Ich würde Cybersicherheit auf Entscheidungen ausrichten, die oft zwischen Bereichen stocken. Sicherheit kann Gefährdungen erkennen, Finanzen verfügt über Mittel, der Betrieb über das Änderungsfenster. Als CEO würde ich sie regelmäßig zusammenführen.
Die Runde
Ich würde die monatliche Runde mit CISO, Technik-, Finanz-, Betriebs- und betroffenen Geschäftsverantwortlichen leiten. Die Agenda: offene Zielkonflikte, gemeinsame Abhängigkeiten, Zusagen mit Eingriffsbedarf. Beauftragte erledigen Routineaufgaben; dringende Vorfälle hätten einen Weg zur sofortigen Reaktion.
Jeder Vorschlag bräuchte Entscheidungsfrist, Belege, machbare Optionen und deren Kapazitätsbedarf. Wer Ressourcen zusagen kann, müsste kommen oder befugte Vertreter schicken. Am Ende stünden ein benannter Entscheider und eine ausführbare Anweisung. Konsens wäre keine Vorbedingung.
Der Entscheidungsweg
Ich würde drei Fragen stellen. Reichen Befugnisse und Mittel eines Verantwortlichen aus? Zur Umsetzung zurückgeben. Müssen Teams mit konkurrierenden Anliegen ihre Prioritäten ändern? In der Führungsrunde entscheiden. Geht es über genehmigte Risikogrenzen hinaus oder um eine dem Aufsichtsgremium vorbehaltene Sache? Das Gremium entscheiden lassen; vorläufigen Schutz verantwortet die Geschäftsleitung.
Ich würde Kundenschäden, Verzögerungskosten, betriebliche Machbarkeit und Restgefährdung vergleichen. Fehlen Belege, möchte ich die konkrete Prüfung kennen, die die Wahl ändern könnte, und den letzten sicheren Entscheidungszeitpunkt. Frühere Fristen verlangen frühere Entscheidungen.
Die Aufsicht
NIST CSF 2.0 ordnet Strategie, Rollen, Richtlinien und Aufsicht der Funktion Govern zu. Daran würde ich unsere Strukturen prüfen; die monatliche Runde ist mein Umsetzungsvorschlag.
Das Gremium sollte auf meine Bitte strategische Risikogrenzen genehmigen und die Leitung an ihnen messen. Die Leitung wählt Maßnahmen, verteilt Arbeit, verantwortet die Umsetzung. Das Gremium braucht wesentliche Abweichungen, offene Meinungsverschiedenheiten und Umsetzungsbelege. Der CISO bräuchte direkten Zugang zum Gremium, um meiner Darstellung zu widersprechen.
Hypothetisches Beispiel
Angenommen, Lohnabrechnung und Kundenabrechnung brauchen dieselben Ingenieure, um privilegierte Zugriffe zu trennen. Beide beanspruchen Vorrang. Mit den Verantwortlichen würde ich nächste Zahlungspflichten, gefährdete Rechte und machbare Übergangsbeschränkungen vergleichen. Die Runde könnte das erste Änderungsfenster der Lohnabrechnung geben und Abrechnungszugriffe bis zu deren Fenster begrenzen. Finanzen müsste die Arbeitslast akzeptieren. Überschritte dies eine genehmigte Grenze, würde ich vorher das Gremium einschalten.
Die Nachverfolgung
Beim nächsten Termin würde ich Finanzierung, Zeitplan und Schutzwirkung prüfen. Eine nicht erfüllte Abhängigkeit eröffnet die Zuteilung neu. Ich würde prüfen, ob Befugte Konflikte entscheiden, bevor Fristen das Ergebnis diktieren, und ob das Gremium die Entscheidung bis zur Umsetzung verfolgen kann.