Die CISO-Amtszeit ist auf unter zwei Jahre gefallen

Die durchschnittliche Verweildauer von Chief Information Security Officers, also von Personen mit Gesamtverantwortung für die Informationssicherheit, liegt europaweit nur noch zwischen 18 und 26 Monaten. Das ist deutlich kürzer als bei den meisten anderen Positionen der Geschäftsleitung. Der CISO Pressure Index der Sicherheitsfirma Nagomi zeigt, dass 80 Prozent der befragten Sicherheitsverantwortlichen unter hohem oder extremem täglichem Druck stehen. Rund 67 Prozent berichten von wöchentlichen oder täglichen Burnout-Symptomen. Fast 40 Prozent haben erwogen, den Berufsstand ganz zu verlassen. Das ist keine reine Personalfrage. Es ist ein Sicherheitsrisiko.

Warum eine kurze Amtszeit zum Kontrollproblem wird

Wenn eine Sicherheitsführung alle zwei Jahre wechselt, verliert die Organisation jedes Mal institutionelles Wissen. Eine Untersuchung von Heidrick und Struggles fand, dass fast die Hälfte der befragten Organisationen keinen geeigneten internen Nachfolger für den CISO bereithält. Das Ergebnis ist nicht nur ein Führungswechsel, sondern eine Instabilität, die sich durch Programme, Teams und die gesamte Risikolage zieht. Entscheidungen verzögern sich, Projekte werden verschoben, und Sicherheit wird im Übergang schnell zur Nebensache. Wo Prozesse nicht dokumentiert sind, verschwindet das Wissen mit der Person.

Was die Fluktuation wirklich kostet

Die direkten Kosten eines ungeplanten CISO-Wechsels werden in der Praxis auf mehrere Hunderttausend Franken geschätzt, bevor ein einziger Sicherheitsvorfall eintritt. Dazu kommen Einarbeitungszeit, in der eine Übergangslösung erst auf Stand kommen muss, sowie Onboarding und Transition. Die versteckten Kosten sind oft grösser als die sichtbaren: verlorenes institutionelles Wissen, aufgeschobene Entscheidungen und im schlechtesten Fall höhere Prämien oder eine Ablehnung durch die Cyberversicherung, wenn die Führung als instabil bewertet wird.

Die Interim-Lektion

Hier liegt der eigentliche Punkt, und er ist unbequem für viele Organisationen. Die Antwort auf eine instabile Sicherheitsführung ist nicht, den nächsten CISO länger unter Druck zu halten. Die Antwort ist, das Sicherheitsprogramm so zu bauen, dass es einen Personenwechsel übersteht. Das heisst: dokumentierte Entscheidungen statt Wissen in Köpfen, eine klare Nachfolgeplanung und eine ehrliche Bewertung, ob die Rolle mit Verantwortung ohne entsprechende Autorität überhaupt tragbar ist. Genau an dieser Stelle ist ein Interim- oder Übergangs-CISO kein Notnagel, sondern ein bewusstes Instrument. Er stabilisiert, dokumentiert und übergibt ein Programm, das nicht an einer einzelnen Person hängt.

Was Sie jetzt tun sollten

Prüfen Sie zwei Dinge. Erstens, ob Ihr Sicherheitsprogramm einen sofortigen Ausfall der Führung 90 Tage überstehen würde, ohne dass kritische Entscheidungen liegen bleiben. Zweitens, ob es einen benannten Nachfolger oder eine definierte Übergangslösung gibt, nicht nur einen Namen auf einer Folie. Wenn eine der beiden Antworten Nein lautet, ist die Amtszeit Ihres CISO nicht das eigentliche Problem. Das eigentliche Problem ist, dass Ihr Programm von einer Person abhängt.