Wer ist ein CISO?

Ein Chief Information Security Officer (CISO) ist die leitende Führungskraft, die für das strategische Management der Informationssicherheit in der gesamten Organisation verantwortlich ist. In Deutschland tritt dieselbe Funktion auch unter den Bezeichnungen Informationssicherheitsbeauftragter (ISB) oder Informationssicherheitsmanager (ISM) auf, wobei Konzerne den Titel CISO typischerweise der ranghöchsten, vorstandsnahen Ausprägung der Rolle vorbehalten. Dieser Artikel definiert, was einen CISO von einem CIO und einem Datenschutzbeauftragten (DSB) unterscheidet, die wichtigsten Verantwortungsbereiche des CISO, warum deutsche Regulierung den Vorstand heute persönlich für Cyberrisiken verantwortlich macht und was das für die Rolle des CISO bedeutet, aktuelle Gehaltsdaten 2026 für Deutschland und die weitere DACH-Region sowie, was zu tun ist, wenn eine Vollzeiteinstellung noch nicht gerechtfertigt ist.

Wie unterscheidet sich ein CISO von einem CIO und einem DSB?

Das Fehlen einer klaren Abgrenzung zwischen der Sicherheitsfunktion, dem IT-Betrieb und der Datenschutzaufsicht ist einer der schwerwiegendsten strukturellen Fehler, die eine Organisation machen kann. Ein ausgereiftes Risikomanagement-Modell erfordert eine strikte Trennung aller 3 Rollen:

Rolle	Fokus	Wichtigstes Erfolgsmaß
CIO (Chief Information Officer)	Operativer Betrieb der IT-Abteilung, Infrastrukturentwicklung und Unterstützung von Geschäftsprozessen durch Digitalisierung	Verfügbarkeit, Leistung und Deployment-Geschwindigkeit, was per Definition eher zu mehr als zu weniger Risiko führt
DSB (Datenschutzbeauftragter / Data Protection Officer)	Eine durch die DSGVO vorgeschriebene Rolle, die sich ausschließlich auf den Schutz personenbezogener Daten und die Rechtmäßigkeit ihrer Verarbeitung konzentriert	Beratend, prüfend und rechtlich; enger gefasst als Sicherheit insgesamt
CISO	Schutz aller Informationswerte der Organisation – nicht nur personenbezogener Daten, sondern auch Geschäftsgeheimnisse, Quellcode, Finanzstrategie und Systeme der Operational Technology (OT/ICS)	Wahrung der CIA-Triade (Vertraulichkeit, Integrität, Verfügbarkeit) über den gesamten digitalen Fußabdruck der Organisation hinweg

Ein CISO fungiert im Grunde als Übersetzer: Er überführt hochtechnisches Risiko in die Sprache des finanziellen Verlusts, damit der Vorstand eine informierte Entscheidung darüber treffen kann, welche Risiken akzeptabel sind. Diese Funktion funktioniert nur bei organisatorischer Unabhängigkeit. In einer ausgereiften Organisation berichtet der CISO nicht an den CIO. Eine solche Unterstellung schafft einen direkten Interessenkonflikt, bei dem das Innovationsbudget stets gegen das Risikoreduktionsbudget gewinnt. Die korrekte Berichtslinie, von Experten und Aufsichtsgremien gleichermaßen empfohlen, sieht vor, dass der CISO direkt an den CEO, den Vorstand oder den Aufsichtsrat berichtet. Die rechtliche Verantwortung für Sicherheit liegt stets beim Vorstand; der CISO trägt die operative Verantwortung im Auftrag des Vorstands, nicht die letztendliche Haftung selbst.

Was sind die wichtigsten Verantwortungsbereiche eines CISO?

