Im März trat Troy Stairwalt als CISO des Bundesstaates Wisconsin zurück, nachdem der zweijährige Haushaltsantrag des Bundesstaates für Cybersicherheit nicht die erforderliche Unterstützung für die parlamentarische Prüfung erhalten hatte und Bundesfördergelder für mehrere Cybersicherheitsprogramme gestrichen wurden.
Ende Mai war noch niemand eingestellt worden, um den Chief Information Security Officer zu ersetzen, obwohl das Verwaltungsministerium des Bundesstaates laut einer Sprecherin hofft, die Stelle bald zu besetzen.
Eine solche Lücke in der Cybersicherheitsführung, selbst für einen kurzen Zeitraum, ist wahrscheinlich häufiger als man denkt – zumal die durchschnittliche Amtszeit eines CISO laut einem 2023Bericht auf lediglich 18–26 Monate geschätzt wird, was weit unter den durchschnittlichen 4,9 Jahren für andere Positionen auf C-Suite-Ebene liegt.
Wie sich diese Amtszeit durch neue regulatorische Vorgaben und Compliance-Anforderungen, die in den letzten zwei Jahren exponentiell gewachsen sind, verändert hat, bleibt unklar. Eines ist jedoch sicher: Ein CISO-Abgang kann jederzeit eintreten und das Unternehmen in Bezug auf die Sicherheit führungslos und anfälliger für eine Vielzahl von Bedrohungen machen – was einen CISO-Nachfolgeplan für jede Organisation unerlässlich macht.
Die Personalberatungsfirma Heidrick & Struggles stellte in ihrer 2024 globalen Umfrage zur Organisation und Vergütung von Chief Information Security Officers fest, dass von den 416 CISOs, die befragt wurden, weltweit im Sommer 2024, knapp weniger als die Hälfte (47%) keinen geeigneten internen Nachfolger für den Fall hatte, dass der CISO unerwartet ausscheiden würde – was angesichts des wettbewerbsintensiven Marktes für erstklassige Cybersicherheitstalente erhebliche Kosten verursachen könnte.
„Lassen Sie sich nicht unvorbereitet erwischen", sagt Paul Perry, Leiter der Risikoberatungspraxis bei Warren Averett, einem Anbieter von Technologie-, Buchhaltungs- und anderen Unternehmensdienstleistungen. „Was ist, wenn sie im Lotto gewinnen und am nächsten Tag nicht zur Arbeit erscheinen?"
Ihr CISO-Nachfolgeplan: die Antwort auf steigende Compliance-Anforderungen und neue Vorschriften
Abgesehen von einem Lotteriegewinn können verschiedene Faktoren zum Ausscheiden eines CISO beitragen – etwa der wachsende Aufgabenbereich und die damit verbundene Vielzahl an Belastungen.
„Lassen Sie sich nicht unvorbereitet erwischen."Paul Perry, Leiter der Risikoberatungspraxis, Warren Averett
Viele Cybersicherheitschefs übernehmen nun neue Aufgaben wie Risikomanagement für künstliche Intelligenz, Daten-Governance und strategische Planung für Sicherheitsteams, während sie gleichzeitig den Überblick über eine wachsende Anzahl von Datenschutzbestimmungen und Compliance-Anforderungen behalten müssen. Zum Beispiel die neuen standardisierten Cyber-Offenlegungsregeln der SEC.
Verabschiedet in 2023 und in Kraft tretend von Ende 2023 bis Ende 2024, verlangen diese Vorschriften die Offenlegung wesentlicher Cybersicherheitsvorfälle innerhalb von vier Werktagen nach der Feststellung, dass ein Cybersicherheitsvorfall wesentlich ist, sowie die jährliche Offenlegung von Cybersicherheitsrisikomanagement, -strategie und -governance. Das bedeutet, dass CISOs sicherstellen müssen, dass die erforderlichen Meldungen rechtzeitig eingereicht und die notwendigen Bewertungen durchgeführt werden, um ihre Organisationen compliant zu halten. Es ist eine zusätzliche Belastung zu einem Zeitpunkt, an dem sie versuchen, neue Formen der KI und Automatisierung in ihre allgemeinen Sicherheitsmechanismen zu integrieren.
