Eine unbesetzte Rolle fällt erst auf, wenn sie gebraucht wird
Solange nichts passiert, merkt niemand, dass die Stelle leer ist. Bemerkbar
wird es an dem Tag, an dem jemand eine Entscheidung braucht, eine Frage offen bleibt
oder etwas schiefgegangen ist und niemand zuständig ist.
Ein Kunde schickt einen Sicherheitsfragebogen mit Frist und niemand im Unternehmen kann ihn
verantwortlich beantworten.
Eine Meldepflicht greift und es ist nicht festgelegt, wer welchen Vorfall innerhalb
welcher Frist an welche Stelle meldet.
Eine Prüfinstanz fragt nach der benannten Person und die Antwort lautet: gerade
niemand.
Die Zertifizierung läuft weiter, aber die Person, die sie getragen hat, ist weg.
Ein Vorfall ist aufgetreten und es fehlt jemand, der ihn einordnet und entscheidet,
was jetzt zu tun ist.
Keiner dieser Fälle wartet, bis
eine Stelle nachbesetzt ist. Eine Nachbesetzung dauert erfahrungsgemäß Monate,
eine Frist selten so lang.
Drei Ausgangslagen, drei Modelle
Der Unterschied liegt nicht in der Arbeit, sondern darin, was am Ende
entstehen soll. Danach richtet sich alles Weitere, auch der Preis.
Modell 1
Interim: es gibt gerade niemanden
Ich übernehme die Rolle vollständig, fachlich und als Führungskraft. Gleichzeitig
entsteht die Nachfolge, die sie danach ausfüllen soll. Das kann eine Neueinstellung
sein oder jemand aus dem Unternehmen, der bisher nur einen Teil davon gemacht
hat.
Was danach anders ist
Die Verantwortung liegt wieder in der Organisation, bei einer Person, die sie
ausfüllen kann. Ich bleibe für Rückfragen und Sparring erreichbar, ohne im
Tagesgeschäft zu stehen.
Für wen das passt: wenn das Unternehmen groß genug ist, dass sich
eine eigene Stelle dauerhaft lohnt, weil sie täglich gebraucht wird.
Modell 2
Überbrückung: die Nachfolge steht schon fest
Die Auswahl läuft oder ist entschieden, aber der Antritt liegt einige Monate in der
Zukunft. Bis dahin darf die Stelle nicht leer bleiben, weil ein Audit ansteht, eine
Kundenanforderung läuft oder eine Frist näher rückt. Vor allem aber, weil
Informationssicherheit keine Pause vertragen kann.
Ich besetze die Rolle für die Übergangszeit und übergebe sie beim Antritt,
einschließlich Einarbeitung. So kann die Nachfolge direkt in einen geordneten
Bereich einsteigen.
Was danach anders ist
Die Lücke zwischen Weggang und Neuanfang ist geschlossen. Die Nachfolge startet mit
einem laufenden System statt mit einem Rückstand.
Für wen das passt: wenn die Nachfolge feststeht und nur die Zeit
bis zum Antritt überbrückt werden muss.
Modell 3
ISB oder CISO as a Service: dauerhaft extern, verlässlich erreichbar
Gebraucht wird eine benannte Person für Informationssicherheit, aber keine ganze
Stelle. Ich übernehme diese Benennung dauerhaft, als feste Ansprechperson, die das
Unternehmen kennt.
Was danach anders ist
Die Rolle ist besetzt, nachweisbar und erreichbar. Fragebögen, Meldewege und die
Berichte an die Geschäftsführung laufen, ohne dass jemand intern dafür
freigestellt werden muss.
Für wen das passt: wenn die Rolle dauerhaft gebraucht wird, aber
keine eigene Stelle rechtfertigt.
Ich arbeite darauf hin, dass die Rolle im Unternehmen bleibt
Ein Interim, das sich unentbehrlich macht, hat seine Aufgabe nicht
verstanden. Deshalb ist die Übergabe von Anfang an Teil des Auftrags und nicht das, was
man am Ende noch klären muss. Was danach bleibt, ist der kurze Draht: für die Frage
zwischendurch und für die Entscheidung, bei der ein zweiter Blick guttut.
1
Ich komme rein
Die Rolle ist sofort und vollständig besetzt. Merkbar wird das daran, dass Fragen
wieder beantwortet werden, Fristen jemanden haben, der sie im Blick behält, und
Entscheidungen nicht mehr liegen bleiben.
2
Ich baue auf
Parallel entsteht das, was bleiben soll: Struktur, Dokumentation und vor allem die
Person, die es danach trägt.
3
Ich gehe wieder
Übergabe mit Einarbeitung, damit die Nachfolge nicht nur die Unterlagen bekommt,
sondern auch den Zusammenhang. Danach bleibe ich erreichbar, im Hintergrund statt im
Tagesgeschäft.