Die Verantwortlichkeiten eines CISO sind breit gefächert und strukturiert, typischerweise aufgebaut auf Frameworks wie ISO/IEC 27001 oder dem nationalen BSI-IT-Grundschutz-Standard. Die Rolle verlangt eine ungewöhnliche Kombination aus tiefem technischem Wissen, Soft Skills und unternehmerischem Instinkt über 6 Bereiche hinweg:

Bereich	Umfang	Typische Tools und Frameworks
IT-Risikomanagement	Proaktive Bedrohungsidentifikation, Risikoquantifizierung (Business Impact Analysis), Threat Modeling, Übersetzung von Cyberrisiken in vorstandsverständliche Kennzahlen	ISO/IEC 27005, FAIR, GRC-Systeme, Analyse-Dashboards
Compliance und Governance	Konzeption, Implementierung und Pflege eines Informationssicherheits-Managementsystems (ISMS); dauerhafte Auditbereitschaft der Organisation	ISO/IEC 27001, BSI IT-Grundschutz, NIS2, DORA, TISAX
Sicherheitsarchitektur	Konzeption einer Sicherheitsstruktur, die moderne Paradigmen berücksichtigt (Zero Trust, SASE, Cloud Posture Management); Aufsicht über Security Engineers	BSI-Referenzmodelle, Penetrationstests, Red Teaming
Incident Response und Business Continuity	Entwicklung von Continuity-Plänen, Steuerung der Krisenreaktion während eines aktiven Angriffs, Kommunikation mit Strafverfolgungs- und Aufsichtsbehörden (BSI, BaFin)	Response-Playbooks, SOAR, Tabletop-Übungen
Lieferkettenrisiko	Durchsetzung und Prüfung von Sicherheitsstandards bei Lieferanten und Unterlieferanten; Analyse der Risikokonzentration bei Cloud-Service-Anbietern	Vertragsklauseln, Third-Party-Risk-Management (TPRM)-Plattformen, externe Audits
Security Awareness	Schulung von Vorstand und Belegschaft, Durchführung von Anti-Phishing-Kampagnen, Aufbau einer Kultur, in der Sicherheit ein gemeinsamer Unternehmenswert ist	Phishing-Simulationen, E-Learning

Die Umsetzung dieser Bereiche erfordert zunehmend künstliche Intelligenz sowohl in der Analyse als auch im defensiven Betrieb; die Bewältigung hunderter täglicher Alerts ist nur mit einer Priorisierung nach der Kritikalität der Geschäftswerte praktikabel.

Warum hat die persönliche Haftung auf Vorstandsebene die Rolle des CISO in Deutschland strategisch kritisch gemacht?

4 regulatorische Säulen, die zwischen 2025 und 2027 zusammenlaufen, legen die persönliche, nicht delegierbare Verantwortung für Cyberrisiken direkt auf den Vorstand – und genau diese Verschiebung, nicht allein die zugrunde liegenden technischen Bedrohungen, treibt die aktuelle CISO-Einstellungspraxis und den Trend zu integrierten Sicherheitsplattformen an.

NIS2UmsuCG

Die deutsche NIS2-Umsetzung trat am 6. Dezember 2025 in Kraft und bringt rund 29.500 Unternehmen aus 18 Sektoren bei einer Schwelle von 50 Mitarbeitenden oder 10 Millionen € Jahresumsatz in den Anwendungsbereich. Die Registrierung beim BSI war gesetzlich zum 6. März 2026 fällig; bis zu diesem Datum hatten sich erst rund 11.500 Unternehmen registriert, bis Ende Mai stieg die Zahl auf rund 18.500. Das BSI gewährte anschließend eine Vollzugskulanz bis zum 31. Juli 2026. Wichtig: Dieses spätere Datum ist keine neue gesetzliche Frist – die Registrierungspflicht war bereits im März gesetzlich fällig, und die Verlängerung betrifft nur, wie streng das BSI die ursprüngliche Frist durchsetzt; die Registrierungspflicht selbst entfällt nicht. Eine unterlassene Registrierung ist eine Ordnungswidrigkeit (§ 65 Abs. 2 Nr. 6 BSIG) mit Bußgeldern bis zu 500.000 €; eine vollständige Nichtumsetzung der Risikomanagement-Anforderungen kann Bußgelder bis zu 10 Millionen € (oder 2 % des weltweiten Umsatzes) für besonders wichtige Einrichtungen und bis zu 7 Millionen € (oder 1,4 % des weltweiten Umsatzes) für wichtige Einrichtungen nach sich ziehen. Ein Verstoß kann auch Auszahlungen aus Cyberversicherungen gefährden, wenn auch nicht automatisch: Die meisten gewerblichen Policen machen die Einhaltung gesetzlicher Sicherheitspflichten zur Bedingung für den Versicherungsschutz, sodass ein grob fahrlässiger NIS2-Verstoß nach den Regeln zur Obliegenheitsverletzung im deutschen Versicherungsrecht (§ 28 VVG) zu einer gekürzten Auszahlung oder Ablehnung führen kann – das Ergebnis hängt vom konkreten Policenwortlaut und davon ab, ob der Verstoß den Schaden tatsächlich verursacht hat, nicht allein von der NIS2-Nichteinhaltung.

