Was macht ein Chief Information Security Officer?
Ein Chief Information Security Officer, kurz CISO, trägt die Gesamtverantwortung dafür, dass Daten, IT-Systeme und betriebliche Abläufe gegen Angriffe, Ausfälle und Missbrauch geschützt sind. Die Arbeit ist vor allem Steuerung und weniger Technik am eigenen Rechner: Der CISO baut ein Informationssicherheits-Managementsystem nach ISO 27001 oder BSI-IT-Grundschutz auf und hält es aktuell, schreibt Richtlinien, bewertet Risiken und entscheidet mit, welche Schutzmaßnahmen umgesetzt werden. Er bereitet Audits und Zertifizierungen vor, beantwortet Prüfungsfragen von Wirtschaftsprüfern, Kunden und Aufsichtsbehörden und berichtet regelmäßig an Vorstand oder Geschäftsführung. Kommt es zu einem Sicherheitsvorfall, etwa einem Ransomware-Angriff, koordiniert er die Reaktion, die Kommunikation und die Meldungen an Behörden. In Transport und Logistik kommt hinzu, dass Lager-, Flotten- und Steuerungssysteme eng mit der Büro-IT verbunden sind und viele Betriebe als kritische Infrastruktur gelten oder unter die NIS-2-Regeln fallen. Dort gehören auch Anforderungen an Dienstleister und Lieferketten, Notfallpläne für den laufenden Betrieb und Schulungen für Beschäftigte an Standorten und Umschlagplätzen zum Alltag.
Wie wird man Chief Information Security Officer?
Eine eigene Ausbildung gibt es nicht. Der übliche Weg führt über ein Studium der Informatik, Wirtschaftsinformatik, IT-Sicherheit oder eines verwandten Fachs und mehrere Jahre Berufserfahrung in der IT-Sicherheit, etwa als Security Engineer, Informationssicherheitsbeauftragter, IT-Auditor oder Berater. Bis zur CISO-Rolle vergehen meist acht bis fünfzehn Jahre. Zertifikate wie CISSP, CISM oder ISO 27001 Lead Auditor werden in vielen Stellenanzeigen verlangt. Quereinsteiger ohne Studium haben eine Chance, wenn sie über lange Praxis in der IT-Sicherheit und anerkannte Zertifikate verfügen, der Sprung in die Leitungsfunktion gelingt aber meist erst über Zwischenstationen.
Was der Beruf verlangt
Der CISO steht zwischen den Interessen: Sicherheit kostet Geld und bremst Abläufe, und gerade im Logistikbetrieb, in dem Stillstand teuer ist, muss er Maßnahmen gegen Termindruck und Budgetgrenzen durchsetzen. Dafür braucht es Verhandlungsgeschick, Durchsetzungsvermögen und die Fähigkeit, technische Risiken für die Geschäftsleitung verständlich zu machen. Die Verantwortung ist hoch; nach schweren Vorfällen stehen CISOs unter Druck, und durch NIS-2 rückt auch die Haftung der Leitung stärker in den Blick. Bei Angriffen fällt Arbeit nachts und am Wochenende an, viele Stellen sehen eine Rufbereitschaft oder Erreichbarkeit im Notfall vor. Hinzu kommen Reisen zu Standorten, Rechenzentren und Dienstleistern. Das Fachgebiet ändert sich schnell, ständige Weiterbildung in Technik und Regulierung gehört dazu. In kleineren Unternehmen ist der CISO oft allein und muss Strategie und operative Kleinarbeit zugleich leisten.
Aussichten
Die Nachfrage ist hoch und dürfte weiter steigen. NIS-2, das KRITIS-Dachgesetz, DORA im Finanzbereich und die wachsende Zahl von Angriffen zwingen viele Unternehmen, die Rolle überhaupt erst zu schaffen oder aufzuwerten. Erfahrene Fachleute sind knapp. Neben der Festanstellung gibt es den externen oder Interim-CISO, der mehrere mittelständische Unternehmen betreut. Weitere Schritte sind die Leitung der Sicherheit in einem Konzern, Rollen als Chief Information Officer oder Chief Risk Officer sowie Beratung und Geschäftsführung in Sicherheitsfirmen.