Ein guter Bericht für die Geschäftsleitung zeigt nicht alles, was im Bereich der Cybersicherheit geschieht. Er konzentriert sich auf die Informationen, die die Geschäftsleitung benötigt, um Risiken zu steuern und fundierte Entscheidungen zu treffen.
Cybersicherheit ist nicht nur ein technisches Thema. Der Ausfall eines wichtigen Systems, ein Sicherheitsvorfall, Probleme bei einem Lieferanten oder die Nichterfüllung einer Verpflichtung können den Betrieb der gesamten Organisation beeinträchtigen. Die Aufgabe des CISO besteht daher darin, der Geschäftsleitung zu erläutern, welche Auswirkungen Cybersicherheitsrisiken auf die Organisation haben und wo Entscheidungen der Geschäftsleitung erforderlich sind.
Für Organisationen, die den Anforderungen der NIS2-Richtlinie unterliegen, hat diese Kommunikation auch einen regulatorischen Hintergrund. NIS2 stärkt die Rolle der Leitungsorgane beim Management von Cybersicherheitsrisiken. Die Geschäftsleitung muss Maßnahmen zum Management dieser Risiken genehmigen und deren Umsetzung überwachen. Die Leitungsorgane tragen zudem Verantwortung für die Überwachung des Cybersicherheitsrisikomanagements, und ihre Mitglieder sind verpflichtet, entsprechende Schulungen zu absolvieren. Deshalb benötigt die Geschäftsleitung verständliche und aktuelle Informationen als Grundlage für ihre Entscheidungen.
Regelmäßiges Reporting und Situationen, die nicht warten können
Die Kommunikation zwischen CISO und Geschäftsleitung erfolgt in der Regel auf zwei Ebenen.
Das regelmäßige Management-Reporting kann beispielsweise monatlich oder vierteljährlich stattfinden, abhängig von den Anforderungen der Organisation. Es bietet einen kompakten Überblick über den aktuellen Stand und die Entwicklung der Cybersicherheitsrisiken, bedeutende Sicherheitsvorfälle, die Umsetzung von Sicherheitsmaßnahmen, die Einhaltung von Vorschriften (Compliance), die Vorbereitung auf Betriebsunterbrechungen und weitere entscheidungsrelevante Bereiche.
Die zweite Ebene ist die anlassbezogene Eskalation. Bei einem schwerwiegenden Sicherheitsvorfall, einem neu identifizierten kritischen Risiko oder einer bedeutenden Schwachstelle, einem ernsthaften Problem mit einem wichtigen Lieferanten oder einer Situation, die eine sofortige Entscheidung erfordert, darf nicht bis zum nächsten regulären Bericht gewartet werden.
Organisationen sollten daher klar festlegen, welche Situationen bei welchem Schweregrad an wen eskaliert werden müssen. Organisationen, die den geltenden Cybersicherheitsvorschriften unterliegen, müssen außerdem die gesetzlichen Meldefristen für erhebliche Sicherheitsvorfälle berücksichtigen. Interne Eskalationsverfahren müssen so gestaltet sein, dass diese Fristen eingehalten werden können.
Regelmäßiges Reporting verschafft der Geschäftsleitung einen Überblick. Die anlassbezogene Eskalation ermöglicht rechtzeitiges Handeln.
Was sollte die Geschäftsleitung regelmäßig wissen?
Die konkreten Inhalte des Reportings hängen von der Größe und Art der Organisation, ihren Risiken, Verpflichtungen und ihrer Führungsstruktur ab.
1. Was sind unsere größten Risiken?
Die Geschäftsleitung muss nicht das gesamte Risikoregister durchgehen. Sie sollte jedoch die Risiken kennen, die erhebliche Auswirkungen auf Dienstleistungen, Betriebsabläufe, Daten, Finanzen, Kunden, Nutzer oder die Erfüllung organisatorischer Verpflichtungen haben können.
Der CISO sollte insbesondere auf neue und zunehmende Risiken, wesentliche Veränderungen sowie Risiken hinweisen, die weitere Maßnahmen oder eine Entscheidung der Geschäftsleitung erfordern.