DORA (Digital Operational Resilience Act)

Für CISOs im Finanzsektor (Banken, Versicherer, Börsen, Zahlungsinstitute und deren kritische IKT-Dienstleister) ist DORA (Verordnung (EU) 2022/2554) seit dem 17. Januar 2025 vollständig verbindlich und ersetzt nationale Aufsichtsrundschreiben wie BAIT, VAIT und KAIT. Die Verordnung ruht auf 5 Säulen: IKT-Risikomanagement-Governance, Vorfallmeldung (eine Frühwarnung innerhalb von 4 Stunden nach Klassifizierung eines Vorfalls und spätestens 24 Stunden nach Entdeckung an die BaFin), Tests der digitalen Resilienz (einschließlich Threat-Led Penetration Testing für systemrelevante Institute), IKT-Drittparteien-Risikomanagement (ein vollständiges Dienstleisterregister, das der BaFin im standardisierten XBRL-Format gemeldet wird) sowie strukturierter Austausch von Threat Intelligence. Anders als NIS2 legt DORA selbst keine EU-weiten Bußgeldhöhen fest: Die Verordnung überlässt die genauen Sanktionshöhen dem jeweiligen nationalen Umsetzungsrecht. In Deutschland ist das das Finanzmarktdigitalisierungsgesetz (FinmadiG), das die BaFin ermächtigt, Institute bei schweren Verstößen im mehrstelligen Millionen-Euro-Bereich zu bebußen, und das einzelne Mitglieder der Geschäftsleitung einer eigenen persönlichen Haftung aussetzt – veröffentlichte Angaben zu den genauen Obergrenzen variieren je nach Quelle, sodass jeder konkrete Euro-Betrag vor dem Zitieren gegen den aktuellen FinmadiG-Text geprüft werden sollte.

Cyber Resilience Act (CRA)

Während NIS2 und DORA die Resilienz der Systeme regeln, die eine Organisation nutzt, regelt der CRA (Verordnung (EU) 2024/2847) die Sicherheit der Produkte, die eine Organisation entwickelt und verkauft. Für einen CISO in einem Fertigungs-, Engineering- oder Softwareunternehmen ist das unmittelbar relevante Datum der 11. September 2026: Ab diesem Zeitpunkt sind Hersteller verpflichtet, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gemeinsam an ihr nationales CSIRT und die ENISA zu melden – über die gemeinsame Meldeplattform, im selben 24-Stunden-/72-Stunden-Rhythmus wie bei NIS2. Die Sanktionen sind gestaffelt: bis zu 15 Millionen € oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen die Kernanforderungen an Cybersicherheit und Schwachstellenmanagement, 10 Millionen € oder 2 % für andere Pflichten sowie 5 Millionen € oder 1 % für falsche oder unvollständige Angaben gegenüber Behörden.

