Praxisorientierte Einordnung zu Interner oder externer CISO: Welches Modell passt zu welchem Unternehmen?: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für Externer CISO aufbauen.
Die Wahl zwischen internem und externem CISO ist keine Grundsatzfrage über bessere oder schlechtere Sicherheitsführung. Beide Modelle können wirksam sein, wenn Mandat, Kapazität und Umfeld zusammenpassen. Ein interner CISO bietet hohe organisatorische Nähe und dauerhafte Verfügbarkeit. Ein externer CISO kann Erfahrung flexibel bereitstellen und einen unabhängigen Blick einbringen. Ein hybrides Modell kombiniert interne Verankerung mit externer Führung oder Spezialkompetenz.
Die richtige Entscheidung entsteht nicht aus Mitarbeiterzahl allein. Relevanter sind täglicher Steuerungsbedarf, Regulierung, Technologiekomplexität, Veränderungstempo, interne Fähigkeiten und Krisenanforderungen. Dieser Vergleich bewertet die Modelle entlang konkreter Entscheidungskriterien und zeigt typische Zielbilder für unterschiedliche Unternehmenssituationen.
Was in jedem Modell gleich bleiben muss
Unabhängig von der Besetzung bleibt die Organisationsleitung für Cyberrisiken verantwortlich. NIST CSF 2.0 ordnet der Funktion Govern klare Rollen, Risikostrategie, Richtlinien, Aufsicht und ausreichende Ressourcen zu. Der CISO schafft dafür Transparenz und Steuerung, übernimmt aber nicht die Geschäftsverantwortung der Leitung.
Jedes Modell benötigt daher ein schriftliches Mandat, direkten Zugang zur zuständigen Leitung, Informationsrechte, Eskalationsbefugnis und klare Schnittstellen zur IT. Auch Risikoakzeptanz, Vorfallrollen und Wirksamkeitsprüfung müssen festgelegt sein. Ohne diese Grundlagen löst eine interne Vollzeitstelle ebenso wenig wie ein renommierter externer Anbieter.
Ebenso bleibt Umsetzung verteilt. Systemverantwortliche, Fachbereiche, HR, Einkauf und Entwicklung tragen ihre Kontrollen. Der CISO koordiniert, priorisiert und überwacht. Wenn die Rolle sämtliche operativen Tickets übernimmt, verliert sie in jedem Betriebsmodell ihre Führungswirkung.
Modell 1: der interne CISO
Ein interner CISO ist Teil der Organisation und führt die Sicherheitsfunktion dauerhaft. Das Modell eignet sich besonders, wenn tägliche Abstimmung, zahlreiche Projekte und komplexe Stakeholder eine kontinuierliche Präsenz erfordern. Branchenwissen und informelle Netzwerke können über Zeit sehr stark werden.
Stärken: unmittelbarer Kontextzugang, schnelle interne Kommunikation, tiefe Kenntnis von Entscheidungswegen, langfristiger Kompetenzaufbau und hohe Sichtbarkeit. Ein interner CISO kann kulturelle Veränderungen über Jahre begleiten und Nachwuchskräfte entwickeln.
Grenzen: Rekrutierung qualifizierter Führungskräfte kann lange dauern. Eine einzelne Person deckt nicht jede Spezialdisziplin ab und benötigt weiterhin externe Expertise. In politisch schwierigen Umgebungen kann organisatorische Nähe die unabhängige Eskalation erschweren. Bei kleinen Unternehmen besteht das Risiko, dass die Rolle nicht voll ausgelastet oder mit operativen Aufgaben überfrachtet wird.
Voraussetzung: ausreichender dauerhafter Scope, Team oder Umsetzungsressourcen, angemessene Positionierung und Budget. Eine hochqualifizierte Person ohne Unterstützung und Entscheidungszugang ist keine vollwertige Sicherheitsfunktion.
