Kunde fragt, wer unser CISO ist, aber wir haben keine separate Funktion dafür

Kein CISO im Unternehmen ist kein Problem

Die Frage nach einem CISO geht nicht um einen Titel auf einer Visitenkarte, sondern um die Rolle: Wer ist verantwortlich für Informationssicherheit und Cybersecurity, und wen kann der Kunde kontaktieren, wenn etwas ist. Bei kleineren Unternehmen liegt diese Rolle oft beim Geschäftsführer, dem IT-Manager oder jemandem, der das "nebenbei" tut. Das ist eine gültige Antwort, solange Sie angeben können, wer es ist und was diese Person tut.

Beantworten Sie die Frage also mit der Funktion, die die Rolle tatsächlich erfüllt, nicht mit "n.a.". Typische Ausfüllung: "die Rolle des CISO wird erfüllt durch [Funktion], verantwortlich für [Aufgaben]". Dies entspricht dem, was Kunden in der Praxis prüfen: nicht der Titel, sondern ob es Aufsicht gibt über Risikoanalyse und der Schutz von Informationssystemen und ob die Sicherheitsmaßnahmen regelmäßig überprüft werden. Governance ist das zugrunde liegende Thema, keine Personalfrage.

Governance ist unabhängig von der Funktionsbezeichnung

Artikel 21 Absatz 2 der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) nennt zehn Kategorien von Maßnahmen, darunter Strategien zur Risikoanalyse und Sicherung von Informationssystemen — eine CISO-Bezeichnung kommt in dieser Liste nicht vor. ISO/IEC 27001 arbeitet nach der gleichen Logik: Annex A fordert zugewiesene Verantwortung für Informationssicherheit (häufig unter A.5, Organisation der Informationssicherheit), nicht um einen spezifischen Funktionsnamen. Die Frageliste des Kunden übersetzt diese Anforderung normalerweise in "wer ist der CISO", da dies der gebräuchliche Begriff bei größeren Organisationen ist, aber die zugrunde liegende Frage bleibt: ist die Verantwortung zugewiesen. Sobald dies festgehalten ist — selbst wenn es in einer Funktionsbeschreibung des Direktors ist — gibt es eine faktische Grundlage für eine Antwort, auch ohne den Titel selbst.