Warum Informationssicherheit eine Managementaufgabe ist

Problem in der Praxis

Viele Unternehmen behandeln Informationssicherheit wie ein technisches Spezialproblem. Firewalls, Endpoint-Schutz, Backup, Schwachstellenmanagement und Berechtigungen liegen bei der IT. Die Geschäftsführung wird nur eingebunden, wenn ein größeres Projektbudget, ein Vorfall oder eine Kundenanforderung ansteht.

Das führt zu drei typischen Schwachstellen. Erstens fehlen klare Entscheidungen zum Risikoappetit. Zweitens bleiben Fachbereiche passiv, obwohl sie Daten, Prozesse und Lieferanten verantworten. Drittens entstehen Nachweise erst kurz vor Audits oder Kundenprüfungen, statt im Regelbetrieb.

Das Ergebnis ist eine Sicherheitsorganisation, die viel arbeitet, aber wenig steuert. Sie reagiert auf technische Befunde, Kundenfragen und Auditdruck, statt Sicherheit entlang der Geschäftsziele zu planen.

CISO-Einordnung

Informationssicherheit betrifft immer Menschen, Prozesse, Technologie und externe Abhängigkeiten. Ein einzelnes Tool kann diese Dimensionen nicht zusammenführen. Auch die IT-Leitung kann viele Risiken nicht allein bewerten, weil die geschäftliche Auswirkung häufig außerhalb der IT liegt.

Beispiel: Ein veraltetes System kann technisch kritisch sein. Ob es aber sofort ersetzt, isoliert, versichert, abgeschaltet oder vorübergehend akzeptiert wird, ist eine Managemententscheidung. Sie hängt von Kundenverpflichtungen, Produktionsrisiken, Vertragsstrafen, Budget, Lieferzeit, Alternativen und Risikobereitschaft ab.

Die Aufgabe des CISOs ist nicht, jedes Risiko selbst zu besitzen, sondern Risiken sichtbar, entscheidbar und nachverfolgbar zu machen. Management bleibt verantwortlich für Priorisierung und Akzeptanz. Fachbereiche bleiben verantwortlich für ihre Prozesse und Informationen. IT und Security liefern Expertise, Betrieb und Nachweise.

Umsetzungsperspektive

Ein reifes Unternehmen verankert Informationssicherheit in der Führungslogik. Dazu gehören klare Rollen, regelmäßige Risikoentscheidungen, ein sichtbarer Maßnahmenplan, nachvollziehbare Nachweise und eine Taktung für Reviews. Genau an diesen wiederkehrenden Formaten wird Managementverantwortung nachweisbar: Die regelmäßige Managementbewertung und ein belegbares Engagement der obersten Leitung (Ressourcen, Entscheidungen, Prioritäten) sind mehr als gute Praxis; Managementsystem-Standards formulieren sie als eigenständigen Anspruch an die Führung. Im Zertifizierungskontext liefern gerade diese Formate die Belege dafür, dass Sicherheit geführt und nicht nur betrieben wird. Maßgeblich ist die Verankerung im Regelbetrieb statt einmaliger Aktivität kurz vor einem Audit.

Pragmatisch beginnt das mit wenigen, aber verbindlichen Formaten:

• Ein regelmäßiges Security Steering mit Geschäftsführung oder delegierten Entscheidern.
• Ein Risikoregister, das geschäftliche Auswirkungen beschreibt und nicht nur technische Findings sammelt.
• Benannte Owner für kritische Prozesse, Anwendungen, Lieferanten und Maßnahmen.
• Ein Roadmap- und Budgetprozess, der Sicherheitsprioritäten mit Unternehmenszielen verbindet.
• Managementberichte, die Entscheidungen vorbereiten statt Aktivitäten aufzuzählen.

Der CISO sollte dabei vermeiden, Informationssicherheit als Kontrollinstanz zu inszenieren. Wirksamer ist die Rolle als Übersetzer und Steuerungsarchitekt: Was ist das Risiko, wer entscheidet, welche Optionen gibt es, welche Nachweise zeigen Fortschritt?

