Der Vorstand fragt: „Sind wir sicher?" Wie sollte ein CISO antworten?
Kurzantwort
„Sicher" ist nicht binär; ein CISO kommuniziert in der Sprache des Geschäftsrisikos: die wesentlichsten Risiken, wie aktuelle Kontrollen sie im Verhältnis zur Risikobereitschaft des Vorstands senken, geplante Investitionen und das akzeptierte Restrisiko. Ein absolutes „Ja" ist eine falsche Sicherheit, die beim ersten Vorfall zusammenbricht. „Nein, wir werden nie sicher sein" ist technisch wahr, aber nutzlos und zeigt mangelnde Beherrschung des Themas. Eine Einkaufsliste aus Firewalls und Tools spiegelt Ausgaben wider, kein Risiko und kein Ergebnis, das der Vorstand steuern kann.
Wenn ein Vorstand fragt „Sind wir sicher?", fragt er eigentlich „Steuern wir das Cyberrisiko verantwortungsvoll, und sollten wir uns Sorgen machen?" Die Frage prüft, ob ein CISO die technische Realität in eine Governance-Sprache übersetzen kann, auf deren Grundlage der Vorstand handeln kann.
Warum die Formulierung als Risiko richtig ist
Sicherheit ist kein Zustand, den man erreicht; sie ist ein fortlaufender Prozess der Risikoreduktion auf ein von der Führung akzeptiertes Niveau. Die starke Antwort benennt die wesentlichen Risiken (Ransomware im Betrieb, Drittparteien-Exposition, Verlust regulierter personenbezogener Daten), beschreibt die aktuelle Lage zu jedem, vergleicht sie mit der Risikobereitschaft des Vorstands, zeigt wohin die Investitionen fließen und macht das Restrisiko explizit, das das Unternehmen akzeptiert. So erhält der Vorstand etwas zum Steuern: finanzieren, verschieben oder bewusst akzeptieren.
Warum die anderen Optionen scheitern
- „Ja, wir sind vollständig sicher." Das ist eine falsche Sicherheit. Keine Organisation ist vollständig sicher, und die Aussage zerstört Ihre Glaubwürdigkeit am Tag eines Vorfalls — der Vorstand wird sich daran erinnern.
- „Nein, wir werden nie sicher sein." Technisch vertretbar, aber nutzlos. Sie bietet keine Richtung, keine Prioritäten und zeigt mangelnde Beherrschung des Risikobilds.
- Eine Liste von Firewalls und Tools. Das verwechselt Mittel mit Ergebnissen. Ausgaben für Produkte sagen dem Vorstand nichts darüber, ob das Risiko sinkt oder ob das Geld gut angelegt war. Der Vorstand steuert Risiko und Ergebnisse, nicht Beschaffung.
Worauf der Interviewer achtet
Er will sehen, dass Sie verstehen: Der CISO ist ein Verantwortlicher für Geschäftsrisiko, kein Leiter der IT-Infrastruktur. Der Reflex eines schwachen Kandidaten ist, beruhigen zu wollen („Ja") oder ein technisches Inventar vorzulegen — beides wirkt wie eine Antwort, hilft dem Vorstand aber nicht bei der Entscheidung. Reife zeigt sich in der Verbindung von Kontrollen, Risiko, Risikobereitschaft und Investition, bei gleichzeitiger Ehrlichkeit über das, was unbehandelt bleibt.
Wahrscheinliche Anschlussfragen
- Wie würden Sie die Risikobereitschaft der Organisation einem nicht-technischen Vorstand vermitteln?
- Welche einzelne Kennzahl würden Sie auf die erste Folie eines Sicherheitsberichts an den Vorstand setzen, und warum?
- Wie vermeiden Sie es, dem Vorstand eine falsche Sicherheit zu geben, und bleiben dennoch glaubwürdig?