vCISO: Ihr Chief Information Security Officer

Das hängt vom Umfang ab und wird vorher festgelegt — üblich sind feste Tage pro Monat plus Erreichbarkeit für Entscheidungen dazwischen. Ein vCISO, der auf dem Papier alles abdeckt und faktisch zwei Stunden im Monat da ist, hilft niemandem; wir schreiben den Umfang deshalb konkret in den Vertrag.

Er füllt die Rolle aus, solange eine eigene Stelle nicht besetzt ist oder sich nicht rechnet. Wächst das Haus, wird daraus oft die Einarbeitung der eigenen Besetzung. Wir bauen die Rolle so auf, dass sie übergebbar ist — das ist der Unterschied zu einer dauerhaften Abhängigkeit.

Der Geschäftsführung. Die Sicherheitsverantwortung selbst lässt sich nicht auslagern — sie bleibt bei Ihnen. Was ausgelagert wird, ist die fachliche Arbeit und die Entscheidungsvorbereitung, nicht die Haftung.

Der vCISO übernimmt die Koordination und die Kommunikation nach oben. Die technische Bewältigung läuft über Instant Response; beides greift ineinander, weil dieselben Leute die Umgebung bereits kennen.

Sobald es eine Nachweispflicht gibt oder ein Kunde einen Ansprechpartner für Sicherheit sehen will — das trifft heute schon deutlich kleinere Häuser als noch vor wenigen Jahren. Unter dieser Schwelle raten wir eher zu einzelnen Bausteinen als zu einer Rolle, die niemand auslastet.