Modell 2: der externe CISO
Ein externer CISO übernimmt die Steuerungsfunktion auf vertraglicher Basis mit einem festgelegten Kontingent oder Leistungsmodell. Er kann kurzfristig starten und Erfahrung aus verschiedenen Organisationen einbringen. Das Modell passt häufig zu mittelständischen Unternehmen, die eine erfahrene Führung benötigen, aber noch keinen dauerhaften Vollzeitbedarf haben.
Stärken: flexible Kapazität, schneller Zugang zu Erfahrung, unabhängige Perspektive, Vertretungsmöglichkeiten durch ein Team und Verbindung zu Spezialisten. Aufbauphasen und Transformationsprogramme lassen sich zeitweise mit höherem Umfang begleiten.
Grenzen: geringere informelle Präsenz, Abhängigkeit von guter interner Zuarbeit und mögliche Kontextverluste bei zu kleinem Kontingent. Wenn Dokumente und Wissen extern bleiben, entsteht Anbieterabhängigkeit. Vertragliche Reaktionszeiten ersetzen keine automatisch verfügbare Krisenbereitschaft.
Voraussetzung: interner Sponsor, feste Ansprechpartner, klarer Zugang und ein realistisches Mandat. Der Anbieter muss Wissen in Unternehmenssystemen dokumentieren und einen transparenten Exit ermöglichen.
Modell 3: hybride Sicherheitsführung
Hybrid bedeutet nicht einfach „intern plus ein paar Beratungstage“. Rollen werden bewusst verteilt. Ein interner Security Manager kann tägliche Koordination und Unternehmenswissen tragen, während ein externer CISO Strategie, Managementreporting und unabhängige Eskalation übernimmt. Alternativ führt ein interner CISO die Funktion und nutzt externe Spezialisten für OT, Cloud, Regulierung oder Krisenvorsorge.
Stärken: hohe interne Verankerung, flexible Expertise, Vertretung und gezielter Kompetenzaufbau. Das Modell kann ein Übergang zu einer späteren internen CISO-Rolle sein.
Grenzen: Unklare Doppelzuständigkeiten können Entscheidungen verlangsamen. Mitarbeitende wissen dann nicht, wer Prioritäten setzt oder Risiken berichtet. Das hybride Modell benötigt deshalb besonders präzise Verantwortungen und einen gemeinsamen Arbeitsrhythmus.
Voraussetzung: eine Person ist eindeutig für die CISO-Funktion verantwortlich; externe und interne Rollen teilen nicht dieselbe Entscheidung. Wissenstransfer besitzt messbare Ziele.
Entscheidungskriterium 1: täglicher Steuerungsbedarf
Viele parallele Projekte, internationale Standorte, komplexe Produkte oder häufige Kundenanforderungen erzeugen kontinuierliche Abstimmung. Wenn der CISO täglich Architektur-, Risiko- und Führungsentscheidungen begleiten muss, spricht das für eine interne Vollzeitrolle mit Team.
Bei stabiler Umgebung und planbarem Governance-Zyklus kann ein externer CISO ausreichend sein. Er arbeitet beispielsweise an festen Tagen, nimmt an definierten Gremien teil und ist für Eskalationen erreichbar. Entscheidend ist nicht Anwesenheit, sondern ob Entscheidungen rechtzeitig vorbereitet werden.
Ein hybrides Modell eignet sich, wenn tägliche Koordination intern erfolgt, strategische Führung und Managementkommunikation aber zusätzliche Erfahrung benötigen.
Entscheidungskriterium 2: Reifegrad und Aufbauphase
In einer frühen Aufbauphase kann externe Erfahrung die Reihenfolge beschleunigen. Ein externer CISO kennt typische Abhängigkeiten, entwickelt in kurzer Zeit Governance und Roadmap und vermeidet unnötige Toolprojekte. Der Aufwand ist anfangs hoch und sinkt mit stabilen Routinen.
Bei reifem Programm mit großem internen Team ist dauerhafte interne Führung meist sinnvoller. Der CISO steuert kontinuierliche Verbesserung, Talententwicklung und langfristige Transformation. Externe Unterstützung konzentriert sich dann auf unabhängige Reviews und Spezialthemen.