Entscheidend ist der Kontext. Die Information „Auf einem Server wurde eine kritische Schwachstelle identifiziert“ ist für die Geschäftsleitung weniger aussagekräftig als die Erklärung: „Die Schwachstelle betrifft ein System, das einen unserer wichtigsten Dienste unterstützt. Ihre Ausnutzung könnte zu einem Ausfall dieses Dienstes führen.“
Der CISO sollte erläutern, welche Bedeutung ein Risiko für die Organisation hat, wie hoch das aktuelle Risikoniveau ist, welche bestehenden Maßnahmen es bereits reduzieren und welche Verbesserung durch zusätzliche Maßnahmen zu erwarten ist.
2. Was unternehmen wir gegen diese Risiken?
Die bloße Identifizierung eines Risikos reicht nicht aus. Die Geschäftsleitung muss wissen, wie die Organisation damit umgeht: Welche Maßnahmen wurden bereits umgesetzt, welche sind geplant, wo gibt es Verzögerungen und wo fehlen Ressourcen oder klare Zuständigkeiten?
Eine einfache Verknüpfung ist besonders hilfreich:
Risiko → Maßnahme → Verantwortliche Person → Frist → Status
Bei geplanten Maßnahmen können auch die voraussichtlichen Kosten und die erwartete Risikoreduzierung wichtige Informationen sein.
3. Erfüllen wir unsere Verpflichtungen?
Organisationen können Verpflichtungen aus Gesetzen, Verträgen, internen Richtlinien oder angewandten Standards haben.
Die Geschäftsleitung muss nicht jede einzelne Anforderung prüfen. Sie sollte jedoch wissen, wo wesentliche Compliance-Lücken bestehen, welche Korrekturmaßnahmen noch offen sind und ob die Nichterfüllung wichtiger Verpflichtungen droht.
Der Bericht kann auch bedeutende Feststellungen aus Audits, den Stand ihrer Behebung, bevorstehende Prüfungen oder Sicherheitsverpflichtungen gegenüber Kunden und Partnern enthalten.
Entscheidend ist nicht die Anzahl unerfüllter Anforderungen, sondern deren Bedeutung und mögliche Folgen.
4. Ist etwas Bedeutendes passiert?
Ein regelmäßiger Bericht sollte wesentliche Sicherheitsvorfälle im Berichtszeitraum erfassen, insbesondere deren Auswirkungen, die Art ihrer Bewältigung und die daraus abgeleiteten Maßnahmen.
Allerdings gehört nicht jede blockierte E-Mail, jeder fehlgeschlagene Anmeldeversuch oder jedes Sicherheitsereignis auf den Tisch der Geschäftsleitung.
Die Geschäftsleitung muss vor allem die Auswirkungen eines Vorfalls, den aktuellen Bearbeitungsstand und die Maßnahmen zur Verringerung des Wiederholungsrisikos kennen. Ein schwerwiegender Vorfall muss jedoch unverzüglich eskaliert werden.
5. Können wir auch bei einem Ausfall weiterarbeiten?
Die Geschäftsleitung sollte wissen, welche Dienstleistungen und Prozesse für die Organisation besonders wichtig sind, wie lange diese ausfallen dürfen, ob geeignete Datensicherungen und Wiederherstellungsverfahren vorhanden sind und ob Pläne zur Aufrechterhaltung des Geschäftsbetriebs bestehen.
Ebenso wichtig ist, ob die Wiederherstellungs- und Kontinuitätsverfahren getestet wurden und ob dabei Probleme festgestellt wurden, die noch behoben werden müssen.
6. Sind unsere Sicherheitsmaßnahmen wirksam?
Kennzahlen sind dann sinnvoll, wenn sie helfen, den Sicherheitsstatus der Organisation oder seine Entwicklung zu verstehen.
Die Geschäftsleitung muss in der Regel nicht wissen, wie viele Tausend Ereignisse eine Firewall oder eine Antivirensoftware erkannt hat. Wichtiger kann sein, ob kritische Schwachstellen innerhalb der festgelegten Fristen behoben werden, wie effektiv die Organisation Sicherheitsvorfälle bewältigt oder ob bestimmte Probleme wiederholt auftreten.
Statt lediglich zu berichten, dass „die Firewall Tausende von Angriffsversuchen blockiert hat“, kann es für die Geschäftsleitung hilfreicher sein zu erfahren, dass kritische Schwachstellen in Systemen, die wichtige Dienste unterstützen, nicht innerhalb der vorgesehenen Fristen behoben werden und einige weiterhin bestehen.
