Wir haben keinen CISO, wen trage ich als verantwortlich für Sicherheit ein

Keine Funktionsbezeichnung erforderlich, aber eine nachweisbare Rolle

Artikel 21 Absatz 2 NIS2 verlangt keinen CISO. Nirgendwo ist eine Funktionsbezeichnung erforderlich – die Richtlinie fordert "angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen" und eine Governance darüber hinaus. Was Sie ausfüllen müssen, ist, wer intern über Informationssicherheit entscheidet und wer die Geschäftsführung darauf hinweist. Bei einem kleineren Unternehmen ist das oft der Geschäftsführer selbst, ein IT-Manager, bei dem Sicherheit eine Teilaufgabe ist, oder ein externer Partner, der regelmäßig beauftragt ist. Geben Sie diese Rolle mit Namen oder Funktion an, nicht mit "niemand" und nicht mit einer Titel, der nicht vorhanden ist.

Worauf Sie achten müssen: Es geht dem Kunden nicht um die Titel, sondern um Nachweisbarkeit. Können Sie zeigen, dass jemand verantwortlich ist für Strategie zur Risikoanalyse und zum Schutz von Informationssystemen, und dass dieselbe oder eine andere benannte Person auch der Ansprechpartner bei Sicherheitsvorfälleist? Das ist das Beweisdokument, das normalerweise verlangt wird: ein Organigramm, eine RACI-Matrix, oder einfach ein Absatz im Richtliniendokument, der die Rolle und die Befugnisse benennt. Haben Sie dies nicht dokumentiert, dann ist "nein" mit einer Erläuterung, dass die Geschäftsführung diese Verantwortung trägt, eine ehrlichere Antwort als eine erfundene Funktionsbezeichnung.

Woraus sich dies ergibt: Artikel 21 Absatz 2 Buchstabe a NIS2 und Annex A 5.2 ISO 27001

Artikel 21 Absatz 2 Buchstabe a nennt "Richtlinie zur Risikoanalyse und zur Sicherheit von Informationssystemen" als erste der zehn Maßnahmen, und Governance ist dort implizit enthalten: Ohne benannte Verantwortliche ist eine Richtlinie nicht durchführbar und nicht überprüfbar. ISO/IEC 27001 macht dies explizit in Annex A 5.2, "information security roles and responsibilities", wo zwar eine Rolle verlangt wird, aber keine bestimmte Titel. Füllen Sie diese Liste ohne ISO-Zertifikat aus, ist es umso wichtiger, dass die Rollenverteilung irgendwo schriftlich festgehalten ist – das hilft weiter bei der Frage, ob das Unternehmen ISO 27001-zertifiziert ist, wo Sie sonst mit leeren Händen dastehen.