Externer CISO: Wann sich CISO as a Service rechnet

Kurzantwort: CISO as a Service verlagert die Rolle des Informationssicherheitsverantwortlichen ganz oder teilweise zu einem externen Dienstleister — mit definiertem Leistungsumfang und direktem Berichtsweg an die Geschäftsführung. Sinnvoll ist das, sobald ein Informationssicherheits-Managementsystem existiert, das laufend gepflegt werden muss. Was der externe CISO nicht übernimmt, ist die Verantwortung: Die bleibt rechtlich bei der Geschäftsführung.

Wer macht heute die Sicherheitsarbeit?

In mittelständischen Unternehmen finden sich im Wesentlichen vier Ausgangslagen.

Niemand macht sie. Es gibt keine benannte Rolle, keinen Verantwortlichen, keine regelmäßige Befassung mit dem Thema. Das ist die Konstellation mit dem größten Handlungsbedarf — und die, in der ein Vorfall am längsten unbemerkt bleibt.

Ein Name steht auf dem Papier, faktisch passiert nichts. Die Rolle wurde einmal vergeben, meist im Zuge eines Audits oder einer Kundenanforderung, und danach nicht mit Zeit und Mandat hinterlegt. Von außen sieht das aus wie eine besetzte Position. Im Ernstfall ist es keine.

Die Rolle sitzt auf einem Mischposten. Beim IT-Leiter, beim Qualitätsmanager, beim Prokuristen. In einem Konzern ist die Position des Chief Information Security Officer eine Vollzeitstelle; in einem Betrieb mit 80 oder 200 Mitarbeitern gibt der Aufgabenumfang das nicht her, also läuft sie nebenbei mit. Zwei Hüte auf einem Kopf funktionieren selten gleich gut. In der Praxis gewinnt fast immer die Aufgabe mit dem lauteren Termindruck — und das ist so gut wie nie die Informationssicherheit. Ein Serverausfall meldet sich sofort, ein nicht gepflegtes Risikoregister erst beim Audit oder beim Vorfall.

Es gibt eine eigene CISO-Stelle, aber zu wenig Kapazität. Der seltener beschriebene, in wachsenden Unternehmen aber häufige Fall: Die Rolle ist eingerichtet, besetzt und wird ernst genommen — nur reicht die verfügbare Zeit nicht für alles, was inzwischen dazugehört. Neue Rechtsakte, ein größerer Scope, zusätzliche Standorte, Lieferantenprüfungen. Hier geht es nicht um Ersatz, sondern um Entlastung in einzelnen Bereichen.

CISO as a Service setzt in allen vier Konstellationen an — und zwar unterschiedlich: als Aufbau, wo nichts da ist; als Ersatz, wo die Rolle nur auf dem Papier steht; als Entlastung des Mischpostens; und als Ergänzung einer bestehenden Stelle, die an ihre Kapazitätsgrenze kommt.

Was ein externer CISO tatsächlich macht

Die Rolle ist mehr als eine Ansprechperson auf Abruf. In der laufenden Betreuung fallen im Wesentlichen diese Aufgaben an:

• Risikoregister und Maßnahmenplan pflegen. Beides veraltet schnell — neue Systeme, neue Lieferanten, neue Bedrohungslage. Ein Risikoregister, das einmal jährlich vor dem Audit aktualisiert wird, ist ein Dokument, kein Steuerungsinstrument.
• ISMS-Dokumentation, Richtlinien und Verfahren weiterentwickeln. Regelungen, die nicht zur gelebten Praxis passen, fallen im Audit auf und werden im Alltag ignoriert.
• Überwachungsaudits vorbereiten und begleiten. Eine ISO-27001-Zertifizierung wird jährlich überprüft. Die Vorbereitung darauf ist planbare Arbeit, wenn sie laufend passiert, und Krisenmodus, wenn nicht.
• Das interne Audit planen und unterstützen. Eine eigenständige Anforderung der Norm, die intern oft als Erstes liegen bleibt.
• Betroffenheit nach NIS-2/NISG 2026, CRA und AI Act beobachten und den dokumentierten Scope pflegen. Die Rechtslage bewegt sich in diesen Feldern schneller als die meisten internen Prozesse.
• Awareness-Impulse für die Mitarbeitenden setzen — regelmäßig, nicht als jährliche Pflichtschulung.
• Der Geschäftsführung berichten. Ein Management-Review mit Bericht zum Sicherheitsstatus, auf dessen Basis Entscheidungen getroffen werden können.