Du zahlst mich eine Zeit lang und hast danach das Thema dauerhaft im eigenen Unternehmen.
Der Satz für die Geschäftsführung
Wann dauerhaft extern die ehrlichere Lösung ist
„Ich ziehe mich zurück" und „dauerhaft extern" klingen zunächst nach einem
Widerspruch. Er richtet sich nach der Größe des Unternehmens und diese Frage klären wir
vor dem Angebot, nicht danach.
Wo eigene Kapazität sinnvoll ist, wird sie aufgebaut
Ab einer gewissen Größe gehört die Rolle ins Unternehmen, weil sie täglich gebraucht
wird und an Entscheidungen beteiligt ist. Eine dauerhafte Auslagerung wäre dort bequem
für mich und schlecht für das Unternehmen. Hier gilt Modell 1 mit Aufbau und Ausstieg,
bei feststehender Nachfolge auch Modell 2.
Wo eine eigene Stelle nie entstehen wird
In einer Organisation, die dafür nie eine Vollzeitstelle schaffen wird, jemanden
aufzubauen, hieße eine Stelle zu erfinden, die es nicht braucht. Dort ist die
dauerhaft externe Benennung die ehrliche Lösung. Der Rückzug findet trotzdem statt,
nämlich aus dem Tagesgeschäft in eine feste, schlanke Rolle.
Naheliegend wäre, jemanden im Haus die Rolle nebenbei mitmachen zu
lassen. Das scheitert selten am guten Willen und fast immer an der Tiefe: Wer
Informationssicherheit in einer Nebenfunktion ausfüllt, kommt nicht dazu, sich
einzuarbeiten, auf dem Stand zu bleiben und sich fortzubilden. Genau das ist der
Unterschied, den eine benannte externe Person mitbringt.
Die Modelle im Überblick
Was die Stufen unterscheidet, ist nicht der Aufwand, sondern das Ergebnis:
von der belegbar besetzten Rolle bis zur laufenden Umsetzung mit einem Termin im Blick.
Dauerhaft, Essential
Besetzt und nachweisbar
Die Rolle ist besetzt und belegbar, das ganze Jahr über.
Benennung als Beauftragter für Informationssicherheit
Jahresplanung und Quartalsbericht für die Geschäftsführung
Dienstleister- und Kundenfragebögen werden beantwortet
Monatliches Lagebild zu Regulatorik und Schwachstellen, eingeordnet auf das eigene Unternehmen
ab 1.500 € / Monat
Umfang nach Größe und Reifegrad
Dauerhaft, Active
Besetzt und wirksam
Alles aus Essential, dazu die Umsetzung:
Laufende Umsetzung der Maßnahmen
Sparring für die Person, die die Rolle später übernehmen soll, sofern es sie gibt
Quartalsbericht mit Wirkungsbild über die fünf Dimensionen1
ab 2.800 € / Monat
Umfang nach Größe und Reifegrad
Dauerhaft, Intensive
Besetzt mit Zieltermin
Für Unternehmen mitten in einer Zertifizierung oder in der NIS2-Umsetzung.
Alles aus Active, in höherer Frequenz
Begleitung bis zum Zieltermin, mit Blick auf das, was bis dahin fertig sein muss
ab 5.200 € / Monat
Umfang nach Größe und Reifegrad
Auf Zeit
Interim und Überbrückung
Die Rolle ist ab dem ersten Tag ausgefüllt, fachlich und als Führungskraft, bis die
Nachfolge steht.
Umfang nach Lage, von einzelnen Tagen bis zur Teilzeitbesetzung
Übergabe mit Einarbeitung ist Bestandteil
ab 1.500 € / Tag
Umfang und Dauer nach dem Erstgespräch
Alle Preise netto in Euro, zuzüglich Reisekosten. Die dauerhaften Mandate
haben eine Mindestlaufzeit von zwölf Monaten, danach sind sie mit drei Monaten zum
Monatsende kündbar. Das ist kein Bindungsinstrument: Eine kürzere Frist ließe keine
geordnete Übergabe zu. Vertretung in Kundenaudits, Unterstützung bei
Sicherheitsvorfällen und Standortbesuche werden nach Tagessatz gesondert ausgewiesen.
Remote ist der Regelfall, vor Ort nach Bedarf.
Was im Quartalsbericht ab Active zusätzlich steht
Ein Bericht, der nur Erledigtes auflistet, beantwortet die Fragen der Geschäftsführung
nicht. Die lauten: Kommen wir voran? Erfüllen wir die Anforderungen? Sind wir im
Budget? Deshalb liegt ab Active jedem Quartalsbericht ein Wirkungsbild über fünf
Dimensionen bei. Es zeigt auf einer Seite, was sich seit der letzten Messung bewegt
hat.
