Informationssicherheit: Klare Verantwortung stärkt Cyber-Resilienz

Key Takeaways

• Informationssicherheit braucht klare Rollen – nicht nur Technik.
• Die Leitungsebene trägt strategische Verantwortung.
• CISO und ISB übersetzen Vorgaben in wirksame Maßnahmen.
• Fachbereiche müssen Sicherheit in ihren Prozessen verankern.
• Klare Zuständigkeiten stärken Compliance und Cyber-Resilienz.

Vom Missverständnis zum Sicherheitsrisiko

„Ich dachte, du bist dafür verantwortlich?!“ Diesen Satz hat vermutlich jeder schon einmal im Arbeitsalltag gehört. Was zunächst harmlos klingt, kann in der Informationssicherheit jedoch gravierende Folgen haben. Denn unklare Zuständigkeiten gehören zu den häufigsten Ursachen dafür, dass Sicherheitsmaßnahmen ins Leere laufen, Risiken zu spät erkannt werden oder im Ernstfall wertvolle Zeit verloren geht.

Warum Informationssicherheit mehr ist als Technik

Informationssicherheit wird noch immer häufig vor allem mit Firewalls, Zugriffsschutz oder technischen Sicherheitslösungen verbunden. Doch wirksame Sicherheit entsteht nicht allein durch Technologie. Sie braucht klare Strukturen, eindeutige Rollen und ein gemeinsames Verständnis dafür, wer wofür verantwortlich ist. Spätestens in Audits, bei Sicherheitsvorfällen oder im Rahmen regulatorischer Anforderungen zeigt sich, ob Verantwortlichkeiten tatsächlich gelebt werden oder lediglich in Dokumenten beschrieben sind.

Informationssicherheit ist Führungsaufgabe

Regulatorische Anforderungen wie NIS2, KRITIS oder vergleichbare Vorgaben machen deutlich: Informationssicherheit ist längst auf der Leitungsebene angekommen. Geschäftsführungen und Vorstände stehen gegenüber Aufsichtsbehörden, Kunden und Geschäftspartnern in der Verantwortung, geeignete Strukturen, Prozesse und Zuständigkeiten zu etablieren. NIS2 unterstreicht diesen Anspruch ausdrücklich, indem Leitungsorgane stärker in die Verantwortung für die Angemessenheit und Wirksamkeit von Sicherheitsmaßnahmen genommen werden.

Damit wird Informationssicherheit zu einer strategischen Governance-Aufgabe. Die Leitungsebene muss Sicherheitsrichtlinien freigeben, Zielkonflikte zwischen Sicherheit, Verfügbarkeit und Kosten bewerten und über den Umgang mit Risiken entscheiden. Besonders wichtig ist dabei eine nachvollziehbare Risikoanalyse: Wird ein Risiko bewusst akzeptiert, sollte diese Entscheidung transparent begründet, geprüft und dokumentiert sein. Ebenso entscheidend ist, dass ausreichend finanzielle, personelle und technische Ressourcen bereitgestellt werden, damit Sicherheitsmaßnahmen nicht nur beschlossen, sondern auch wirksam umgesetzt werden können.

Operative Umsetzung: Rollen wie CISO und ISB schaffen Orientierung

Auch wenn die Gesamtverantwortung auf Leitungsebene bleibt, wird die operative Umsetzung in der Regel an spezialisierte Rollen delegiert. Dazu gehören beispielsweise der Chief Information Security Officer (CISO) oder der Informationssicherheitsbeauftragte (ISB). Sie übersetzen gesetzliche Vorgaben, Normen und interne Anforderungen in konkrete Maßnahmen und steuern den Aufbau, Betrieb und die Weiterentwicklung des Informationssicherheitsmanagementsystems (ISMS). Unterstützt werden sie häufig durch ein Informationssicherheitsmanagementteam, in dem Vertreterinnen und Vertreter verschiedener Fachbereiche zusammenarbeiten. So entsteht ein fachbereichsübergreifender Austausch über Risiken, Maßnahmen und Verbesserungen.

Fachbereiche tragen Verantwortung für ihre Prozesse

Informationssicherheit funktioniert nur, wenn die Verantwortung nicht an einer zentralen Stelle endet. Viele Sicherheitsmaßnahmen entstehen in den Fachbereichen selbst. Ein Beispiel ist das Berechtigungsmanagement: Wechseln Mitarbeitende die Abteilung oder verlassen das Unternehmen, dürfen bisherige Zugriffsrechte nicht bestehen bleiben. Der Personalbereich, die Führungskräfte und die IT müssen hier reibungslos zusammenarbeiten, damit Rollenwechsel, Schulungen und Austrittsprozesse sicher umgesetzt werden.

Ähnlich gilt dies für weitere Bereiche: Die IT-Leitung verantwortet technische Sicherheitsmaßnahmen wie Systemhärtung, Netzsegmentierung oder Multi-Faktor-Authentifizierung. Physische Sicherheit liegt etwa beim Wachschutz oder Sicherheitsdienst. Einkauf und Lieferantenmanagement stellen sicher, dass Dienstleister und Lieferanten risikobasiert ausgewählt, bewertet und während der Vertragslaufzeit überwacht werden. Gerade externe Abhängigkeiten können erhebliche Risiken verursachen, wenn Informationssicherheit nicht frühzeitig in Beschaffungs- und Vertragsprozesse integriert wird.

Entscheidend ist deshalb, dass Zuständigkeiten nicht nur definiert, sondern eindeutig einem verantwortlichen Bereich zugeordnet sind. Ebenso wichtig ist der Nachweis: Fachbereiche sollten belegen können, dass zugewiesene Maßnahmen umgesetzt werden – etwa durch Dokumentationen, Kennzahlen oder regelmäßige Überprüfungen. So wird Informationssicherheit messbar, auditierbar und im Alltag belastbar.

Klare Verantwortung stärkt Cyber-Resilienz

Informationssicherheit ist Teamsport. Aufgaben können und sollen delegiert werden – doch Verantwortung verschwindet dadurch nicht. Wirksame Sicherheit entsteht, wenn Leitungsebene, Sicherheitsrollen und Fachbereiche ineinandergreifen: mit klaren Zuständigkeiten, transparenten Entscheidungen, belastbaren Nachweisen und einer Kultur, in der Sicherheit im Arbeitsalltag mitgedacht wird. Genau diese Verbindung aus Governance, Prozessen und gelebter Verantwortung ist eine zentrale Grundlage für Cyber-Resilienz.

Für Organisationen bedeutet das: Wer Verantwortlichkeiten sauber definiert, Schnittstellen klärt und Sicherheitsmaßnahmen regelmäßig überprüft, reduziert nicht nur Compliance-Risiken. Er schafft zugleich die Grundlage dafür, auf Sicherheitsvorfälle schneller zu reagieren, Risiken bewusster zu steuern und Vertrauen bei Kunden, Partnern und Aufsichtsbehörden zu stärken.

Weitere Informationen

Cyber Resilience Management