Die Rolle des CISO verändert sich grundlegend: In Europa und der Schweiz zwingt eine Kombination aus regulatorischem Druck, Marktanforderungen und interner Unternehmensführung Sicherheitschefs in die strategische Verantwortung. Laut der PwC Global Digital Trust Insights 2025 und dem CISO Report 2025 nehmen CISOs häufiger an Vorstandssitzungen teil – zugleich steigen Anforderungen durch DORA, NIS2 und nationale Vorgaben.
Warum die CISO-Führung jetzt Chefsache ist
Die Einbindung des CISO in die Unternehmensführung ist kein reines Formalthema mehr. Studien zeigen: 83 % der europäischen CISOs nehmen regelmässig an Board-Meetings teil, doch nur 29 % der Aufsichtsgremien verfügen über ausgewiesene Cyber-Expertise (Bitkom CISO Report 2025). In der Schweiz berichten Untersuchungen wie die PwC-Analyse, dass CISOs zwar präsent sind, aber seltener in operative Geschäftsentscheidungen eingebunden werden. Diese Diskrepanz prägt zentrale Spannungsfelder – von Budgetverantwortung bis zur Risikokommunikation.
Als Teil dieser Serie (Teil 1) skizziere ich den aktuellen Stand in Europa und der Schweiz, zeige verifizierbare Zahlen und reale Beispiele – spätere Teile widmen sich vertieft den Beziehungen CISO–CFO, CISO–Legal sowie den konkreten Folgen von DORA und NIS2.
Board-Einbindung versus operative Verantwortung
Die Präsenz am Tisch allein reicht nicht: Die Datenlage macht deutlich, dass Anwesenheit nicht gleich Einfluss bedeutet. Während 83 % der CISOs an Vorstandssitzungen teilnehmen, bewerten nur 52 % der Vorstände die Rolle des CISO als Business Enabler – im Gegensatz zu lediglich 34 % der CISOs, die diese Sicht teilen (CISO Report 2025). In der Schweiz ergänzt die PwC-Studie: Nur rund ein Sechstel der Unternehmen strukturiert Cyber-Budgets risikoorientiert; Budgetprozesse erfolgen häufig ohne umfassende Einbindung des Sicherheitschefs (PwC Global Digital Trust Insights 2025).
Das Resultat sind wiederkehrende Kommunikationsbrüche: Der CISO misst technische Risiken, der Verwaltungsrat erwartet geschäftsrelevante Kennzahlen. Best-practice-Ansätze – etwa die Übersetzung technischer Indikatoren in Key Risk Indicators – sind deshalb zentral und werden in erfolgreichen Schweizer Beispielen umgesetzt (siehe Praxisbeispiele unten).
Regulatorischer Wandel als Treiber: DORA, NIS2 und nationales Umfeld
Die regulatorische Landschaft verschiebt die Verantwortlichkeiten nach oben. DORA und NIS2 bringen verbindliche Vorgaben für Governance, ICT-Risikomanagement, Third-Party-Risk-Management und Meldepflichten mit sich; DORA tritt mit Blick auf Finanzinstitute ab 2025 in eine praktisch verbindliche Phase (Baggenstos – Überblick NIS2/DORA).
Für Schweizer Organisationen kommen nationale Anforderungen hinzu: Das revidierte Datenschutzgesetz (DSG 2023), FINMA-Rundschreiben für Finanzinstitute und die Empfehlungen des BACS verschärfen Melde- und Dokumentationspflichten. In der Folge müssen CISOs enger mit Legal und Compliance zusammenarbeiten und Governance-Modelle anpassen, damit Meldewege, Verantwortlichkeiten und Haftungsfragen klar geregelt sind.
Finanzverantwortung und die Frage nach dem ROI von Cyberinvestitionen
Ein zentrales Spannungsfeld besteht zwischen CISO und CFO: Budgetknappheit und die Erwartung, Cyberinvestitionen betriebswirtschaftlich zu rechtfertigen. PwC-Daten zeigen, dass risikoorientierte Budgetallokation in vielen Schweizer Unternehmen noch Mangelware ist – nur jedes sechste Unternehmen geht entsprechend vor (PwC Schweiz, 2025).
Die Antwort liegt in messbaren KRIs, Szenarioanalysen und Business-Impact-Messungen: CISOs, die Sicherheit in betriebswirtschaftliche Kennzahlen übersetzen (Kosten avoided, Zeit bis zur Wiederherstellung, wirtschaftlicher Impact von Downtime), erreichen eher die gewünschte Budgetunterstützung. Diese Fähigkeit ist mittlerweile ein Kriterium für Führungsqualität in der Rolle.
Praxisbeispiele aus der Schweiz: Board-Integration und Governance
Konkrete, verifizierbare Beispiele zeigen, wie Führungsaufgaben heute aussehen:
Logitech (Swiss CISO Awards 2024): Tana Dubel erhielt Anerkennung für die Einführung einer Zero‑Trust‑Strategie, die ISO‑27001‑Fokussierung und die enge Abstimmung mit Geschäftsleitung und Board (Swiss CISO Awards / Computerworld; Swiss Cybersecurity).
SMG Swiss Marketplace Group (Swiss CISO Awards 2024): Mostafa Hassanin berichtet direkt an die Geschäftsleitung und etablierte ein KRIs-basiertes Reporting sowie abgestimmte Prozesse mit Legal/Compliance – ein Musterfall für transparente Cyber-Governance (Swiss CISO Awards / Computerworld).
Diese Beispiele belegen: Wenn CISOs direkt an CEO oder Board berichten und Governance‑Mechanismen wie KRIs und klare Schnittstellen zu Legal und Finance implementiert sind, steigt die Transparenz und damit die Handlungsfähigkeit des Unternehmens.
Was Verwaltungsräte und CEOs erwarten — und was fehlt
Vorstände verlangen zunehmend zwei Dinge: klare, geschäftsrelevante Kennzahlen und Nachweis, dass z.B. Resilience‑Tests durchgeführt werden. Die Realität ist jedoch durch Wahrnehmungsunterschiede geprägt: Nur ein Teil der Vorstände erkennt die Rolle des CISO als Enabler, während CISOs diese Selbstwahrnehmung seltener teilen (CISO Report 2025).
Best Practices auf Vorstandsebene umfassen regelmässige, kurze Entscheidungs‑Dashboards, Szenariobasierte Briefings, klar definierte Verantwortlichkeiten bei Meldepflichten und die Einbindung externer Prüfungen (Resilience‑Tests). Diese Elemente adressieren sowohl Governance‑ als auch Haftungsfragen, die durch NIS2/DORA und nationale Vorgaben verschärft werden.
