9 Überlebenstipps für CISOs, die an den CEO berichten

Wenn der CISO an den CEO berichtet, sollte Argwohn außen vor bleiben.YAKOBCHUK VIACHESLAV | shutterstock.com



Die Rolle des CISO wird für Unternehmen immer wichtiger. Deshalb nehmen Sicherheitschefs inzwischen immer öfter auch einen Platz am Entscheidertisch ein – und berichten direkt an den CEO. In dieser Position soll der CISO vor allem dazu beitragen, die Unternehmensstrategie erfolgreich voranzutreiben.



Mit dem direkten Berichtsweg zum CEO eröffnet sich für Security-Verantwortliche ein besserer, direkterer Zugang zur Unternehmensleitung, der potenziell auch ihre Einflussmöglichkeiten steigern kann. Das klingt auf den ersten Blick äußerst vorteilhaft. Doch direkt unter dem CEO zu operieren, heißt für CISOs aber auch, neue Perspektiven einnehmen, sich neue Skills aneignen und ihren KPI-Fokus stärker auf das Business ausrichten zu müssen.



Für diesen Artikel haben wir verschiedene Experten gefragt, wie Sicherheitsentscheider mit „direktem Draht“ zum CEO diese Beziehung optimal ausgestalten können. Nämlich:  




George Gerchow, Chief Security Officer bei Bedrock Data und Mitglied der IANS-Faculty,



Matt Chiodi, Chief Security Officer bei Cerby,



Chris Schueler, Chief Executive Officer bei Cyderes, und



Greg Fuller, Vice President bei Skillsoft.




Diesen Gesprächen sind die folgenden neun Tipps entsprungen.



1. CEO-Perspektive verstehen



Die meisten CEOs erwarten von den ihnen direkt unterstellten Führungskräften, dass diese ihren Zuständigkeitsbereich vollständig eigenverantwortlich wahrnehmen. Ob Cybersecurity, IT-Operations oder Finanzen: Der jeweilige Entscheider ist in den Augen des CEO der Experte auf seinem Gebiet. Der CEO hat natürlich auch eine eigene Meinung, setzt jedoch voraus, dass Sie als CISO letztendlich Führungsverantwortung übernehmen und die Richtung vorgeben.



Darüber hinaus erwartet ein CEO von einem CISO, der direkt an ihn berichtet, nicht nur über Risiken aufgeklärt zu werden. Vielmehr geht er davon aus, dass Sicherheitsverantwortliche die Security-Perspektive auch mit Umsatzsicherung, Compliance, Kundenvertrauen und operativer Resilienz verknüpfen. Anders ausgedrückt: CEOs wollen einen echten strategischen Partner.



2. Führungs-Skills ausbauen



Aus technologischer Sicht sind KI, Machine Learning, Cloud Security, Incident Response, Zero Trust sowie GRC die Bereiche, in denen sich Bedrohungen am schnellsten weiterentwickeln – und strategische Führung die größte Hebelwirkung erzeugen kann.



Mindestens ebenso wichtig sind jedoch auch „Power-Skills“ wie:




Kommunikation,



kritisches Denken,



Anpassungsfähigkeit oder



emotionale Intelligenz.




Dabei trennt die Fähigkeit, komplexe Risiken in Business-Sprache übersetzen zu können, die CISO-Spreu (rein technisch ausgerichtet) vom -Weizen. Auch in den Augen des CEO entscheiden die Skills eines CISO über dessen Effektivität – nicht bloß sein Job-Titel.



3. Direktzugang richtig nutzen



Der direkte „Zugang“ zum CEO ermöglicht CISOs auch:




Einfluss auf die Strategie zu nehmen,



die Resilienzplanung mitzugestalten, und



sicherzustellen, dass Security als geschäftliche Notwendigkeit betrachtet wird und nicht bloß als Kostenstelle.




Diese Einflussmöglichkeiten sind regelmäßig am größten, wenn der CEO die Cybersicherheit auch als strategischen Hebel versteht und sie nicht zur rein technischen Funktion abwertet.



Auf der anderen Seite schafft ein direkter Berichtsweg zwar leichteren Zugang zum CEO, bringt aber auch die Verantwortung mit sich, auf dieser Ebene zu liefern. Sicherheitsentscheider sollten ihre Cyberinitiativen deshalb für die Executive-Ebene so transparent wie möglich gestalten.