[Lesen Sie auch: CISO-Erfolgsgeschichte – Von Sicherheitsverletzungen zur Unternehmensstrategie]
Gleichzeitig wird von CISOs zunehmend erwartet, dass sie an ihre Unternehmensvorstände berichten und mit diesen in Kontakt treten. Während dies Vorteile wie ein erhöhtes Bewusstsein für Bedrohungen und die Finanzierung von Sicherheitsprogrammen bringen kann, kann es auch Kommunikationsherausforderungen mit sich bringen, wenn dem Vorstand technisches Wissen fehlt.
Druckpunkte: Warum ein CISO-Nachfolgeplan den Stress reduzieren kann (zumindest für Vorstände)
Die gestiegene Arbeitsbelastung für CISOs in Verbindung mit dem wachsenden Druck, die Sicherheit von Unternehmen zu gewährleisten, kann zu Burnout – und Kündigungen – führen.
„Der ständige Druck, sich gegen sich weiterentwickelnde Cyberbedrohungen zu verteidigen, trägt zu erheblichem Stress und Burnout unter CISOs bei", sagt Anthony Nyberg, Direktor des Center for Executive Succession an der Darla Moore School of Business der University of South Carolina.
„Alle Positionen in der Führungsebene sind äußerst stressig, aber CISOs könnten mit erheblich mehr unmittelbaren Herausforderungen und deutlich mehr unmittelbarem Druck konfrontiert sein, wenn etwas schiefläuft", sagt Nyberg. „Die Anzahl der nächtlichen Notfallanrufe kann für CISOs größer sein als für die meisten anderen Rollen."
CISOs befinden sich in der schwierigen Lage, Bedrohungen proaktiv abwehren zu müssen, die Schuld zu tragen, wenn etwas schiefläuft, und kaum oder gar kein Lob zu erhalten, wenn alles gut geht, sagt Nyberg. „Es ist schwierig, Menschen zu zeigen, was man gut gemacht hat, wenn die eigene Aufgabe darin besteht, Schlimmeres zu verhindern", sagt er.
[Lesen Sie auch: 4 kritische Führungsprioritäten für CISOs im KI-Zeitalter]
Angesichts all dessen ist es leicht zu verstehen, warum ein CISO das Unternehmen verlassen könnte, um eine der zahlreichen attraktiven Marktchancen zu nutzen, die für Cybersicherheitsexperten verfügbar sind. Daher müssen Unternehmen darauf vorbereitet sein. Um einen reibungslosen Übergang zu gewährleisten, wenn ein CISO das Unternehmen verlässt, sollten Organisationen die folgenden Best Practices in Betracht ziehen:
1. Einen formellen Nachfolgeplan entwickeln
Es ist unerlässlich, einen formellen Nachfolgeplan zu haben, der potenzielle Nachfolger für den aktuellen CISO identifiziert und einen Vorschlag enthält, wie der Übergang am besten gestaltet werden kann. Ein gut strukturierter Plan trägt zur Kontinuität in der Führung bei und minimiert Unterbrechungen des Sicherheitsbetriebs, so Nyberg.
"Wenn der Nachfolgeplan dauerhaft vorhanden ist, können Führungskräfte ermitteln, welche zusätzliche Schulung potenzielle CISOs benötigen, um letztendlich effektiv zu sein."Anthony Nyberg, Direktor des Center for Executive Succession an der Darla Moore School of Business der University of South Carolina
„Viele Unternehmen haben für zahlreiche ihrer C-Suite-Positionen keine formellen Nachfolgepläne, insbesondere kurz nachdem eine Person die Rolle übernommen hat", sagt Nyberg. „Wenn CISOs kürzer in ihrer Position verbleiben als andere Führungskräfte, ist die Wahrscheinlichkeit geringer, dass rechtzeitig ein solider Nachfolgeplan ausgearbeitet wird."
2. Interne Kandidaten identifizieren und schulen
Es kann schwierig sein, kurzfristig qualifizierte CISO-Nachfolger zu finden, sagt Nyberg. „Dies beobachten wir bei vielen Positionen auf C-Suite-Ebene: Es mangelt schlicht an den erforderlichen Talenten – und dies dürfte in einem Bereich wie der Cybersicherheit, der sich so rasant und grundlegend verändert, noch ausgeprägter sein", sagt er.
Die Investition in die Entwicklung interner Talente schafft eine Pipeline potenzieller Nachfolger, die mit der Unternehmenskultur und den Systemen der Organisation vertraut sind, so Nyberg. „Dies ist ein wesentliches Element der Nachfolgeplanung und trägt dazu bei, das Risiko eines CISO-Abgangs zu mindern", sagt er. „Wenn ein Nachfolgeplan dauerhaft vorhanden ist, können Führungskräfte ermitteln, welche zusätzliche Schulung potenzielle CISOs benötigen, um langfristig effektiv zu sein."
