Cyberangriffe gehören längst zum Alltag von Unternehmen, Behörden und kritischen Infrastrukturen. Laut dem Global Digital Trust Insights 2025 berichten Schweizer Führungskräfte weiterhin von einem unzureichend risikoorientierten Umgang mit Cyberbudgets – nur eines von sechs Unternehmen setzt Budgets konsequent nach Risikoprioritäten ein. Die Folge: Governance-, Kommunikations- und Ressourcenlücken auf oberster Führungsebene.
Warum die CISO‑Funktion jetzt Geschäftsleitung und Finanzverantwortung verbinden muss (Part 2)
In Part 1 skizzierten wir die evolutionäre Verschiebung der CISO‑Funktion von rein technischer Verantwortung hin zu strategischer Governance und nennen es nun CISO-Führungsrolle. In diesem zweiten Beitrag der Serie konzentrieren wir uns auf die Schnittstellen, in denen CISOs heute die grösste Wirkung entfalten müssen: Reporting an Vorstand und Geschäftsleitung, Budgetverhandlung mit dem CFO sowie die enge Zusammenarbeit mit der Rechtsabteilung. Ausgangspunkt sind empirische Befunde aus Europa und der Schweiz sowie konkrete Praxisbeispiele.
Kernthema dieses Beitrags: Die CISO‑Funktion darf nicht länger eine isolierte Technikagenda verfolgen – sie muss Risiko, Kosten und rechtliche Pflichten in wirtschaftlich verständliche Kennzahlen übersetzen.
Board‑Reporting: Präsenz ist nicht gleich Einfluss
Aktuelle Studien zeigen ein differenziertes Bild: 83 % der europäischen CISOs nehmen regelmässig an Vorstandssitzungen teil, doch lediglich 29 % der Boards verfügen über eigene Cyber‑Expertise, wie der CISO Report 2025 feststellt. In der Schweiz bestätigen die PwC-Analysen, dass CISOs zwar häufiger eingeladen werden, aber seltener in operative Geschäftsentscheidungen eingebunden sind.
Das Missverhältnis erklärt sich teilweise durch Kommunikationslücken: Vorstände erwarten klare, ökonomisch fundierte Aussagen – etwa über Residualrisiken, Verlustwahrscheinlichkeiten und Kosten im Schadensfall. Viele CISOs berichten jedoch weiterhin in technischen Metriken oder nach IT‑Logiken. Die Folge sind unterschiedliche Wahrnehmungen: 52 % der Vorstände sehen den CISO als Business Enabler, doch nur 34 % der CISOs teilen diese Sicht (Splunk/Bitkom‑Reporting).
Best‑Practice‑Elemente für wirksames Board‑Reporting:
– Übersetzung technischer Risiken in finanzielle Kennzahlen (Business Impact, Annualized Loss Expectancy).
– Nutzung von Key Risk Indicators (KRIs), die an Geschäftsziele gekoppelt sind.
– Regelmässige, strukturierte Updates mit klaren Handlungsoptionen und Budgetfolgen.
CISO und CFO: Budgetverhandlung als strategischer Dialog
Die Budgetdiskussion ist in vielen Schweizer Unternehmen ein zentrales Spannungsfeld. Laut PwC Schweiz allokiert nur jedes sechste Unternehmen seine Cyber‑Mittel risikoorientiert. Das erzeugt Konflikte mit dem CFO, der Investitionen entlang betriebswirtschaftlicher Kennzahlen misst. CISOs müssen daher Investitionsbedarfe in ROI‑begriffe und Risiko‑Reduktionspotenziale übersetzen, um Prioritäten zu setzen.
Konkrete Ansätze, die in der Praxis bereits funktionieren, sind in Schweizer Unternehmen erprobt worden: Mostafa Hassanin von der SMG Swiss Marketplace Group berichtet direkt an die Geschäftsleitung und hat KRIs implementiert, die sowohl operativen als auch finanziellen Stakeholdern einen klaren Nutzen zeigen. Solche Metriken ermöglichen es dem CFO, Cyber‑Ausgaben in das Gesamtbudget zu integrieren und Risiken kapitalwirtschaftlich zu bewerten.
Empfehlungen für die CISO‑CFO‑Kooperation:
– Entwickeln Sie Business‑fokussierte Metriken (z. B. erwarteter finanzieller Schaden pro Szenario).
– Legen Sie Prioritäten mit einem risikobasierten Score‑Card‑Modell fest.
– Vereinbaren Sie Review‑Zyklen, in denen Wirkung und KPIs transparent geprüft werden.
CISO und Rechtsabteilung: Meldepflichten und Haftungsfragen
Regulatorische Neuerungen verschärfen die Zusammenarbeit zwischen CISO und Legal. DORA und NIS2 erweitern Governance‑ und Meldepflichten in der EU; schweizerische Institute müssen zusätzlich FINMA‑Vorgaben und das revidierte DSG 2023 beachten. Eine kompakte Übersicht der relevanten Rechtsrahmen bietet Baggenstos in seinem Überblick zu NIS2/DORA/FINMA/DSG.
