Cyberangriffe und regulatorischer Druck haben die Führungspflicht für Informationssicherheit verändert. In Europa und der Schweiz sehen sich CISOs heute nicht nur als technische Verantwortliche, sondern als strategische Führungsfiguren, die Budget-, Rechts- und Board-Themen verknüpfen müssen – eine Entwicklung, die DORA, NIS2 und nationale Vorgaben zusätzlich beschleunigen.
Die neue Führungsrolle des CISO: Reporting, Budget und Governance
Die Integration des CISO in die Unternehmensführung ist in Europa offensichtlich auf dem Vormarsch: Laut dem CISO Report 2025 nehmen 83 % der europäischen CISOs regelmässig an Vorstandssitzungen teil. Gleichzeitig verfügen jedoch nur 29 % der Vorstände über ausgewiesene Cyber-Expertise. Diese Lücke prägt die Art und Weise, wie CISOs ihre Rolle als Brücke zwischen Technik und Geschäftsleitung ausfüllen müssen.
In der Schweiz zeigt die PwC-Analyse Global Digital Trust Insights 2025, dass nur jedes sechste Unternehmen Cyber-Budgets risikoorientiert plant. Budgetverantwortliche – häufig CFOs – und CISOs stehen deshalb vor grundsätzlichen Fragen: Wie lassen sich Sicherheitsinvestitionen in betriebswirtschaftliche Kennzahlen überführen? Und wie erreicht der CISO die gewünschte Entscheidungsbefugnis? Praxisbeispiele aus der Schweiz zeigen Wege: Bei Preisträgern der Swiss CISO Awards berichten mehrere CISOs direkt an die Geschäftsleitung und schaffen so klarere Entscheidungs- und Budgetlinien (Swiss CISO Awards, 2024).
CISO und CFO: Budgetallokation als Konfliktfeld
Die Beziehung zwischen CISO und CFO ist mittlerweile ein Kernstück effektiver Cyber-Governance. Studien zeigen, dass Vorstände Cyber als Geschäfts- und nicht nur als IT-Risiko betrachten möchten: 52 % der Vorstände sehen den CISO als Business Enabler, doch nur 34 % der CISOs teilen diese Sicht (CISO Report 2025). Das hat praktische Folgen: Sicherheitsprojekte konkurrieren mit anderen Investitionsvorhaben um begrenzte Mittel. Ein risikoorientiertes Budgetmodell verlangt daher von CISOs, Investitionen in monetäre Kennzahlen zu übersetzen – etwa erwartete Verlustvermeidung, Reputationsrisiken oder regulatorische Strafkosten.
Best-practice-Beispiele aus der Schweiz illustrieren, wie diese Übersetzung gelingt: Bei der SMG Swiss Marketplace Group berichtet der Group CISO direkt an die Geschäftsleitung und hat Key Risk Indicators (KRIs) etabliert, die dem CFO und dem Board konkrete Entscheidungsgrundlagen liefern. Dieses Vorgehen verbesserte Transparenz und beschleunigte Budgetfreigaben (Swiss CISO Awards / SMG, 2024).
CISO und Rechtsabteilung: Haftung, Meldepflichten und Compliance
Mit DORA, NIS2 und dem revidierten Schweizer Datenschutzgesetz (DSG 2023) steigt die regulatorische Verantwortlichkeit für CISOs. Die enge Zusammenarbeit mit Legal und Compliance ist daher unumgänglich: CISOs müssen technische Risiken in rechtlich relevante Vorfälle übersetzen, Meldepflichten koordinieren und Beweiserhaltung sowie Dokumentation sicherstellen.
Die Praxis zeigt deutliche Schnittmengen: CISOs sind zunehmend für die Einhaltung von ISO‑Standards, Datenschutzvorgaben und Meldeprozessen verantwortlich. Fachbeiträge zur CISO-Praxis in der Schweiz betonen die Notwendigkeit klarer Rollenabgrenzungen und Prozesse zwischen Technik und Rechtsabteilung, um persönliche Haftungsrisiken zu minimieren und regulatorische Anforderungen fristgerecht zu erfüllen (Wirz & Partners, CISO-Praxis Schweiz, 2024).
Regulatorische Rahmenbedingungen: DORA, NIS2, FINMA und DSG
Die europäische Gesetzgebung verschärft die Governance-Anforderungen sichtbar. DORA verlangt für Finanzinstitute ab 2025 umfassende ICT‑Risikomanagement‑Frameworks, Resilience‑Tests und Meldepflichten; NIS2 erweitert die Anforderungen an Governance und Lieferkettenmanagement. Schweizer Institutionen orientieren sich an diesen Vorgaben und ergänzen sie durch FINMA‑Rundschreiben und nationale Empfehlungen des NCSC. Eine konsolidierte Übersicht zu den Auswirkungen auf Governance, Third‑Party‑Risk und Reporting finden Sie in der Analyse von Baggenstos (Baggenstos, 2024).
Für CISOs bedeutet das konkret: stärkere Einbindung in strategische Entscheidungsprozesse, formalisierte Reporting‑Pflichten an Board und Regulatoren sowie erhöhte Anforderungen an Third‑Party‑Due‑Diligence und Testbarkeit von Resilience‑Massnahmen. Schweizer Banken und Versicherungen stehen zusätzlich unter FINMA‑Aufsicht, die IKT‑Risikomanagement auf Geschäftsleitungsebene fordert und damit die CISO‑Position weiter professionalisiert.