Diese Aufgaben haben eines gemeinsam: Keine davon meldet sich von selbst. Termine, die von außen kommen — das jährliche Überwachungsaudit, die Registrierungs- und Meldefristen nach dem NISG —, hängen an ihnen, aber die Vorarbeit dazu erzeugt keinen eigenen Druck. Genau deshalb rutschen sie nach hinten — ob sie nun niemandem zugeordnet sind, nur formal jemandem gehören, auf einem Mischposten liegen oder an einer gut besetzten, aber ausgelasteten Stelle. Ein externer Termin und ein definierter Leistungsumfang erzeugen die Verbindlichkeit, die interne Zuständigkeit allein nicht herstellt.

Bei einer bestehenden internen Stelle muss dabei nicht alles übergeben werden. Sinnvoll ist oft, einzelne Blöcke herauszulösen — etwa Auditvorbereitung und Normpflege — und die tägliche Steuerung intern zu lassen. Entscheidend ist, dass die Schnittstelle klar definiert ist und nicht beide Seiten dasselbe halb machen.

Was ein externer CISO nicht abnimmt

Hier ist Präzision wichtig, weil dazu viel Ungenaues im Umlauf ist.

§ 31 Abs. 1 NISG 2026 verpflichtet die Leitungsorgane wesentlicher und wichtiger Einrichtungen, die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen. Eine Aufsichtspflicht lässt sich ihrem Wesen nach nicht auslagern: Wer beaufsichtigt, kann die Aufsicht nicht an den Beaufsichtigten abgeben. Nach § 31 Abs. 2 müssen die Leitungsorgane zusätzlich selbst an Cybersicherheitsschulungen teilnehmen. Welche Fristen daneben laufen, steht im Beitrag zur NISG-Registrierungspflicht. Auch das ist höchstpersönlich.

Delegierbar ist die Durchführung. Nicht delegierbar sind Aufsicht, Entscheidung und Verantwortung.

Der zweite Punkt wird häufig verkürzt dargestellt. Es heißt oft pauschal, das NISG führe eine persönliche Haftung der Geschäftsführung ein. Das trifft die Rechtslage nicht genau:

• Die Verwaltungsstrafen des § 45 NISG 2026 richten sich an die Einrichtung, nicht an die Geschäftsführung persönlich. Sie treffen das Unternehmen und betragen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes bei wesentlichen, bis zu sieben Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen — je nachdem, welcher Betrag höher ist.
• Nach § 44 Abs. 5 NISG 2026 ist von der Bestrafung eines Verantwortlichen nach § 9 Verwaltungsstrafgesetz abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird. Die persönliche verwaltungsstrafrechtliche Verantwortlichkeit ist damit nicht generell ausgeschlossen — sie tritt zurück, sobald das Unternehmen belangt wird.
• Die zivilrechtliche Haftung folgt nicht aus dem NISG, sondern aus dem allgemeinen Gesellschaftsrecht — und zwar unabhängig von der Rechtsform. Nach § 25 GmbHG haben Geschäftsführer „die Sorgfalt eines ordentlichen Geschäftsmannes“ anzuwenden und haften der Gesellschaft, wenn sie ihre Obliegenheiten verletzen. Für die Aktiengesellschaft gilt § 84 AktG mit demselben Aufbau, sogar etwas strenger: Maßstab ist die Sorgfalt eines „ordentlichen und gewissenhaften Geschäftsleiters“, und Vorstandsmitglieder können sich nur durch den Gegenbeweis befreien, dass sie diese Sorgfalt angewendet haben. Das NISG verändert diese Normen nicht — es konkretisiert, was im Bereich Cybersicherheit zu dieser Sorgfalt gehört. Genau deshalb wirkt es wie eine neue Haftung: Der Maßstab wird schärfer, die Anspruchsgrundlage bleibt dieselbe.
• Auch die verwaltungsstrafrechtliche Verantwortlichkeit ist rechtsformneutral. § 9 Abs. 1 VStG stellt darauf ab, „wer zur Vertretung nach außen berufen ist“ — das erfasst Geschäftsführer und Vorstandsmitglieder gleichermaßen. Die Bestimmung lässt zwar zu, dass ein verantwortlicher Beauftragter bestellt wird, an den die Verantwortlichkeit übergeht. Das ist aber ein eigener, förmlicher Akt mit eigenen Voraussetzungen nach § 9 Abs. 2 und 4 VStG — unter anderem nachweisliche Zustimmung, ein klar abgegrenzter Bereich und eine entsprechende Anordnungsbefugnis. Aus einem Dienstleistungsvertrag über CISO as a Service ergibt sich das nicht automatisch.

