CISO (Chief Information Security Officer)

Ein eigener CISO wird in der Regel notwendig, sobald Informationssicherheit nicht mehr nebenbei durch die IT-Leitung verantwortet werden kann: bei regulatorischen Pflichten (NIS2, DORA, KRITIS), bei wachsender Organisationsgröße ab einigen hundert Mitarbeitenden, bei hoher Abhängigkeit von digitalen Prozessen oder nach einem Sicherheitsvorfall. Entscheidend ist die Gewaltenteilung: Wer IT-Systeme betreibt, sollte nicht zugleich deren Sicherheit unabhängig bewerten. NIS2 verlangt zudem, dass Leitungsorgane Risikomanagement-Maßnahmen billigen und überwachen – ohne eine fachlich verantwortliche Person ist das kaum belastbar darstellbar. Kleinere Unternehmen starten häufig mit einem Informationssicherheitsbeauftragten (ISB) oder einem externen CISO-as-a-Service-Modell und überführen die Rolle später in eine Festanstellung, sobald Budget und Aufgabenvolumen eine Vollzeitposition rechtfertigen.

NOBA Experts ist eine Personalberatung für Technologie-Positionen und besetzt CISO-Rollen über aktive Direktansprache statt reiner Anzeigenschaltung. Der Prozess kombiniert KI-gestütztes Matching zur Identifikation passender Profile mit einer technischen und fachlichen Tiefenprüfung – geprüft werden unter anderem ISMS-Erfahrung, Regulatorik-Kenntnisse und Führungsverantwortung, nicht nur Schlagworte im Lebenslauf. Auftraggeber erhalten innerhalb von zwei bis sechs Wochen eine Shortlist mit drei bis fünf geprüften Kandidaten. Vertraulichkeit ist bei C-Level-Security-Besetzungen entscheidend: NOBA Experts arbeitet ab Tag 1 mit NDA, sodass weder Marktbegleiter noch eigene Mitarbeitende vorzeitig von der Suche erfahren. Auf Wunsch erfolgt die Zusammenarbeit zum Festpreis, was die Kosten gegenüber klassischen prozentualen Honorarmodellen planbar macht.

Ein CISO verantwortet die Informationssicherheit strategisch und disziplinarisch: Er führt Budget, Team und Dienstleister, gestaltet die Sicherheitsstrategie und berichtet an Geschäftsführung oder Vorstand. Ein Informationssicherheitsbeauftragter (ISB) – im BSI-Umfeld auch IT-Sicherheitsbeauftragter genannt – ist dagegen primär eine Stabs- und Kontrollfunktion: Er koordiniert das ISMS, berät die Leitung und überwacht die Einhaltung von Vorgaben, hat aber meist keine eigene Budget- oder Personalverantwortung. In kleineren Organisationen fallen beide Rollen häufig zusammen; in größeren oder regulierten Unternehmen werden sie bewusst getrennt, um Interessenkonflikte zu vermeiden. Für NIS2- und KRITIS-Pflichten ist weniger der Titel entscheidend als ein dokumentiertes Mandat, ausreichende Ressourcen und eine direkte Berichtslinie zur Leitungsebene.