Sie fragen, wer unser CISO ist, aber wir haben niemanden mit diesem Titel

Kein CISO erforderlich, aber ein Ansprechpartner für Sicherheit

Sie können hier in der Regel einfach "nein" eintragen, ohne dass dies ein Mangel darstellt. Keine der zehn Maßnahmen in Artikel 21 Absatz 2 der NIS2-Richtlinie schreibt eine Funktionsbezeichnung vor. Die Richtlinie regelt Verpflichtungen auf Organisationsebene — Governance, Risikomanagement, Vorfallbehandlung — nicht, wie Sie diese intern verteilen oder wie diese Rolle heißt. Ein CISO ("Chief Information Security Officer") ist eine Möglichkeit, dies zu erfüllen, besonders bei größeren Organisationen, aber keine Voraussetzung. Bei ISO/IEC 27001 ist es genauso: Annex A fordert dokumentierte Verantwortlichkeiten für Informationssicherheit, nicht einen bestimmten Titel auf der Lohnabrechnung.

Was Ihr Kunde eigentlich wissen möchte, ist, wer intern verantwortlich ist und ansprechbar im Fall eines Vorfalls. Bei einem kleineren Unternehmen ist dies oft der Eigentümer selbst, der IT-Manager oder jemand, der Sicherheit neben einer anderen Rolle wahrnimmt. Tragen Sie dies als Antwort auf die dahinterliegende Frage ein: Name, Funktion und gegebenenfalls wie diese Person erreichbar ist. Dies schließt auch an wer reagiert, wenn es einen Sicherheitsvorfall gibt an — das ist in der Regel dieselbe Person oder dasselbe Team. Sind Sie unsicher, ob Ihr Kunde "kein CISO, aber eine verantwortliche Person" akzeptiert? Bestätigen Sie diese Antwort dann nicht blind mit "ja" — das ist eine Einschätzung, die beim Einreicher liegt, nicht bei einem automatisch ausgefüllten Dossier.

Wo dies hervorgeht: Artikel 21 Absatz 2 und Annex A

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt zehn Kategorien von Maßnahmen, darunter Risikomanagement, Vorfallbehandlung und Zugriffskontrolle, aber keine Rollenbezeichnung. Das niederländische Cybersicherheitsgesetz, das diese Richtlinie umsetzt und am 15. August 2026 in Kraft tritt, folgt dem gleichen Aufbau. ISO/IEC 27001 Annex A fordert im Abschnitt zur Organisation der Informationssicherheit zugewiesene Verantwortlichkeiten, nicht einen Funktionstitel. Wenn Sie überprüfen möchten, ob Ihr Unternehmen selbst unter die NIS2-Verpflichtungen fällt, ist dies eine separate Frage, die davon unabhängig ist — schauen Sie dazu auf ob das Unternehmen als Einheit unter die NIS2-Richtlinie fällt.