Auch bestehende Mitarbeiter sollten in den Plan einbezogen werden: Das Management kann sie informieren, damit sie verstehen, welche Fähigkeiten für die Position des CISO erforderlich sind, und dazu ermutigt werden, diese Fähigkeiten zu entwickeln, um künftig als CISO-Kandidat in Frage zu kommen.
3. Ernennung eines stellvertretenden CISO
„Versuchen Sie, eine erfahrene Führungskraft im Bereich Cybersicherheit zu finden, die tatsächlich aufsteigen möchte, und machen Sie diese Person nach Rücksprache mit dem CISO zum stellvertretenden CISO und beziehen Sie sie in Führungssitzungen ein, damit sie Erfahrungen sammeln kann", sagt Doug Saylors, Leiter der Cybersicherheitspraxis beim globalen Technologieforschungs- und Beratungsunternehmen ISG.
"Versuchen Sie, eine erfahrene Führungskraft im Bereich Cybersicherheit zu finden, die tatsächlich aufsteigen möchte, und beziehen Sie diese nach Rücksprache mit dem CISO in Führungsmeetings ein, damit sie Erfahrungen sammeln kann."Doug Saylors, Leiter der Cybersicherheitspraxis, ISG
„Dies ermöglicht es dem Mitarbeiter und dem Führungsteam, sich gegenseitig kennenzulernen, und gibt dem Mitarbeiter die Möglichkeit zu entscheiden, ob er wirklich in eine CISO-Rolle wechseln möchte", sagt Saylors. „Am wichtigsten ist: Wenn Sie keine Stelle verfügbar haben, sobald der Stellvertreter bereit ist, tatsächlich CISO zu werden, helfen Sie ihm, eine Stelle außerhalb des Unternehmens zu finden. Das schafft Loyalität, sodass er bei Bedarf möglicherweise zurückkommt."
Falls keine qualifizierten internen Kandidaten für die CISO-Rolle vorhanden sind, können Unternehmen versuchen, einen CISO von außen einzustellen, möglicherweise auf Teilzeit- oder Beraterbasis. Sie können auch einen virtuellen CISO engagieren – einen Cybersicherheitsexperten, der CISO-Führungskompetenzen auf flexibler, remote und häufig vertraglicher Basis bereitstellt.
4. Vorstand und Führungsteam einbeziehen
Die Einbindung der obersten Führungsebene in die Nachfolgeplanung unterstreicht die strategische Bedeutung der Cybersicherheit und stellt die Ausrichtung an den Unternehmenszielen sicher, so Nyberg.
[Lesen Sie auch: Checkliste zur Cybersicherheitsbereitschaft für Vorstandsmitglieder]
„Wir wissen, dass es entscheidend ist, dass C-Suite-Positionen strategisch besetzt werden, und das bedeutet auch, dass CEOs bei der Auswahl eines CISO strategisch über zukünftige Herausforderungen nachdenken müssen", sagt Nyberg.
5. Den aktuellen Sicherheitsstatus kennen
Unternehmen müssen sicherstellen, dass leitende Führungskräfte und der Vorstand die aktuelle Cybersicherheitslage des Unternehmens sowie bestehende Schwachstellen verstehen, so Saylors.
„Allzu oft werden Schwachstellen ignoriert, weil der CISO die Dinge durch ständige außerordentliche Maßnahmen ‚sicher' halten kann, die in der Regel weder gut dokumentiert noch verstanden werden", sagt Saylors. „In diesem Fall hinterlässt ein Abgang des CISO das Unternehmen unnötig exponiert. Monatliche Meetings mit dem CISO, in denen diese Themen verständnisvoll besprochen werden, stellen sicher, dass die verbleibenden Teammitglieder und Führungskräfte wissen, was zu tun ist, wenn der CISO unerwartet ausscheidet."
Fazit: Laut aktuellen Statistiken bleibt ein durchschnittlicher CISO nur etwa zwei Jahre, möglicherweise sogar weniger, in seiner Position. Unternehmen sollten jedoch nicht in Panik geraten: Durch die Befolgung dieser Best Practices kann eine Organisation einen neuen CISO in der Pipeline haben, um einen reibungslosen Übergang zu gewährleisten, wann immer der bisherige Cyber-Chef das Unternehmen verlässt.
