Jedes Unternehmen hat jemanden, der für die IT zuständig ist. Diese Person repariert Computer, betreut Server, beantwortet Fragen der Mitarbeitenden und versteht ihr Handwerk in der Regel gut. Doch wenn ein Kunde einen Sicherheitsfragebogen mit hundert Fragen schickt, wenn die Geschäftsführung fragt „Sind wir sicher?“, wenn jemand entscheiden muss, ob NIS2 für uns gilt, zeigt sich, dass es diese Person nicht gibt. IT-Support und Sicherheitsmanagement sind verschiedene Aufgaben, und eine einzelne Person hat selten Zeit für beide.
Große Unternehmen lösen das mit einem Chief Information Security Officer (CISO). Für ein mittelgroßes Unternehmen ist das selten realistisch: Solche Fachleute sind auf dem Markt knapp, ihre Gehälter liegen auf dem Niveau von Führungskräften, und für eine Vollzeitstelle fehlt oft die Arbeit.
In diesem Artikel erklären wir, was eine Sicherheitsleitung tatsächlich tut, warum ein Service für ein mittelgroßes Unternehmen sinnvoller ist als eine Einstellung, was der Service umfasst und wie er zu Ihrer bestehenden IT passt.
Was eine Sicherheitsleitung tatsächlich tut
Eine Sicherheitsleitung ist kein besserer IT-Administrator. Sie installiert keine Virenschutz-Software und konfiguriert keine Firewalls. Ihre Aufgabe ist es, dafür zu sorgen, dass das Unternehmen seine Risiken kennt, Entscheidungen darüber trifft und das belegen kann.
In der Praxis sind das vier Funktionen. Erstens Risiken: verstehen, was für das Unternehmen am wichtigsten ist, was es bedroht und wie viel Risiko die Geschäftsführung bereit ist zu tragen. Zweitens Regeln: Richtlinien und Verfahren erarbeiten, die tatsächlich befolgt werden, und dafür sorgen, dass sie nicht veralten. Drittens Kontrolle: prüfen, ob die IT hält, was sie versprochen hat, und ob es funktioniert. Viertens Rechenschaft: der Geschäftsführung, den Kunden und den Prüfern ohne Fachjargon erklären, wo das Unternehmen steht.
Ein IT-Administrator beantwortet die Frage „Wie machen wir das?“. Eine Sicherheitsleitung beantwortet die Frage „Was muss getan werden und warum?“. Das sind unterschiedliche Blickwinkel, und es ist gesund, wenn verschiedene Personen sie vertreten, denn die Sicherheitsleitung prüft unter anderem die Arbeit der IT.
Warum eine Vollzeitstelle für ein Unternehmen mit 50 bis 300 Mitarbeitenden zu teuer ist
In einem Unternehmen dieser Größe entspricht die Arbeit der Sicherheitsleitung einigen Tagen im Monat. Richtlinien müssen einmal geschrieben und jedes Jahr überprüft werden. Das Risikoregister wird jedes Quartal aktualisiert. Ein Audit wird einmal im Jahr koordiniert. Kundenfragebögen werden einige Male im Jahr ausgefüllt. Ein Bericht an die Geschäftsführung geht jedes Quartal hinaus.
Eine Vollzeitstelle bei diesem Arbeitsumfang bedeutet, dass ein teurer Spezialist die meiste Zeit mit Aufgaben verbringt, die nicht seine sind, oder sich langweilt und geht. Ein häufiges Szenario aus unserer Erfahrung: Ein Unternehmen stellt einen Sicherheitsspezialisten ein, und ein Jahr später wird dieser zum IT-Leiter, weil es davon mehr Arbeit gibt – und das Sicherheitsmanagement hat wieder keinen Verantwortlichen.
Das zweite Problem ist die Erfahrung. Ein Einzelner sieht im Lauf seiner Karriere eine Handvoll Unternehmen. Ein Service-Team arbeitet gleichzeitig mit vielen Kunden aus verschiedenen Branchen, erkennt Probleme daher schneller und weiß, wonach Prüfer fragen werden, weil es ständig mit ihnen zu tun hat.
Das dritte ist Kontinuität. Ein angestellter Spezialist geht in den Urlaub, wird krank oder wechselt den Job, und mit ihm geht das gesamte Wissen. Ein Service wird von einem Team erbracht, das Wissen ist also dokumentiert und bleibt im Unternehmen.
Was CISO as a Service umfasst
CISO as a Service (auch vCISO, virtueller CISO) ist die Funktion der Sicherheitsleitung, die ein externes Team im vereinbarten Umfang übernimmt. Bei uns umfasst sie folgende Arbeiten.
Richtlinien und Verfahren
Es wird ein Satz von Richtlinien erstellt und gepflegt, zugeschnitten auf Größe und Anforderungen des Unternehmens: Informationssicherheit, Zugriffssteuerung, Backups, Vorfälle, Lieferanten, zulässige Nutzung. Die Richtlinien sind kurz gehalten und so geschrieben, dass sie wirklich befolgt werden, nicht nur um einen Prüfer zu beeindrucken.
Risikoregister
Zunächst erfolgt eine Risikobewertung, danach wird ein Risikoregister geführt: jedes Risiko mit Verantwortlichem, Maßnahmen und Fristen. Das Register wird jedes Quartal gemeinsam mit der Geschäftsführung durchgesehen, damit Entscheidungen über Risiken bewusst getroffen werden und nicht durch Untätigkeit.
