Ein Interim CISO ist dann sinnvoll, wenn ein Unternehmen kurzfristig belastbare Security-Führung benötigt, die vorhandene Organisation diese Rolle aber nicht in der erforderlichen Tiefe oder Geschwindigkeit abdecken kann. Das Mandat ist weder ein Titel auf Zeit noch ein Ersatz für jede fehlende Fachressource. Sein Wert entsteht durch einen klaren Auftrag: Risiken verdichten, Entscheidungen vorbereiten, Verantwortlichkeiten ordnen, die Maßnahmensteuerung strukturieren und eine tragfähige Übergabe ermöglichen.
Der eigentliche Bedarf ist eine Führungslücke
In vielen Unternehmen mangelt es nicht an technischen Befunden. Pentests, Assessments, offene Tickets, Richtlinienentwürfe und Anbieterempfehlungen liegen bereits vor. Was fehlt, ist eine gemeinsame Sicht darauf, welche Risiken für das Geschäft zuerst behandelt werden müssen, wer entscheiden darf und welche Abhängigkeiten eine Umsetzung blockieren. Genau hier setzt externe Security-Führung an.
Ein Interim CISO verbindet Geschäftsrisiko, regulatorische Anforderungen und technische Realität. Er bereitet Entscheidungen für Geschäftsführung oder Vorstand vor, schafft eine verlässliche Berichtslogik und richtet die Zusammenarbeit interner Teams und externer Partner auf nachvollziehbare Zielzustände aus. Das Mandat muss dabei zum Unternehmen passen. Ein Konzern mit verteilter Governance benötigt einen anderen Zuschnitt als ein mittelständischer Industriebetrieb mit kleiner IT-Mannschaft.
Typische Situationen für einen Interim CISO
- Vakanz oder Führungswechsel: Eine CISO-Position ist unbesetzt, eine Nachfolge noch nicht verfügbar oder eine Übergabe muss geordnet werden.
- Kritische Findings: Technische oder organisatorische Feststellungen erzeugen Entscheidungsdruck, ohne dass Prioritäten, Verantwortliche und Zielzustände ausreichend geklärt sind.
- Regulatorischer Handlungsbedarf: NIS2, KRITIS, ISO 27001 oder andere Anforderungen müssen in ein steuerbares Programm übersetzt werden.
- Sicherheitsvorfall oder erhöhte Bedrohungslage: Neben der technischen Reaktion müssen Governance, Kommunikation, Restrisiken und nachhaltige Verbesserungen geführt werden.
- Transformation: Cloud, M365, SAP, Standortintegration, IT-/OT-Konvergenz oder ein Providerwechsel verändern das Risikoprofil und benötigen eine übergreifende Security-Steuerung.
- Festgefahrenes Security-Programm: Viele Maßnahmen sind gestartet, aber Entscheidungen, Ressourcen, Abhängigkeiten und Fortschritt bleiben unklar.
Wann ein Interim-Mandat nicht die richtige Lösung ist
Ein Interim CISO kann keine fehlende Geschäftsentscheidung ersetzen. Wenn Budget, Entscheidungsrechte oder notwendige Ansprechpartner grundsätzlich nicht verfügbar sind, bleibt auch ein erfahrenes Mandat begrenzt. Ebenso ist ein Interim CISO kein verdeckter Systemadministrator, kein unabhängiger Auditor und keine Zertifizierungsstelle.
Für eine einzelne technische Implementierung ist häufig ein spezialisierter Umsetzungspartner geeigneter. Für eine verbindliche rechtliche Bewertung braucht das Unternehmen qualifizierte Rechtsberatung. Und wenn ausschließlich eine langfristige Linienfunktion gesucht wird, sollte die dauerhafte Besetzung von Beginn an Teil des Plans sein.
Interim CISO, Fractional CISO oder Advisory?
Interim CISO
Ein Interim-Mandat passt bei einer zeitlich begrenzten Führungs- oder Transformationsaufgabe mit hohem Koordinationsbedarf. Umfang, Entscheidungswege, Berichtslinie und Übergabe werden ausdrücklich festgelegt.
Fractional CISO
Ein Fractional-CISO-Modell eignet sich für wiederkehrende Security-Steuerung in einem definierten Teilumfang. Es kann beispielsweise regelmäßiges Risikoreporting, Maßnahmensteuerung und Management-Sparring verbinden, ohne eine Vollzeitrolle abzubilden.
CISO Advisory
Advisory ist sinnvoll, wenn eine interne Führungskraft Verantwortung trägt, aber fachliches Sparring, strukturierte Entscheidungsvorbereitung oder Qualitätssicherung benötigt. Die Entscheidungshoheit bleibt klar bei der internen Organisation.
