Die Funktion des Chief Information Security Officer (CISO) ist für das strategische Management der Informations- und Cybersicherheit in einer Organisation von entscheidender Bedeutung. Die Aufgabe des CISO besteht nicht nur darin, technische und organisatorische Maßnahmen umzusetzen, sondern auch sicherzustellen, dass diese mit den gesetzlichen, regulatorischen und internen Anforderungen im Einklang stehen.
Der CISO ist für die Erstellung und Pflege eines umfassenden Sicherheitsrahmens der Organisation verantwortlich. Er definiert die Sicherheitsstrategie, identifiziert und bewertet Risiken, legt die Informationssicherheitsrichtlinien fest und überwacht die Umsetzung der Kontrollmaßnahmen. Auf strategischer Ebene stellt der CISO die Verknüpfung zwischen den Sicherheitsmaßnahmen und den Geschäftszielen der Organisation sicher.
Der Cybersicherheitsmanager muss sicherstellen, dass die Organisation alle Verpflichtungen erfüllt, die sich aus dem Gesetz Nr. 69/2018 Z. z. über Cybersicherheit, der NIS2-Richtlinie, der DORA-Verordnung, der DSGVO sowie der Norm ISO/IEC 27001 erfüllt. Der CISO leitet Audits, erstellt Unterlagen für Aufsichtsbehörden und sorgt für die Bereitschaft zur Überprüfung.
Im Falle eines Cyberangriffs ist der CISO für die Koordination der Reaktion, die Kommunikation mit dem Incident-Response-Team, die Meldung von Vorfällen an die zuständigen Behörden (z. B. CSIRT, NBÚ) und die Leitung der Nachbetrachtung des Vorfalls verantwortlich. Wichtig ist die Erstellung eines Business-Continuity-Plans (BCP) und eines Notfallwiederherstellungsplans (DRP).
Der CISO sollte in der Organisationsstruktur unabhängig vom IT-Betrieb sein. Er ist direkt der Unternehmensleitung unterstellt und hat das Recht, Sicherheitsrisiken zu eskalieren. Im Rahmen des Governance-Prozesses berichtet er regelmäßig über den Stand der Cybersicherheit, identifizierte Risiken und die Wirksamkeit der ergriffenen Maßnahmen.
Neben den technischen und strategischen Aspekten ist der CISO auch für die Sensibilisierung der Mitarbeiter für Cybersicherheit zuständig. Er organisiert Schulungen, Workshops und Kampagnen zu den Themen Social Engineering, Phishing und der ordnungsgemäßen Nutzung von IT-Ressourcen.
In vielen Fällen ist es für ein Unternehmen nicht effizient, einen internen CISO zu beschäftigen – insbesondere in kleinen und mittleren Unternehmen. Die Lösung ist ein externer CISO (sog. vCISO), der auf Vertragsbasis fachliche Leitung, regelmäßige Bewertungen und operative Unterstützung bietet. Dieser Service ermöglicht es Unternehmen, gesetzliche Verpflichtungen zu erfüllen, ohne Personal aufstocken zu müssen.
Die Funktion des CISO beschränkt sich nicht nur auf die Sicherheit – sie ist eine Brücke zwischen Technologie, Recht, Menschen und der Unternehmensführung. Seine Rolle gewinnt angesichts wachsender Cyberbedrohungen, regulatorischen Drucks und der Erwartungen der Kunden an die Vertrauenswürdigkeit von Organisationen zunehmend an Bedeutung.