Ebenso bedeutet die Information, dass alle Beschäftigten eine Cybersicherheitsschulung absolviert haben, nicht automatisch, dass sie angemessen auf Phishing oder andere Bedrohungen reagieren können.
Sinnvoll ist es, Kennzahlen zu verfolgen, die mit den konkreten Risiken der Organisation zusammenhängen und eine Bewertung der Wirksamkeit getroffener Sicherheitsmaßnahmen ermöglichen.
7. Verfügen wir über ausreichend Personal und Ressourcen für die Cybersicherheit?
Das Reporting kann auch den Fortschritt wichtiger Sicherheitsaktivitäten, verfügbare personelle Kapazitäten, Budgets und den Bedarf an zusätzlichen Investitionen umfassen.
Der CISO sollte nicht nur erklären können, was angeschafft oder eingeführt werden soll, sondern vor allem, welches Risiko dadurch adressiert wird und welche Folgen es haben könnte, wenn die vorgeschlagene Maßnahme nicht umgesetzt wird.
8. Welche Entscheidungen benötigen wir von der Geschäftsleitung?
Einer der wichtigsten Teile des Management-Reportings kann zugleich der kürzeste sein.
Ein CISO kann Probleme identifizieren und Lösungen vorschlagen, aber nicht alle Entscheidungen fallen in seinen Zuständigkeitsbereich.
Es kann erforderlich sein, eine Investition zu genehmigen, Prioritäten festzulegen, Ressourcen bereitzustellen, über die Abschaltung eines Dienstes zu entscheiden oder ein bestimmtes Risiko bewusst zu akzeptieren.
Deshalb sollte der Bericht klar zwischen Informationen zur Kenntnisnahme und Angelegenheiten unterscheiden, die eine Entscheidung der Geschäftsleitung erfordern.
Entscheidungen der Geschäftsleitung, insbesondere zur Risikoakzeptanz, sollten dokumentiert werden: Wer hat wann und auf Grundlage welcher Informationen entschieden?
Diese Dokumentation kann bei Audits und bei der späteren Untersuchung von Sicherheitsvorfällen von großer Bedeutung sein.
Was gehört nicht in einen Bericht für die Geschäftsleitung?
- Unaufbereitete technische Daten ohne Erklärung ihrer Auswirkungen – Ereigniszahlen, Protokolldaten oder Ergebnisse von Schwachstellenscans.
- Das vollständige Risikoregister oder eine umfassende Liste aller Anforderungen – die Geschäftsleitung benötigt eine Auswahl der wichtigsten Informationen.
- Fachjargon und unerklärte Abkürzungen, die das Verständnis erschweren.
- Probleme ohne Lösungsvorschlag oder ohne klare Angabe, worüber die Geschäftsleitung entscheiden soll.
Diese Informationen haben ihren Platz in der täglichen Arbeit des CISO und der IT-Teams. Der Geschäftsleitung sollten sie dann vorgelegt werden, wenn daraus wichtige Erkenntnisse oder Entscheidungsbedarfe entstehen.
Management-Reporting muss nicht überall gleich aussehen
In einem großen Unternehmen kann der CISO einen formellen Bericht für den Vorstand erstellen und einem festen Präsentationsplan folgen.
In einem kleinen oder mittleren Unternehmen (KMU), einer Gemeinde, einer Schule oder einer kleineren öffentlichen Einrichtung kann die Verantwortung für Cybersicherheit bei einem internen Mitarbeiter liegen, der zusätzlich andere Aufgaben übernimmt, oder bei einem externen Spezialisten.
Das Reporting kann daher einfacher gestaltet sein – beispielsweise als kompakte Übersicht, Dashboard oder regelmäßiges Gespräch mit der Geschäftsleitung.
Auch die Prioritäten unterscheiden sich. Für ein Produktionsunternehmen können die Verfügbarkeit der Produktion und die Abhängigkeit von Lieferanten entscheidend sein. Für eine Gemeinde steht möglicherweise die Kontinuität öffentlicher Dienstleistungen im Vordergrund, während für eine Schule die Verfügbarkeit von Informationssystemen und der Schutz personenbezogener Daten besonders wichtig sind.