Was vor Mandatsbeginn entschieden werden muss
Ein belastbares Mandat beginnt nicht mit einer langen Maßnahmenliste, sondern mit einem klaren Rahmen. Auftraggeber und Berater sollten mindestens folgende Punkte festhalten:
- Auslöser, Ziel und erwartete Arbeitsergebnisse
- betroffene Gesellschaften, Standorte, Services sowie IT- und OT-Bereiche
- Berichtslinie und feste Ansprechpartner
- Entscheidungs-, Freigabe- und Eskalationswege
- Abgrenzung zu interner IT, Datenschutz, Compliance, Legal und Dienstleistern
- Umgang mit Zugängen, vertraulichen Informationen und Sicherheitsvorfällen
- Kriterien für Übergabe, Verlängerung oder Abschluss
Diese Klarheit schützt beide Seiten. Sie verhindert, dass Beratung, Linienverantwortung und technische Ausführung unbemerkt vermischt werden.
Die erste Arbeitsphase: Lagebild und Entscheidungsfähigkeit
Zu Beginn werden keine Dokumente um ihrer selbst willen produziert. Entscheidend ist ein kompaktes Lagebild: geschäftskritische Services, wesentliche Risiken, regulatorische Pflichten, kritische Findings, laufende Maßnahmen, verantwortliche Stellen und aktuelle Blockaden. Daraus entsteht eine priorisierte Sicht auf Sofortentscheidungen und strukturelle Themen.
Typische Ergebnisse sind ein Executive Risk Brief, ein abgestimmtes Maßnahmen-Backlog, eine Owner- und Entscheidungsübersicht, eine Reporting-Struktur sowie ein klarer Arbeitsplan. Solche Ergebnisse sind nur dann wertvoll, wenn sie von den zuständigen Führungskräften verstanden, entschieden und im Betrieb verwendet werden.
Zusammenarbeit ohne Schattenorganisation
Externe Security-Führung sollte keine parallele Organisation neben der bestehenden IT aufbauen. Sie muss vorhandene Verantwortliche einbinden, fachliche Beiträge sichtbar machen und Konflikte zwischen Risiko, Betrieb, Budget und Termin offen zur Entscheidung stellen. Interne Ansprechpartner bleiben Träger ihres Wissens und ihrer betrieblichen Verantwortung.
Die Aufgabe des Interim CISO besteht darin, einen verbindlichen Steuerungsrahmen zu schaffen und die Beiträge der Beteiligten zusammenzuführen. Dazu gehören insbesondere:
- klare Ziele und abgestimmte Prioritäten
- nachvollziehbare Verantwortungs- und Eskalationswege
- ein gemeinsames Maßnahmen- und Risikobild
- regelmäßige, entscheidungsorientierte Berichte
Technische Änderungen, Freigaben, Risikoakzeptanzen und rechtsverbindliche Erklärungen erfolgen ausschließlich durch die dafür autorisierten Stellen oder auf Grundlage einer ausdrücklich dokumentierten Beauftragung.
Woran ein gutes Mandat gemessen wird
Die Zahl der Meetings oder erstellten Dokumente ist kein geeigneter Qualitätsmaßstab. Relevanter ist, ob Risiken verständlich eingeordnet, Entscheidungen dokumentiert, Verantwortliche benannt und Maßnahmen mit Zielzustand und Abhängigkeiten geführt werden. Ebenso wichtig ist, ob akzeptierte Restrisiken sichtbar bleiben und die Organisation nach dem Mandat ohne Wissensverlust weiterarbeiten kann.
Ein seriöses Interim-Mandat verspricht keine absolute Sicherheit. Es verbessert die Fähigkeit des Unternehmens, Risiken bewusst zu entscheiden und die vereinbarten Maßnahmen kontrolliert umzusetzen.
Übergabe ist Teil des Auftrags
Externe Security-Führung darf keine dauerhafte Abhängigkeit erzeugen. Eine geordnete Übergabe umfasst deshalb nicht nur Dateien, sondern auch offene Entscheidungen, relevante Annahmen, Stakeholder, Berichtsroutinen, laufende Risiken und den Status wesentlicher Maßnahmen. Die künftige interne Verantwortung sollte frühzeitig eingebunden und schrittweise befähigt werden.
Die richtige Auswahlfrage
Die entscheidende Frage lautet nicht: Wie schnell kann jemand den CISO-Titel übernehmen? Sie lautet: Welche Entscheidungen müssen in welcher Zeit vorbereitet werden, welche Verantwortung soll tatsächlich übertragen werden und welches Ergebnis muss anschließend in der Organisation verbleiben?
Mehr zum konkreten Leistungsbild finden Sie unter Interim CISO und externe Security-Führung. Wenn Sie eine Vakanz, ein festgefahrenes Programm oder eine kritische Ausgangslage einordnen möchten, können Sie die Situation direkt besprechen.
Leistungsabgrenzung: Die Unterstützung erfolgt im vertraglich vereinbarten Beratungs-, Vorbereitungs- und Begleitumfang. IT Consulting Totzauer führt keine unabhängigen Audits oder Konformitätsbewertungen durch, trifft keine Zertifizierungsentscheidungen und erbringt keine Rechtsberatung.