Für die Praxis heißt das: Ein externer CISO verbessert die Position der Geschäftsführung erheblich, weil er die Aufsichtspflicht erfüllbar macht — er liefert die Berichte, die Nachweise und die Entscheidungsgrundlagen, ohne die eine Aufsicht gar nicht ausgeübt werden kann. Er übernimmt sie nicht. Ein seriöser Vertrag hält das auch ausdrücklich fest.

Wann CISO as a Service nicht die richtige Lösung ist

Ein externer CISO managt Informationssicherheit. Wo es nichts zu managen gibt, geht die Rolle ins Leere.

Startet ein Unternehmen auf der grünen Wiese — keine Risikoanalyse, keine Richtlinien, keine dokumentierten Prozesse —, dann fehlt die Grundlage. Der erste Schritt ist dann ein Projekt: ein ISMS aufbauen, meist nach ISO 27001, weil sich der Standard an Größe und tatsächliche Risiken des Unternehmens anpassen lässt. Andere Managementsysteme sind möglich; die Reihenfolge bleibt dieselbe. Erst danach gibt es einen laufenden Betrieb, der eine dauerhafte Rolle rechtfertigt. Wer die Reihenfolge umdreht, bezahlt jemanden dafür, ein System zu betreuen, das noch nicht existiert.

Der zweite Fall ist heikler, weil er sich gut tarnt: wenn die Geschäftsführung die Auslagerung als Möglichkeit versteht, sich selbst aus dem Thema herauszuhalten. Dann fehlt genau die Aufsicht, die das Gesetz verlangt — und die Konstruktion erzeugt Kosten statt Sicherheit. Ein externer CISO braucht einen Ansprechpartner in der Geschäftsführung, der Entscheidungen trifft und die Berichte auch liest.

Häufige Fragen

Was ist der Unterschied zwischen einem CISO und einem Informationssicherheitsbeauftragten?

Die Bezeichnungen werden in der Praxis oft synonym verwendet. Der Chief Information Security Officer ist als Führungsrolle mit Steuerungs- und Berichtsverantwortung gegenüber der Geschäftsführung angelegt, der Informationssicherheitsbeauftragte eher als benannte Fachfunktion. Entscheidend ist nicht der Titel, sondern welche Befugnisse und welcher Berichtsweg tatsächlich definiert sind.

Kann derselbe Dienstleister als externer CISO tätig sein und die Zertifizierung auditieren?

Nein. Beratung und Zertifizierungsaudit müssen getrennt bleiben — ein Unternehmen, das beraten wird, darf vom selben Anbieter nicht auditiert werden und umgekehrt. Die Kenntnis beider Seiten ist in der Beratung trotzdem ein Vorteil: Wer weiß, worauf im Audit tatsächlich geachtet wird, bereitet gezielter vor.

Gilt das alles auch für eine Aktiengesellschaft?

Ja. Die Pflichten des NISG 2026 richten sich an „Leitungsorgane“ und unterscheiden nicht nach Rechtsform. Die zivilrechtliche Haftungsnorm ist für die GmbH § 25 GmbHG, für die AG § 84 AktG — inhaltlich parallel, für Vorstandsmitglieder sogar mit einer ausdrücklichen Beweislastregel zu ihren Lasten. Auch § 9 VStG stellt rechtsformneutral darauf ab, wer zur Vertretung nach außen berufen ist.

Was passiert mit dem aufgebauten Wissen, wenn die Zusammenarbeit endet?

Die Arbeitsergebnisse — Risikoregister, Maßnahmenpläne, Dokumentation, Berichte — gehören dem Unternehmen und bleiben dort. Genau deshalb ist die laufende Pflege der Dokumentation kein Nebenprodukt der Rolle, sondern ihr Kern: Sie ist das, was bei einem Wechsel übergeben werden kann.

Wie greift die Rolle in die interne IT ein?

Sie ersetzt die IT nicht und übernimmt keinen Betrieb. Der externe CISO definiert Anforderungen, bewertet Risiken und verfolgt Maßnahmen; die Umsetzung bleibt bei der internen IT oder beim IT-Dienstleister. Diese Trennung ist beabsichtigt — wer Maßnahmen umsetzt, sollte ihre Wirksamkeit nicht selbst beurteilen.

Quellen

• Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), BGBl. I Nr. 94/2025 — konsolidierte Fassung, RIS — §§ 31, 44, 45
• GmbH-Gesetz § 25 — Sorgfaltspflicht und Verantwortlichkeit der Geschäftsführer, RIS
• Aktiengesetz § 84 — Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder, RIS
• Verwaltungsstrafgesetz 1991 § 9 — Besondere Fälle der Verantwortlichkeit, RIS
• WKO: Die Leitungsorgane im Sinne der NIS-Gesetzgebung