Board Communication: Was Verwaltungsrat und CEO erwarten
Verwaltungsräte verlangen heute prägnante, geschäftsrelevante Informationen: Risikoquantifizierung, Trendindikatoren, Impact‑Szenarien und handlungsfähige Empfehlungen. CISOs sind gefordert, technische Inhalte in Key Risk Indicators (KRIs), Szenarioanalysen und Entscheidungsoptionen zu übersetzen. Fehlende Übersetzung führt zu Wahrnehmungsdifferenzen – das zeigt die Diskrepanz zwischen Board‑Erwartung und CISO‑Selbstbild im CISO Report 2025.
Praktische Instrumente für die Board‑Kommunikation sind standardisierte Dashboards, abgestufte Reportings (Operativ, Taktisch, Strategisch) und vorformulierte Entscheidungspunkte mit Kosten‑Nutzen‑Analysen. Schweizer Preisträger betonen zudem die Wirksamkeit regelmässiger, kürzerer Briefings statt seltener, langer Reports – ein Format, das die Aufmerksamkeit von CEOs und Finanzverantwortlichen besser hält (Swiss CISO Awards, 2024).
Faktenübersicht: Kernaussagen mit Quellen
– 83 % der europäischen CISOs nehmen regelmässig an Board‑Meetings teil; nur 29 % der Boards verfügen über Cyber‑Expertise (CISO Report 2025, 2024).
– Nur 1 von 6 Schweizer Unternehmen allokiert Cyber‑Budgets risikoorientiert; Schweizer CISOs sind weniger in operative Geschäftsentscheidungen eingebunden (PwC Global Digital Trust Insights 2025, Juli 2024).
– CISO-Rollen in der Schweiz zeigen vermehrt direkte Berichtslinien an Geschäftsleitung/CEO und etablieren KRIs zur Entscheidungsunterstützung (Swiss CISO Awards‑Einreichungen; Swiss Cyber Institute / Computerworld, 2024).
– DORA und NIS2 erhöhen Governance‑, Reporting‑ und Third‑Party‑Pflichten; Baggenstos fasst die Auswirkungen auf CH/EU für CISOs zusammen (Baggenstos, 2024).
Praxisbeispiele Schweiz / Europa
– Logitech (Swiss CISO of the Year 2024): CISO Tana Dubel führte eine Zero‑Trust‑Strategie ein, erreichte ISO‑27001‑Zertifizierung und stärkte die Board‑Integration sowie Diversity im Cyber‑Team. Quelle: Swiss CISO Awards / Computerworld und Swiss Cyber Institute.
– SMG Swiss Marketplace Group: Group CISO Mostafa Hassanin berichtet direkt an Geschäftsleitung, etablierte KRIs und verbesserte die Abstimmung mit Legal/Compliance. Quelle: Swiss CISO Awards.
– Europäische Finanzbranche: DORA/NIS2 verpflichten Banken und Versicherungen zu Resilience‑Tests, ICT‑Risikomanagement‑Frameworks und schnellen Meldepflichten, was die CISO‑Einbindung in Governance und Berichtspflichten verstärkt (Baggenstos, 2024).
Aktuelle Herausforderungen und Handlungsempfehlungen
Aus den Studien und Fällen lassen sich praxisnahe Empfehlungen ableiten:
– Verankerung in der Geschäftsleitung: CISOs sollten eine direkte Berichtslinie an CEO oder Geschäftsleitung anstreben, um Entscheidungsqualität und Budgetzugang zu verbessern (Beispiel SMG).
– Ökonomische Übersetzung von Risiken: Implementieren Sie KRIs und monetäre Impact‑Modelle, um CFO und Board handfeste Entscheidungsgrundlagen zu liefern (PwC, 2024).
– Legal‑Alignment: Formale Schnittstellen zu Legal/Compliance für Meldeprozesse und Dokumentation etablieren; klare Rollen‑ und Verantwortungsdefinitionen reduzieren Haftungsrisiken (Wirz & Partners, 2024).
– Regulatorische Roadmap: Planen Sie DORA/NIS2‑Compliance als langfristige Governance‑Aufgabe; investieren Sie in Third‑Party‑Risk‑Management und Resilience‑Tests.
Fazit
Die Rolle des CISO hat sich in Europa und der Schweiz von einer rein technischen Funktion zu einer multidimensionalen Führungsaufgabe entwickelt. Reporting‑Linien, Budgetverantwortung und die enge Abstimmung mit CFO und Legal sind heute Kernanforderungen. Regulatorische Vorgaben wie DORA, NIS2 und das revidierte DSG verstärken diesen Trend und machen klare Governance‑Strukturen dringend notwendig. Unternehmen, die CISOs als strategische Partner in Geschäftsleitung und Board verankern, schaffen bessere Voraussetzungen für Widerstandsfähigkeit und Compliance.
CISO as a Service – Ihr nächster Schritt
Wenn interne Ressourcen oder strukturelle Hürden eine direkte Verankerung erschweren, bieten externe Modelle eine Alternative. Expertise für Governance, Board‑Reporting, Risk‑Quantifizierung und regulatorische Roadmaps lässt sich auch über erfahrene Dienstleister flexibel beziehen. Für einen ersten Austausch zu möglichen Modellen und konkreten Massnahmen stehen wir Ihnen als spezialisierter Anbieter zur Verfügung.
Key Take-away – Jetzt Governance, Budget und Compliance verbinden
Verankern Sie die CISO‑Funktion in der Geschäftsleitung, übersetzen Sie Risiken in ökonomische Kennzahlen, etablieren Sie verbindliche Schnittstellen zu Legal/Compliance und planen Sie DORA/NIS2‑Aufgaben langfristig. Nur so wird die CISO‑Rolle zur stabilisierenden Führungsaufgabe – und nicht zur isolierten technischen Instanz.
