmens entscheiden.

Für die Sicherheit in Unternehmen zeichnet häufig der CISO (Chief Information Security Officer) verantwortlich. Die Bezeichnung dieser Position kann in Unternehmen variieren. Zweifelsohne aber hat die Rolle dieser Position in Organisationen während der vergangenen Jahre einen grundlegenden Wandel erlebt.

Ursprünglich war der CISO mit sehr technikorientierten Aufgaben betraut, der Lösungen wie Firewalls, SIEM und im besten Falle auch VPN unter seiner Obhut hatte. Diese Rolle hat sich fundamental verändert. Der CISO steht heute in engem Austausch mit der Unternehmensführung, etwa bei komplexen Cyberrisiken, und berät die Geschäftsleitung. So ist ein CISO nicht primär als ein Verteidiger der Unternehmens-IT zu sehen, denn er ist ebenso ins proaktive Risikomanagement eingebunden. Auch wenn es um die Entwicklung eines Unternehmens geht, ist der CISO von Bedeutung. Sollen Technologien wie Cloud oder KI in das Unternehmen sicher und risikobewusst eingeführt werden, ist das die Aufgabe des CISO. All dies bringt folglich einen maßgeblichen Wandel der Fähigkeiten und Anforderungen mit sich.

Damit ein CISO die gestellten Aufgaben bestmöglich erfüllen kann, muss die Position entsprechend im Unternehmen aufgehängt sein. Untersuchungen zeigen, dass die besten Ergebnisse erzielt werden, wenn der CISO direkt an die Geschäftsführung beziehungsweise an den CEO berichtet. Dann wird Cybersicherheit wirklich als strategischer Faktor für ein Unternehmen begriffen. Die bisher wohl am häufigsten anzutreffende Struktur – der CISO berichtet an den CIO – ist die am wenigsten effektive und laut Untersuchungen sogar womöglich eher gefährlich, da CIO und CISO oft konkurrierende Prioritäten haben.

Die oben beschriebenen Aufgaben zeigen, dass die Auslastung eines CISO angesichts der heutigen Situation hoch ist. Dabei ist es gut, Unterstützung an der Seite zu haben. Hier kommt zunehmend die Rolle des BISO (Business Information Security Officer) als Ergänzung zum CISO ins Spiel. Der BISO verfügt über betriebswirtschaftliche Kenntnisse und hat gleichermaßen Fachwissen im Bereich Cybersicherheit. Somit lassen sich Cyberrisiken in den betriebswirtschaftlichen Zusammenhang stellen, was sich für Unternehmen unbedingt empfiehlt.

Dieses E-Handbook beschäftigt sich intensiv mit der Schlüsselposition des CISO in Unternehmen, den sich verändernden Aufgaben sowie den dafür notwendigen Fähigkeiten.