Es gibt keine allgemeingültige Reporting-Frequenz. Entscheidend sind Regelmäßigkeit und die klare Regel, dass wesentliche Veränderungen nicht bis zum nächsten geplanten Bericht warten dürfen.
Wie könnte ein kompakter Bericht für die Geschäftsleitung aussehen?
Auch eine einseitige Übersicht kann hilfreich sein, wenn sie die entscheidungsrelevanten Informationen enthält:
- Wichtigste Risiken – was aktuell besonders relevant ist und was sich seit dem letzten Bericht verändert hat.
- Status zentraler Sicherheitsmaßnahmen – was abgeschlossen wurde, was läuft und wo Verzögerungen bestehen.
- Bedeutende Sicherheitsvorfälle – was passiert ist, welche Auswirkungen es gab und welche Maßnahmen daraus abgeleitet wurden.
- Compliance und Geschäftskontinuität – wesentliche Lücken, Feststellungen oder Veränderungen, über die die Geschäftsleitung informiert sein sollte.
- Entscheidungen der Geschäftsleitung – was genehmigt, priorisiert, mit Ressourcen ausgestattet oder bewusst als Risiko akzeptiert werden muss.
Dies ist keine universelle Vorlage. Umfang und Inhalt des Berichts sollten den Risiken und Anforderungen der jeweiligen Organisation entsprechen.
Tazilla als Informationsquelle für das Management-Reporting
Die Informationen, die ein CISO für die Kommunikation mit der Geschäftsleitung benötigt, stammen häufig aus unterschiedlichen Quellen.
Tazilla hilft Organisationen, diese Informationen in einer gemeinsamen Umgebung zu verwalten. Bei der Vorbereitung des Management-Reportings kann der CISO auf Informationen zu Dienstleistungen und Assets, Risiken und Sicherheitsmaßnahmen, Compliance, Sicherheitsvorfällen und weiteren Registern, Business Continuity Management sowie Mitarbeiterschulungen zurückgreifen.
Ein konkretes Beispiel ist der Risk Management Report, der die Ergebnisse der Risikoanalyse mit dem weiteren Risikomanagement verknüpft.
Er bietet einen Überblick über Risiken, die zur Akzeptanz oder weiteren Behandlung vorgesehen sind, über bestehende und geplante Sicherheitsmaßnahmen sowie über zugehörige Informationen wie Verantwortlichkeiten, Fristen und Kosten.
Wichtig ist auch die Darstellung der Entwicklung des Risikoniveaus:
Inhärentes Risiko → Risiko nach bestehenden Maßnahmen → Erwartetes Risiko nach geplanten Maßnahmen
Der Bericht enthält außerdem Bereiche zur Dokumentation von Entscheidungen der Geschäftsleitung über die vorgelegten Risiken und Maßnahmen, einschließlich möglicher Anmerkungen.
Dadurch entsteht eine Verbindung zwischen der fachlichen Risikoanalyse des CISO und den Entscheidungen der Geschäftsleitung – von der Identifizierung eines Risikos über vorgeschlagene Maßnahmen bis zu deren Genehmigung oder der Entscheidung zur Risikoakzeptanz.
Der Risk Management Report ist jedoch kein vollständiger Managementbericht des CISO. Er ist eine mögliche Informationsgrundlage dafür.
Je nach Bedarf der Organisation kann der CISO ihn durch Informationen aus weiteren Bereichen von Tazilla ergänzen – beispielsweise aus Compliance, Sicherheitsvorfällen und weiteren Registern, Business Continuity Management, Lieferantenmanagement oder Mitarbeiterschulungen.
Fazit
Ein guter Bericht für die Geschäftsleitung muss weder lang noch voller technischer Kennzahlen sein. Er sollte jedoch ein klares Bild der wichtigsten Risiken vermitteln, zeigen, was sich seit dem letzten Berichtszeitraum verändert hat, welche Maßnahmen die Organisation zur Risikobewältigung ergreift und wo Entscheidungen der Geschäftsleitung erforderlich sind.
Das Ziel ist nicht, möglichst viel zu berichten. Das Ziel ist, relevante Informationen zu den Menschen zu bringen, die auf dieser Grundlage handeln und entscheiden können.