Vorfallplan
Es wird ein Verfahren für das Vorfallmanagement erstellt, mit klaren Rollen, Kontakten, Meldevorlagen und Fristen, einschließlich der Meldungen an Behörden nach NIS2 oder DORA. Der Plan wird mindestens einmal im Jahr in einer Übung getestet, damit bei einem echten Vorfall niemand das Dokument zum ersten Mal liest.
Berichte an die Geschäftsführung
Die Geschäftsführung erhält jedes Quartal einen kurzen Bericht: wie der Stand der Sicherheit ist, was sich geändert hat, welche Risiken am größten sind und welche Entscheidungen nötig sind. Die Sicherheitsleitung nimmt an der Besprechung teil und beantwortet Fragen. Damit ist auch die NIS2-Anforderung zur Einbindung der Leitungsebene erfüllt.
Koordination von Audits und Fragebögen
Die Sicherheitsleitung koordiniert externe Audits, Sicherheitsfragebögen von Kunden sowie die Vorbereitung auf eine Zertifizierung oder die Prüfung durch eine Aufsichtsbehörde. Sie weiß, wo alle Dokumente liegen, und antwortet dem Prüfer im Namen des Unternehmens, statt die Fragen an den IT-Administrator weiterzureichen.
Lieferantenaufsicht
Eine Liste der IT- und Cloud-Lieferanten wird geführt, ihre Risiken werden bewertet, und die Verträge werden daraufhin geprüft, ob sie Regelungen zu Sicherheit, Vorfallmeldung und Auditrechten enthalten.
Wie Sie den Nutzen messen
Der Nutzen von Sicherheit ist schwer zu messen, denn Erfolg bedeutet, dass nichts passiert ist. Dennoch gibt es konkrete Kennzahlen, die wir ab dem ersten Quartal zu verfolgen empfehlen.
- Stand des Risikoregisters: wie viele hohe Risiken offen sind, wie viele im Quartal geschlossen wurden, ob es Risiken ohne Verantwortlichen gibt.
- Abarbeitung von Audit-Feststellungen: wie viele kritische und hohe Feststellungen innerhalb der gesetzten Frist behoben wurden.
- Bearbeitungszeit für Kundenfragebögen: wie viele Tage es dauert, einen Lieferantenfragebogen zu beantworten. Nach unserer Erfahrung sinkt sie von Wochen auf Tage, weil die Antworten bereits vorbereitet sind.
- Vorfallkennzahlen: wie viele Vorfälle erfasst wurden, wie schnell sie erkannt wurden, ob die Meldefristen eingehalten wurden.
- Restore-Tests: wie viele durchgeführt wurden und ob die festgelegte Wiederherstellungszeit erreicht wurde.
- Schulungen: welcher Anteil der Mitarbeitenden die Schulung absolviert hat und wie sich die Reaktion auf simulierte Phishing-E-Mails entwickelt.
Diese Kennzahlen bilden den Quartalsbericht an die Geschäftsführung. Nach einem Jahr können Sie klar sagen, was sich verändert hat.
Wie der Service mit Ihrer bestehenden IT zusammenarbeitet
Die häufigste Frage von Geschäftsführern: Gerät die Sicherheitsleitung mit unserem IT-Mitarbeiter oder IT-Dienstleister in Konflikt? Die Antwort lautet nein, solange die Rollen klar getrennt sind.
Die Sicherheitsleitung entscheidet, was getan werden muss, und prüft, ob es getan wurde. Der IT-Administrator oder Dienstleister setzt es um. Wird die IT von einem externen Unternehmen betreut, wird die Sicherheitsleitung zum Vertreter auf Kundenseite, der die Sicherheitsanforderungen an den Dienstleister formuliert und prüft, ob sie erfüllt werden. Viele IT-Dienstleister empfinden das als angenehm: Sie bekommen klare Aufgaben statt eines vagen „Macht das sicher“.
Wenn MDP CLOUD den IT-Support übernimmt, halten wir die Funktion der Sicherheitsleitung bewusst vom Support-Team getrennt, damit die Kontrolle keine Formalität bleibt. Betreut ein anderes Unternehmen die IT, arbeiten wir als Partner mit ihm zusammen: gemeinsame Besprechungen, ein gemeinsamer Maßnahmenplan und eine klare Aufteilung der Verantwortung.
Wo Sie anfangen sollten
- Beantworten Sie die Frage, wer im Unternehmen heute für Sicherheitsentscheidungen zuständig ist, nicht für deren Umsetzung. Lautet die Antwort „alle ein bisschen“ oder „die IT“, ist die Funktion der Sicherheitsleitung unbesetzt.
- Listen Sie die externen Anforderungen auf: Kundenfragebögen, NIS2 oder DORA, geplante Ausschreibungen, Zertifikate. Sie bestimmen den Umfang des Services.
- Beginnen Sie mit einer Risikobewertung oder einem IT-Sicherheitsaudit: Sie liefern den Ausgangspunkt, an dem Sie den Fortschritt messen.
- Vereinbaren Sie die Rollen mit Ihrer bestehenden IT: wer entscheidet, wer setzt um, wer prüft.
- Wählen Sie den Umfang des Services: von wenigen Tagen im Monat bis zur laufenden Begleitung. Wie das in der Praxis aussieht, können Sie auf der Seite CISO as a Service nachlesen.
Unsere Sicherheitsleitungen verfügen über gültige ISACA-Zertifikate (CISM, CISA, CRISC, CGEIT) und arbeiten gemäß den Anforderungen von ISO 27001. Im ersten Gespräch sagen wir Ihnen ehrlich, ob Sie einen laufenden Service brauchen oder ob einige einmalige Projekte genügen.