FührungKlarheit und Souveränität in den Entscheidungen
OrganisationHandlungsfähigkeit und Resilienz im Ernstfall
Schutzniveauder tatsächliche Stand der Absicherung
Prozesseob die Abläufe funktionieren oder nur beschrieben sind
Menschendas Verhältnis der Mitarbeitenden zu Security
Das funktioniert nur im laufenden Mandat, weil es eine Veränderung
über Zeit misst. In einer einmaligen Erhebung hätte es keine Aussage.
Für den langen Weg
Manager Digitale Souveränität und Resilienz
Wovon dein Geschäft abhängt, löst sich nicht in einem Quartal auf. Verträge
laufen über Jahre, Budgets sind gebunden und für manche Abhängigkeit gibt es heute noch
keine fertige technische Lösung.
Der DSR-Manager begleitet diesen Weg über die Zeit, die er wirklich
braucht: Abhängigkeiten erfassen und bewerten, Maßnahmen erarbeiten oder ihre
Erarbeitung begleiten und die Wiederanlauffähigkeit im Blick behalten, bis Notfall- und
Krisenmanagement auf einem tragfähigen Niveau funktionieren.
Abhängigkeiten erfassen, bewerten und fortschreiben
Maßnahmen erarbeiten oder ihre Erarbeitung begleiten
Verträge und Anbieter im Blick behalten, damit Abhängigkeiten bei Verlängerungen
nicht unbemerkt wachsen
Wiederanlauffähigkeit im Blick behalten, bis Notfall- und Krisenmanagement im
Unternehmen selbst funktionieren
Einstieg über den Check
ab 1.500 € / Monat
Umfang nach Anzahl und Tiefe der betrachteten Abhängigkeiten.
Der Einstieg läuft immer über den
Souveränitäts- und Resilienz-Check. Dessen
Ergebnis ist die Grundlage der Begleitung, deshalb gibt es hier kein eigenes
Kickoff-Projekt.
Zur Laufzeit: Die Mindestlaufzeit beträgt zwölf Monate. Das ist kein
Bindungsinstrument, sondern eine Frage der Wirksamkeit. Souveränität hängt an Vertrags-
und Budgetzyklen, kürzer ist sie nicht herstellbar.
Warum ich eine Rolle übernehmen kann
Eine Rolle zu beraten und eine Rolle auszufüllen sind zwei verschiedene
Dinge. Ich habe das Zweite viermal getan, jeweils kommissarisch und jeweils in einem
laufenden Bereich.
4×kommissarisch eine Rolle übernommen, zweimal bei der Deutschen Telekom MMS, zweimal bei der Bundeswehr
90+Mitarbeitende im Führungskräfte-Tandem, an neun Standorten
10 Mio+Euro Umsatzverantwortung in Spitzenzeiten, rund 400 Projekte im Jahr
800+Personen im Verband, als Vertreter des IT-Offiziers bei der Bundeswehr
Die Rollen im Einzelnen: Head of Security Management, Consulting
und Culture, davor Head of Security Architecture, kommissarisch Head of Security Testing
und Leiter einer beim BSI akkreditierten Prüfstelle. Bei der Bundeswehr IT-Feldwebel,
dazu kommissarisch die Materialbewirtschaftung der Kompanie und die Führung des
Kompanietrupps mit Ausbildung und Lehrgangsplanung. Fachlich CISSP, Auditor ISMS
ISO/IEC 27001 und Information Security Officer.
Für wen das hier nichts ist
Wenn es beim Benennen bleiben soll. Eine benannte Person gehört zur Pflicht dazu und
ist der Kern der ersten Stufe. Wirksam wird sie aber erst, wenn sich im Laufe der
Zusammenarbeit auch etwas bewegt. Genau das ist der Anspruch und daran lasse ich
mich messen.
Wenn eine Empfehlung gesucht wird, aber niemand, der entscheidet und Verantwortung
übernimmt. Dann führt Beratung und Audit schneller zum
Ziel.
Wenn die Rolle bereits besetzt ist und es an Sicherheit in der Ausübung fehlt.
Dann ist Sparring der günstigere und bessere Weg. Das
gilt auch, wenn ein ISB oder CISO vorhanden ist und im Team jemand fehlt, der die
Umsetzung übernimmt.
Sie sind eine Kommune?
Für Städte, Gemeinden und Verbände gelten eigene Vorgaben, eigene Aufsichtswege und ein
eigenes Vergaberecht. Dafür gibt es ein gesondertes Angebot mit dem Beauftragten für
Informationssicherheit, einem Grundschutz-Check und einer Einschätzung zum
KI-Einsatz.
Mitbringen, was gerade drückt: die Frist, den Fragebogen, das offene Audit. Danach ist
geklärt, ob Interim, Überbrückung oder eine dauerhafte Besetzung die richtige Antwort
ist. Auch dann, wenn es keine davon ist.
.jpg)
.jpg)
.jpg)
.jpg)