Mit der Ausgangslage beginnen, nicht mit dem Titel
Eine CISO-Vakanz, eine festgefahrene Transformation und punktueller Sparringsbedarf sehen auf den ersten Blick ähnlich aus: Es fehlt Orientierung auf Security-Ebene. Organisatorisch benötigen sie jedoch unterschiedliche Antworten. Vor der Modellwahl müssen deshalb Anlass, Zeitdruck, interne Kapazität und die tatsächlich benötigte Führungsverantwortung geklärt werden.
Der Titel allein schafft keine Steuerung. Ein Mandat wird erst wirksam, wenn Managementzugang, Informationsrechte, Berichtslinie, Eskalationsweg und das gewünschte Ergebnis zusammenpassen.
- Wie schnell muss eine belastbare Führungssituation entstehen?
- Wer trägt heute Risiko-, Budget- und Personalentscheidungen?
- Soll eine Vakanz überbrückt, ein Programm stabilisiert oder eine dauerhafte Funktion aufgebaut werden?
Interim, Fractional und Advisory klar unterscheiden
Ein Interim CISO übernimmt zeitlich begrenzte Security-Führung in einer kritischen Phase und arbeitet auf einen definierten Übergabepunkt hin. Ein Fractional CISO etabliert eine wiederkehrende Steuerung in vereinbartem Teilumfang. CISO Advisory liefert fachliches Sparring, Entscheidungsqualität und Qualitätssicherung, ohne die interne Linienverantwortung zu übernehmen.
- Interim: hohe Dringlichkeit, klarer Führungsbedarf und befristete Verantwortung.
- Fractional: kontinuierliche Steuerung bei begrenztem, planbarem Umfang.
- Advisory: unabhängige Einordnung und Challenge bei vorhandener interner Verantwortung.
Entscheidungsrechte und Berichtslinie festlegen
Das Mandat muss benennen, welche Entscheidungen vorbereitet, welche Maßnahmen gesteuert und welche Freigaben nur durch die zuständigen Organe getroffen werden dürfen. Ein CISO-Titel ohne Zugang zu relevanten Informationen und Entscheidern erzeugt Scheinsicherheit; unklare Delegation erzeugt Haftungs- und Umsetzungsrisiken.
Praktikabel ist eine knappe Mandatsdefinition mit Scope, Entscheidungsgrenzen, Berichtsempfängern, Eskalationskriterien und Schnittstellen zu IT, OT, Datenschutz, Compliance und interner Revision.
Ergebnisse und Übergabe von Beginn an definieren
Zeitlich begrenzte Führung sollte nicht an Anwesenheit gemessen werden, sondern an verwertbaren Ergebnissen. Dazu gehören typischerweise ein Executive Risk Brief, ein priorisiertes Maßnahmen-Backlog, ein tragfähiges Governance-Modell und eine belastbare Reporting-Routine.
Die Übergabe beginnt nicht am letzten Mandatstag. Rollen, offene Risiken, Entscheidungslogik, laufende Maßnahmen und relevante Stakeholder müssen so dokumentiert sein, dass die dauerhafte Organisation sie übernehmen und weiterführen kann.
Auswahlkriterien für die Managemententscheidung
Die passende Form ergibt sich aus einer transparenten Abwägung. Mischformen können sinnvoll sein, wenn die Verantwortungen vertraglich und operativ eindeutig bleiben. Eine spätere Anpassung ist möglich, sollte aber an klaren Entscheidungspunkten erfolgen.
- Dringlichkeit und erwartete Entscheidungsgeschwindigkeit
- Umfang der Führungs- und Umsetzungsverantwortung
- Verfügbarkeit einer internen Zielrolle und geplanter Übergabezeitpunkt
- Komplexität von Gesellschaften, Standorten, IT/OT und regulatorischen Anforderungen
- Erwartete Arbeitsergebnisse statt bloßer Kapazitätsbuchung
Leistungsabgrenzung
Die Unterstützung kann fachliche Beratung, Mandatsgestaltung und – soweit ausdrücklich vereinbart – zeitlich begrenzte Security-Führung umfassen. Gesetzliche Organpflichten, Risikoakzeptanz und abschließende Unternehmensentscheidungen verbleiben bei den zuständigen Stellen des Auftraggebers.