4. Risk-Assessment-Chancen wahrnehmen



Besonders effektive CISOs betrachten jede Business-Konversation als „getarntes“ Risikogespräch. Dieses Mindset macht den Unterschied zwischen einem großartigen CISO – und einem großartigen Technologen.



Indem sie zuerst über das Business und erst nachgelagert über die Security sprechen, können Sicherheitsentscheider zudem das Vertrauen des CEO gewinnen. Dazu empfiehlt es sich, jedes Risiko in Kontext zu Umsatz, Reputation oder regulatorischen Lücken zu setzen. Behalten Sie dabei im Hinterkopf: Der CEO will kein Alarmsystem und erwartet keine Überraschungen, sondern eine klare Einschätzung der wesentlichen Risiken und einen Sicherheitsverantwortlichen, der das Unternehmen nicht ausbremst.



5. Erfolgreiche Beziehung definieren



Ganz unabhängig vom tatsächlichen Berichtsweg macht es Sinn, das Ziel einer geschäftlichen Beziehung zu definieren – und zwar schriftlich. Denn das schafft anfängliche Klarheit, schließt dabei aber nicht aus, dass sich die definierte Zielsetzung im Zeitverlauf weiterentwickelt.



Besonders wichtig ist das für CISOs, die noch neu in ihrer Position sind. In diesen Fällen hilft die Zieldefinition für Geschäftsbeziehungen beim Alignment – wodurch die Chancen für einen erfolgreichen Einstieg steigen. Die Zielsetzung lässt sich auch gemeinschaftlich erarbeiten.



6. Trust und Offenheit priorisieren



Ein CEO muss sich voll und ganz darauf verlassen können, dass der CISO keine Informationen zurückhält. Sicherheitsentscheider benötigen auf der anderen Seite auch ausreichend psychologische Sicherheit, damit schlechte Nachrichten ebenso schnell kommuniziert werden wie gute.



Sind diese Voraussetzungen gegeben, verwandelt sich die Security von einer Kostenstelle in einen strategischen Vorteil. CISOs tun deshalb gut daran, klar zu kommunizieren und sich als Teamplayer zu präsentieren, nicht als Einzelkämpfer.



Um Trust zu vermitteln, ist es außerdem hilfreich, auch bei Incidents die Ruhe zu bewahren und Menschen als gleichgestellt zu behandeln. Langfristig erfolgreiche Führungskräfte kontrollieren nicht alles in Grund und Boden – sie bauen vielmehr Vertrauen auf, bevor sie es benötigen.



7. Governance als Wettbewerbsvorteil sehen



Eine starke Partnerschaft zwischen CISO und CEO erfordert auch ein gemeinsames Bekenntnis dazu, Governance als strategischen Wettbewerbsvorteil zu betrachten.



Besteht mit Blick auf diesen Grundsatz Einigkeit, kommt die Organisation in die Lage, mit KI innovativ zu sein und dabei parallel unnötigen Risiken aus dem Weg zu gehen. Unter dem Strich steht dann ein Unternehmen, das nicht nur auf Bedrohungen reagiert, sondern resilient operiert.



8. Security-Ziele setzen und messen



Ziele zu definieren, ist nicht für erfolgreiche Geschäftsbeziehungen wichtig, sondern auch wenn es um die Cybersecurity selbst geht. Wenn die Erwartungen klar abgesteckt sind, wird auch deutlicher, welche Bereiche dabei besonders im Fokus stehen sollten.



Das löst zwar nicht jedes Problem, ist aber speziell CISOs anzuraten, die direkt an den CEO berichten: Eine frühe Abstimmung über mögliche Indikatoren verringert den Druck, der auf dem Sicherheitsentscheider lastet und sorgt dafür, dass keine bösen Überraschungen entstehen können.



9. Frustrationstoleranz aufbauen



Beharrlichkeit und die Bereitschaft, sich auch mit unangenehmen Dingen auseinanderzusetzen, um die Sicherheit zu gewährleisten, sind für CISOs, die an den CEO berichten, ebenfalls entscheidend.



Ganz generell kann die Rolle einer Führungskraft im Bereich Cybersicherheit undankbar sein: Geht etwas schief, ist der CISO oft der Sündenbock. Ist alles in Ordnung, wird seine Arbeit so gut wie nicht wahrgenommen.



Dieser Artikel ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.