Eine Sicherheitsrolle lässt sich auslagern. Die Verantwortung nicht

Warum ist die Rolle so schwer zu besetzen?

Weil es nicht um eine einzige Fachrichtung geht, sondern um die Schnittmenge mehrerer. Ein Manager für Cybersicherheit muss die Technik so gut verstehen, dass er Maßnahmen beurteilen kann, die Prozesse so gut, dass er sie einführen kann, und die Regulierung so gut, dass er gegenüber der Behörde besteht. Menschen, die all das mitbringen, gibt es auf dem Markt wenige, und ein Unternehmen, das einen solchen Menschen findet, braucht ihn in der Regel nicht in Vollzeit.

Daraus entsteht eine Falle: Die Pflicht ist unteilbar, die Arbeit aber fällt schubweise an. Sie erreicht ihren Höhepunkt bei der Einführung der Maßnahmen, beim Audit und bei einem Vorfall, dazwischen geht es vor allem um die Pflege.

Was macht diese Rolle eigentlich?

Vier verschiedene Aufgaben, die sich üblicherweise hinter einem Namen verbergen. Der Sicherheitsmanager leitet den Bereich: Er entscheidet über Maßnahmen, bearbeitet Vorfälle, verantwortet die Einhaltung der Vorschriften, spricht mit der Behörde und beruft den Ausschuss ein und setzt Schulungen an. Der Architekt blickt auf die Technik, also auf die ICT-Umgebung und die Netzwerke, schreibt Standards und ist meist bei Audits und Ausschreibungen dabei. Der Auditor sitzt auf der anderen Seite des Tisches: Er prüft, wie es um das Unternehmen tatsächlich steht, und führt es zur Zertifizierung nach ISO 27001. Der Datenschutzbeauftragte (DPO) ist für personenbezogene Daten zuständig, also für das Verzeichnis der Verarbeitungstätigkeiten und die Verträge mit denen, die mit den Daten arbeiten.

Welche davon Sie brauchen und in welchem Umfang, hängt davon ab, in welches Pflichtenregime Ihre Organisation fällt. Das ist übrigens der Grund, warum man nicht mit der Einstellung beginnen kann: Solange die Einstufung nicht klar ist, ist auch der Auftrag für diesen Menschen nicht klar.

Wie sieht die Auslagerung in der Praxis aus?

Als laufender Aufgabenbereich, nicht als Beratung. Governance bedeutet, dass die Rolle extern besetzt ist und beim Kunden Monat für Monat dasselbe erledigt wird, was ein Mitarbeiter tun würde: Erstellung oder Überarbeitung der gelenkten Dokumentation, Kommunikation mit NÚKIB, Organisation des Ausschusses für Cybersicherheit, Schulung von Mitarbeitenden und Lieferanten sowie Reporting an das Management.

Greifbar wird es an dem, was davon im Unternehmen bleibt:

• Eine Übersicht der Assets und ein Risikoregister, also ein Überblick darüber, was Sie eigentlich schützen und wovor.
• Eine Erklärung zur Anwendbarkeit: welche Maßnahmen umgesetzt sind, welche nicht und warum.
• Ein Aktionsplan zur Umsetzung mit der Reihenfolge der Schritte.
• Pläne zur Betriebskontinuität und Wiederherstellung für den Fall, dass etwas passiert.
• Die Aufzeichnungen des Managers für Cybersicherheit, mit denen bei einer Kontrolle nachgewiesen wird, dass der Aufgabenbereich tatsächlich betreut wird.

Diese Dokumente bleiben Ihnen auch dann, wenn der Dienstleister wechselt. Genau deshalb lohnt es sich, bei der Auswahl nach ihnen zu fragen, bevor es um den Stundensatz geht.

Was lässt sich nicht auslagern?

Die Verantwortung. Die gesetzlichen Pflichten bleiben bei Ihrer Organisation, wer auch immer sie tatsächlich erfüllt. Die Auslagerung der Rolle überträgt das Risiko also nicht auf den Dienstleister. Sie ist ein Weg, die Arbeit erledigt zu bekommen, nicht ein Weg, sie loszuwerden.

Auch das Wissen über Ihren Betrieb lässt sich nicht auslagern. Ein externer Sicherheitsmanager weiß, wie es sein sollte, aber was im Unternehmen tatsächlich läuft, erfährt er nur von Ihren Leuten. Unternehmen, bei denen das nicht funktioniert, haben meist gemeinsam, dass intern niemand Zeit für die Zusammenarbeit hat, und die Dokumentation beschreibt dann eine Umgebung, die nur auf dem Papier existiert.

Was sollten Sie fragen, bevor Sie die Rolle auslagern?

Nach vier Dingen, und keines davon ist der Stundensatz. Wer genau die Rolle bei uns führt und ob wir diesen Menschen zu sehen bekommen oder nur den Firmennamen. Wer ihn vertritt, wenn er nicht erreichbar ist, denn ein Vorfall nimmt keine Rücksicht auf den Urlaub. Mit wie vielen Tagen im Monat gerechnet wird, damit der Aufgabenbereich nicht an fehlender Kapazität hängen bleibt. Und was von der Zusammenarbeit uns bleibt, also ob die Dokumentation bei uns entsteht oder in der Vorlage des Dienstleisters, die er nach dem Ende der Zusammenarbeit mitnimmt.

Die fünfte Frage ist unangenehm, und es lohnt sich, sie zu stellen: Was passiert, wenn Ihre Geschäftsleitung anders entscheidet, als die Rolle empfiehlt? Eine gute Antwort lautet, dass sowohl die Empfehlung als auch die Entscheidung festgehalten werden. Genau darin unterscheidet sich eine Rolle, die die Verantwortung für die Ausführung trägt, von einem Berater, der die Verantwortung für eine Meinung trägt.

Wann ist eine Einstellung sinnvoller?

Wenn der Aufgabenbereich so groß ist, dass die externe Rolle ohnehin in Vollzeit laufen würde, oder wenn die Umgebung so speziell ist, dass jemand jeden Tag darauf schauen muss. Typischerweise größere Organisationen mit eigener IT-Abteilung, in denen der Sicherheitsmanager nicht der Einzige ist, der sich mit dem Thema auskennt.

Der dritte Fall ist ein Unternehmen, das schon einmal eine externe Rolle hatte und am Ende mit einer Dokumentation dastand, die eine fremde Umgebung beschreibt. Da hilft kein Wechsel des Dienstleisters: Zuerst muss intern festgelegt werden, wer für das Unternehmen die Fragen dazu beantwortet, was darin tatsächlich läuft.

Am häufigsten ist eine Kombination: ein eigener Mitarbeiter für den Betrieb und eine externe Rolle für Compliance, Audits und den Umgang mit der Behörde. Wie dieser Umgang aussieht und welche Fristen dabei laufen, erläutert der Artikel über das Cybersicherheitsgesetz; die Auslagerung von Rollen und Governance bietet Securent, die Überwachung der Infrastruktur und der Endgeräte übernehmen die ICT-Dienstleistungen.