Die Konsequenz: CISOs tragen zunehmend die operative Verantwortung für Compliance‑Kontrollen, aber die rechtliche Haftung und Vertragsfragen verbleiben bei Legal. Effektive Zusammenarbeit erfordert deshalb klare Rollen (RACI‑Modelle), gemeinsame Incident‑Playbooks und abgestimmte Meldeprozesse – inklusive einer abgestuften Kommunikationsmatrix an Aufsichtsbehörden und Betroffene.
Praxisbeispiel Logitech: Unter der Leitung von Tana Dubel (Swiss CISO Awards‑Gewinnerin) wurde die Cyberstrategie inklusive ISO‑Zertifizierung und Governance‑Prozessen so gestaltet, dass Compliance, technische Massnahmen und Board‑Reporting konsistent verzahnt sind. Das Beispiel zeigt, wie enge Abstimmung mit Legal die Umsetzung regulatorischer Anforderungen erleichtert (Swiss Cyber Institute, 2024).
Regulatorische Folgen für Governance und Ressourcen
DORA und NIS2 zwingen Unternehmen in der EU und solche mit EU‑Geschäftsbeziehung zur Verstärkung ihrer Governance‑Strukturen: verpflichtende ICT‑Risikomanagement‑Frameworks, Third‑Party‑Risk‑Assessments und Resilience‑Tests. Für Finanzinstitute tritt DORA ab 2025 in Kraft; FINMA ergänzt dies in der Schweiz durch branchenspezifische Rundschreiben. Baggenstos hat die zentralen Anforderungen für CH/EU gut zusammengefasst.
Praktische Auswirkungen:
– Mehr Ressourcenbedarf: Aufsichtsrechtliche Tests, Dokumentation und Third‑Party‑Monitoring erfordern zusätzliches Budget und Personal.
– Höhere Board‑Verantwortung: Vorstände müssen nachvollziehbar über Cyber‑Risiken entscheiden können.
– Stärkere Einbindung von CISO in strategische Planungsprozesse, um Compliance‑Lücken frühzeitig zu erkennen.
Was jetzt pragmatisch zu tun ist
Ausgehend von Studien und Schweizer Praxisbeispielen lassen sich kurzfristige Schritte ableiten, die Governance und finanzielle Verantwortung stärken:
– Standardisieren Sie ein Dashboard mit 6–8 KRIs, die Geschäftsleitung und CFO adressieren (Business‑Impact, Mean Time to Detect, Third‑Party Exposure, Compliance‑Status).
– Formalisieren Sie Reporting‑Rhythmen: quartalsweise Strategie‑Reviews und ad‑hoc Incident‑Briefer an Vorstand und CEO.
– Etablieren Sie ein abgestimmtes Incident‑Playbook zwischen CISO, CFO und Legal, das Meldepflichten (DSG/NIS2/DORA) abdeckt.
– Investieren Sie in Storytelling‑Kompetenz für CISOs: Präsentationen müssen Business‑Risiken und Kostenfolgen klar ausweisen.
Fazit
Die Rolle des CISO ist heute weitgehend eine Führungsaufgabe: Sie verlangt strategische Kommunikation an Board, ökonomische Rationale gegenüber dem CFO und rechtskonforme Zusammenarbeit mit Legal. Europäische und Schweizer Befunde – etwa aus dem CISO Report 2025 und den PwC Global Digital Trust Insights 2025 – bestätigen: Präsenz am Tisch genügt nicht. CISOs müssen Risiken monetarisieren, Governance‑Prozesse operationalisieren und regulatorische Pflichten proaktiv managen.
CISO‑Governance: Ihr nächster Schritt
Wenn Ihre Organisation ihre Cyber‑Resilienz stärken will, beginnen Sie mit klaren Verantwortlichkeiten: definieren Sie KRIs, verankern Sie Reporting‑Rhythmen und stimmen Sie Incident‑Meldewege mit CFO und Legal ab. Beispiele wie Logitech und SMG zeigen, dass dies sowohl Compliance‑ als auch Business‑Wert schafft (Swiss Cyber Institute; Computerworld). Für eine vertiefte Analyse und operative Umsetzung bieten wir pragmatische Begleitung an – von Governance‑Design bis zur KRI‑Implementierung.
Key Take‑away – Bringen Sie Risiko, Kosten und Recht in Einklang
Verankern Sie die CISO‑Funktion organisatorisch so, dass sie Geschäftsleitung, CFO und Legal gleichermassen erreicht. Konkrete Schritte: risikobasierte Budgetierung, KRI‑gestütztes Reporting und abgestimmte Meldeprozesse (DSG / NIS2 / DORA). Verlässliche Quellen und Praxisbeispiele: PwC Global Digital Trust Insights 2025, CISO Report 2025, Swiss CISO Awards / Computerworld, Baggenstos – NIS2/DORA/FINMA/DSG Überblick.