Typische Fehler

1. Informationssicherheit wird an die IT delegiert, obwohl Risiken fachliche und kaufmännische Auswirkungen haben.
2. Die Geschäftsführung bekommt lange Maßnahmenlisten, aber keine entscheidungsreifen Optionen.
3. Fachbereiche werden erst eingebunden, wenn Nachweise fehlen oder ein Audit bevorsteht.
4. Sicherheitsziele werden formuliert, ohne Ressourcen, Owner und Messpunkte festzulegen.
5. Compliance wird mit Sicherheit verwechselt und ein Zertifikat mit Risikobeherrschung gleichgesetzt.

Risiken und Trade-offs

Informationssicherheit konkurriert mit Geschwindigkeit, Kosten, Nutzerkomfort und Innovationsdruck. Diese Zielkonflikte sind normal. Gefährlich werden sie, wenn sie verdeckt entschieden werden.

Zu viel Kontrolle kann Geschäftsprozesse verlangsamen und Schatten-IT fördern. Zu wenig Kontrolle kann Ausfälle, Datenabfluss, Vertragsverletzungen und Vertrauensverlust verursachen. Die Managementaufgabe besteht darin, ein belastbares Gleichgewicht zu definieren und bei Veränderungen neu zu bewerten.

Ein weiterer Trade-off liegt in der Zentralisierung. Ein starkes Security-Team schafft Konsistenz, kann aber zum Flaschenhals werden. Dezentrale Verantwortung beschleunigt Umsetzung, braucht aber klare Leitplanken und Nachweise.

Entscheidungspunkte

• Welche Informationswerte und Geschäftsprozesse sind für das Unternehmen kritisch?
• Welche Risiken dürfen Fachbereiche selbst entscheiden, und welche müssen an die Geschäftsführung eskaliert werden?
• Welche Sicherheitsziele sind für die nächsten 12 Monate wirklich steuerungsrelevant?
• Wo braucht das Unternehmen mehr technische Kontrolle, und wo eher bessere Governance?
• Welche Nachweise sollen im Regelbetrieb entstehen, nicht erst im Audit?

Praktische Empfehlungen

1. Führen Sie Informationssicherheit als festen Punkt in der Managementtaktung ein, nicht nur als Vorfall- oder Audit-Thema.
2. Beschreiben Sie Risiken in Geschäftssprache: betroffenes Ziel, mögliches Szenario, Auswirkung, Handlungsoption und Entscheidung.
3. Trennen Sie klar zwischen Risiko-Owner, Maßnahmen-Owner und technischer Umsetzung.
4. Verlangen Sie Managementberichte mit Entscheidungen, Ampeln und Abweichungen statt reiner Aktivitätsdokumentation.
5. Behandeln Sie Zertifizierung, Compliance und Sicherheitswirksamkeit als verwandte, aber unterschiedliche Ziele.
6. Verstehen Sie ein erteiltes Zertifikat als laufend zu pflegenden Status: Nach anerkannter Zertifizierungspraxis folgen auf die Erstzertifizierung wiederkehrende Überwachungs- und später Rezertifizierungsschritte über einen mehrjährigen Zyklus. Das verlangt dauerhafte Aufmerksamkeit, Budget und Entscheidungsbereitschaft des Managements und unterstreicht, dass Informationssicherheit ein Dauerauftrag der Führung ist und kein einmaliges Projekt. Verbindliche Details der Zertifizierung sind der jeweiligen Originalnorm bzw. lizenzierter Beratung zu entnehmen.

Relevante Normreferenzen

• ISO/IEC 27001: Referenz für Anforderungen an ein Informationssicherheitsmanagementsystem.
• ISO/IEC 27014: Referenz für Governance von Informationssicherheit; konkrete Edition vor Nutzung prüfen.