Die Rolle des Chief Information Security Officer wird zunehmend zur Belastungsprobe. Neue Zahlen zeigen, wie stark die Verantwortung für Cybersicherheit auf einzelne Führungskräfte konzentriert ist und welche Folgen das für Unternehmen hat
Die Anforderungen an Chief Information Security Officers (CISOs) in europäischen Unternehmen haben sich in den vergangenen Jahren deutlich verschärft. Nach aktuellen Angaben von Palo Alto Networks ist die durchschnittliche Verweildauer eines CISO in Europa inzwischen auf 18 bis 26 Monate gesunken. Die Kombination aus akuter Krisenbewältigung bei Cybervorfällen und der kontinuierlichen Verantwortung für die IT-Sicherheit führt laut Branchenbeobachtern zu einer Überlastung vieler Sicherheitsverantwortlicher.
Hoher Druck und kurze Amtszeiten
Die Rolle des CISO ist in vielen Organisationen mit einer außergewöhnlichen Erwartungshaltung verbunden. Im Fall eines schwerwiegenden Cyberangriffs liegt die Koordination der Reaktion häufig bei einer einzigen Person, die unter erheblichem Zeitdruck Entscheidungen treffen muss. Jede Verzögerung kann das Risiko für Betriebsunterbrechungen, Datenverluste oder Reputationsschäden erhöhen. Gleichzeitig bleibt das Tagesgeschäft mit seinen vielfältigen Aufgaben bestehen. Nach Angaben von Palo Alto Networks berichten rund 90 Prozent der CISOs von moderatem bis hohem Stressniveau. Die kurze durchschnittliche Amtszeit deutet darauf hin, dass viele Führungskräfte die Belastung langfristig nicht tragen können.
Bewertung und Sichtbarkeit der Sicherheitsarbeit
Ein zentrales Problem liegt in der Art und Weise, wie Unternehmen den Erfolg ihrer Sicherheitsverantwortlichen messen. In der Praxis wird häufig nur darauf geachtet, ob ein Sicherheitsvorfall eingetreten ist. Qualitative Kriterien wie die Wirksamkeit präventiver Maßnahmen, die Resilienzplanung oder die sichere Integration neuer Geschäftsprozesse werden dagegen selten berücksichtigt. Diese einseitige Bewertung führt dazu, dass CISOs oft in einer defensiven Position arbeiten und ihre eigentliche Arbeit im Unternehmen wenig sichtbar bleibt. Auch nach erfolgreichen Krisenübungen oder Tabletop-Simulationen verfallen viele Organisationen laut Beobachtungen rasch wieder in Routinen, die die zuvor erzielten Fortschritte gefährden. Ein nachhaltiger Ansatz erfordert, dass Cybersicherheit in allen strategischen Entscheidungen verankert wird - etwa bei der digitalen Transformation oder bei Unternehmensübernahmen.
Geteilte Verantwortung und technologische Unterstützung
Um die Belastung einzelner Führungskräfte zu reduzieren, setzen fortschrittliche Unternehmen zunehmend auf geteilte Verantwortung. Cybersicherheit wird dabei nicht mehr als Aufgabe einer einzelnen Person verstanden, sondern als gemeinsame Aufgabe aller Fachbereiche. Strukturen wie Stellvertretungen, kollektive Steuerung von Cyberrisiken und klare Nachfolgepläne sollen die Handlungsfähigkeit der Organisation sichern. Technologisch gewinnen Automatisierung und Künstliche Intelligenz an Bedeutung: Sie helfen, das hohe Alarmaufkommen im Security Operations Center zu bewältigen und verschaffen Teams mehr Zeit für strategische Aufgaben. Die Konsolidierung von Sicherheitswerkzeugen auf plattformbasierten Ansätzen trägt zusätzlich zur Übersicht und Effizienz bei.
Neue Anforderungen an CISOs und offene Fragen
Das Anforderungsprofil für CISOs hat sich in den vergangenen Jahren deutlich erweitert. Neben technischem Fachwissen sind heute diplomatische Fähigkeiten, strategisches Urteilsvermögen und die Fähigkeit gefragt, IT-Risiken in betriebswirtschaftliche Kennzahlen zu übersetzen. Unterstützungsangebote wie Executive-Coaching oder Mentoring durch erfahrene Vorstandsmitglieder gewinnen an Bedeutung. Auch die Diversität der Karrierewege nimmt zu: Personen ohne klassischen Technik-Hintergrund bringen neue Perspektiven in das Berufsfeld ein. Trotz dieser Entwicklungen bleibt offen, wie Unternehmen die strukturellen Ursachen für Überlastung nachhaltig adressieren. Die offene Anerkennung des Problems gilt als erster Schritt, um kollektive Abwehrstrukturen zu etablieren und die Resilienz der Organisation zu stärken. Ein ähnlicher Fokus auf nachhaltige Strukturen zeigt sich auch in anderen Technologiebereichen, wie etwa bei der Integration von KI-gestützten Arbeitsprozessen, worauf die jüngste Erweiterung von Claude Cowork um Workflow-Aufzeichnung verweist.
Der Begriff "Cyberresilienz" beschreibt die Fähigkeit einer Organisation, auf Cyberangriffe und IT-Sicherheitsvorfälle nicht nur zu reagieren, sondern auch die Auswirkungen zu begrenzen und den Geschäftsbetrieb schnell wiederherzustellen. Dazu gehören technische, organisatorische und personelle Maßnahmen, die über reine Prävention hinausgehen. In der Praxis umfasst Cyberresilienz sowohl die Vorbereitung auf Vorfälle als auch die kontinuierliche Anpassung an neue Bedrohungslagen. Für Unternehmen wird es zunehmend entscheidend, Resilienz als strategische Kernkompetenz zu begreifen und nicht als isolierte Aufgabe einzelner Führungskräfte.