Der Übergang sollte geplant sein. Wenn ein externes Mandat interne Besetzung vorbereiten soll, gehören Stellenprofil, Wissensübergabe und gemeinsamer Zeitraum in die Vereinbarung.
Entscheidungskriterium 3: Regulierung und Stakeholder
Stark regulierte oder international tätige Unternehmen benötigen häufig umfangreiche Gremienarbeit, Behördenkontakt und permanente Nachweisführung. Das kann eine interne Rolle rechtfertigen. Entscheidend ist jedoch die tatsächliche Komplexität, nicht das bloße Vorhandensein einer Norm.
Ein mittelständisches Unternehmen mit NIS2-, ISO- und Kundenanforderungen kann von einem externen CISO profitieren, wenn erfahrene Einordnung fehlt und Anforderungen in ein gemeinsames ISMS überführt werden sollen. Der Anbieter sollte die jeweilige Branche verstehen und aktuelle Rechtsentwicklung sauber von bewährter Praxis trennen.
Entscheidungskriterium 4: Unabhängigkeit und Berichtslinie
Ein interner CISO kann unabhängig berichten, wenn seine organisatorische Position und Unternehmenskultur das ermöglichen. Eine Rolle tief innerhalb des IT-Betriebs kann jedoch Zielkonflikte erzeugen: Dieselbe Linie entscheidet über Termine, betreibt Kontrollen und bewertet deren Risiko.
Ein externer CISO bringt Distanz mit, ist aber wirtschaftlich ebenfalls abhängig. Sein Vertrag muss direkte Eskalation erlauben und darf Vergütung nicht allein an „keine Findings“ oder Zertifikatserfolg knüpfen. In beiden Modellen helfen dokumentierte Risikoakzeptanz und unabhängige Audits.
Entscheidungskriterium 5: Krisenfähigkeit
Interne Rollen kennen Systeme, Personen und Geschäftsabläufe meist besser und können schneller vor Ort sein. Eine einzelne Person ist jedoch nicht rund um die Uhr verfügbar. Urlaub, Krankheit oder parallele Krise machen Vertretung notwendig.
Ein externer Anbieter kann ein Team und klar geregelte Bereitschaft anbieten. Diese Leistung muss ausdrücklich vereinbart und geübt sein. Das normale Monatskontingent beinhaltet nicht automatisch sofortige Incident Response oder Forensik.
Das beste Krisenmodell kombiniert interne Entscheidungsverantwortung mit erreichbarer fachlicher Unterstützung und vorab beauftragten Spezialisten. Die Rollen werden in Übungen getestet.
Entscheidungskriterium 6: Kosten richtig vergleichen
Ein sinnvoller Vergleich betrachtet Gesamtkosten und verfügbare Leistung. Bei einer internen Rolle gehören Gehalt, Nebenkosten, Recruiting, Weiterbildung, Vertretung, Spezialisten und Team dazu. Beim externen Modell zählen Kontingent, Zusatzleistungen, Reise, Krisenbereitschaft und interne Koordinationszeit.
Ein niedriger externer Umfang ist nur günstiger, wenn er die erwartete Aufgabe erfüllen kann. Werden strategische Themen ständig verschoben oder entstehen teure Einzelprojekte ohne Steuerung, ist der Vergleich verzerrt. Ebenso sollte eine interne Führungskraft nicht als Alleskönner für Audit, Architektur, Forensik und operative Administration kalkuliert werden.
Entscheidend ist der Preis pro erreichtem Governance-Ergebnis: bestätigte Risiken, schnellere Entscheidungen, wirksame Kontrollen und reduzierte Abhängigkeit.
Vier typische Unternehmensprofile
Wachsender Mittelständler mit 300 Beschäftigten
Cloud-Nutzung und Kundenanforderungen steigen, eine IT-Leitung ist vorhanden, aber keine Security-Governance. Ein externer CISO mit internem Koordinator ist häufig passend. Nach Aufbau kann der Umfang sinken oder in eine interne Rolle übergehen.
Internationaler Hersteller mit mehreren Werken
OT, Produktsecurity, Lieferkette und regulatorische Anforderungen erzeugen täglichen Steuerungsbedarf. Ein interner CISO mit Team und ergänzender externer OT- oder Compliance-Expertise ist meist belastbarer.
Technologieunternehmen vor Zertifizierung und Wachstum
Die Organisation benötigt schnell ein ISMS, Kundenkommunikation und sichere Entwicklungsgovernance, aber noch keine Vollzeitführung. Ein externer CISO kann die Aufbauphase leiten; interne Product-Security- und Engineering-Verantwortliche bleiben operativ zuständig.
Unternehmen mit bestehendem Security Manager
Die interne Person kennt den Betrieb, hat aber wenig Managementerfahrung oder keine unabhängige Berichtslinie. Ein hybrides Modell mit externem CISO und klarer Entwicklungsplanung kann sinnvoll sein. Doppelspitzen ohne klare Verantwortung sollten vermieden werden.
Bewertungsmatrix für die Geschäftsleitung
Bewerten Sie jedes Kriterium von 1 bis 5: täglicher Abstimmungsbedarf, Zahl kritischer Projekte, regulatorische Komplexität, internationale Reichweite, Bedarf an Vor-Ort-Präsenz, vorhandene interne Security-Kompetenz, notwendige Unabhängigkeit und Krisenerreichbarkeit. Ergänzen Sie den erwarteten Kapazitätsverlauf über drei Jahre.
Hohe und dauerhaft stabile Werte sprechen für interne Führung. Mittlere Werte mit starkem Aufbau- oder Transformationsbedarf sprechen für ein externes oder hybrides Modell. Niedrige Governance-Werte bei einem einzelnen Fachprojekt sprechen eher für Projektberatung als für eine CISO-Rolle.
Die Matrix ist eine Entscheidungshilfe, kein Automatismus. Unternehmenskultur, Verfügbarkeit geeigneter Personen und Zeitdruck können das Ergebnis verändern. Die Begründung sollte dokumentiert und nach zwölf Monaten überprüft werden.
Vertrags- und Stellenprofil müssen dieselben Fragen beantworten
- Welcher organisatorische und technische Scope gilt?
- An wen berichtet die Rolle und wie oft?
- Welche Informationen und Gremien sind zugänglich?
- Wer akzeptiert Risiken und genehmigt Ausnahmen?
- Welche operativen Aufgaben gehören ausdrücklich nicht zur Rolle?
- Wie funktionieren Vertretung, Krise und Eskalation?
- Welche Ergebnisse werden in 100 Tagen und zwölf Monaten erwartet?
- Wie werden Leistung, Wissenstransfer und Wirksamkeit gemessen?
Wenn diese Fragen in einer internen Stellenbeschreibung nicht beantwortet sind, hilft auch eine erfolgreiche Besetzung wenig. Wenn sie im externen Vertrag fehlen, entstehen Nachträge, Reibung und enttäuschte Erwartungen.
Fazit: Das Modell muss zum dauerhaften Steuerungsbedarf passen
Interne, externe und hybride CISO-Modelle sind Werkzeuge für unterschiedliche Situationen. Ein interner CISO eignet sich bei hohem kontinuierlichem Führungsbedarf und ausreichender Teamstruktur. Ein externer CISO schafft schnell erfahrene Governance bei flexiblem Umfang. Das hybride Modell verbindet Nähe und Spezialkompetenz, benötigt aber besonders klare Rollen. Entscheidend bleibt ein starkes Mandat und die Bereitschaft der Geschäftsleitung, Cyberrisiken aktiv zu steuern.
BlackMount unterstützt Unternehmen bei der Auswahl und Ausgestaltung eines passenden CISO-Betriebsmodells. Weitere Informationen finden Sie unter Externer CISO.