TISAX

Unabhängig von EU-Gesetzgebung setzt die deutsche Automobilindustrie ihre eigene harte kommerzielle Anforderung durch: TISAX (Trusted Information Security Assessment Exchange), entwickelt vom Verband der Automobilindustrie (VDA). TISAX ist kein Gesetz, sondern ein Lieferketten-Tor. Jede Organisation, die vertrauliche Konstruktionsdaten, Prototypeninformationen oder Netzwerkdaten von OEMs wie Volkswagen, BMW oder Mercedes-Benz verarbeitet, benötigt ein gültiges TISAX-Zertifikat im ENX-Portal – sonst wird sie auf jeder Stufe der Lieferkette ausgeschlossen. Seit dem 1. April 2024 laufen alle TISAX-Audits gegen den VDA-ISA-6.0-Katalog: mehr als 300 Fragen über 3 Schutzzielgruppen (Informationssicherheit, Prototypenschutz und Datenschutz), erweitert um Anforderungen speziell für Operational-Technology(OT)-Netzwerke. Ein CISO, der die TISAX-Zertifizierung verantwortet, muss sich auf eine von 2 Prüftiefen vorbereiten: AL2 (typischerweise ein Remote-Audit zur Überprüfung der Dokumentation) oder AL3 (ein tiefgehendes Vor-Ort-Audit, erforderlich für Daten mit sehr hohem Vertraulichkeitsbedarf und Prototypendaten, bei dem Auditoren physische Umgebungen inspizieren und Mitarbeitende befragen). Das häufigste Missverständnis bei neueren Sicherheitsverantwortlichen ist, dass AL2 leichtere Anforderungen prüft als AL3; VDA ISA 6.0 bewertet auf beiden Stufen exakt dieselben Kontrollen, der einzige Unterschied liegt in der Prüftiefe der Verifikation. Das Erreichen des geforderten Reifegrads 3 (dokumentierte, konsistent angewendete und messbare Verfahren) für die TISAX-Kernkontrollen erfordert selbst bei einem bereits vorhandenen ISMS als Basis eine echte, kontinuierliche Vorbereitung; Branchenschätzungen für einen vollständigen AL3-Readiness-Zyklus liegen üblicherweise zwischen wenigen Monaten und rund 9 Monaten, abhängig vom Ausgangsreifegrad und der Anzahl der zu behebenden Kontrollen. Die Dokumentation, die Lieferanten am häufigsten zum Stolpern bringt: veraltete Asset- und Systemregister, unvollständige Zugriffsberechtigungsmatrizen sowie unklare Patch-Management- und Backup-Richtlinien.

Wie viel verdient ein CISO in Deutschland?

Die CISO-Vergütung in Deutschland streut deutlich breiter, als eine einzelne Durchschnittszahl vermuten lässt – vor allem, weil „CISO” in der Praxis zwei unterschiedliche Jobs umfasst: einen Informationssicherheitsbeauftragten (ISB), der die Sicherheit eines einzelnen Mittelstandsunternehmens verantwortet, oft zusammen mit breiterer IT-Governance-Arbeit, und einen C-Level-CISO, der konzernweites Risiko bei einem Großunternehmen oder einem regulierten Finanzinstitut steuert. Eine Segmentierung nach Rollenstufe und Unternehmensgröße ergibt ein deutlich realistischeres Bild als ein einzelner Durchschnittswert:

Stufe	Typisches Bruttojahresgehalt	Anmerkungen
SOC-Analyst (Junior)	ca. 52.000 €	Einstiegsniveau, 0–2 Jahre Erfahrung
Security Engineer / Architect	72.000–85.000 €	Mittlere bis Senior-Ebene, baut defensive Architektur auf
ISB / CISO im Mittelstand & KMU	55.000–80.000 €	Häufig kombiniert mit breiteren IT-Governance-Aufgaben statt einer eigenen C-Level-Position; die dedizierten ISB-Stellenangaben von StepStone und jobvector liegen im Schnitt bei 60.000–61.000 €, und die CISO-gekennzeichneten Daten von meingehalt.net (die stärker zu kleineren Arbeitgebern tendieren) liegen im Schnitt bei 75.000 €
CISO im Mid-Market / bei Wachstumsunternehmen	80.000–125.000 €	Ein eigener C-Level-Sicherheitstitel, jedoch bei einer kleineren Organisation als einem DAX-notierten Konzern; die CISO-spezifischen Stellenangaben von Jobvector liegen im Schnitt bei 80.000 €, und die CISO-Stichprobe von Glassdoor Deutschland (n=27) liegt im Schnitt bei 122.500 €
CISO bei Großkonzernen, im Finanzsektor und bei KRITIS-Betreibern	150.000–200.000 €, im oberen Quartil eher nahe 250.000 €	Der DACH-weite Benchmark von Gallmond (n=41) setzt den deutschen Median bei rund 160.000 € an (Spanne 120.000–200.000 €); gehalt.de zeigt einen Median von 197.656 € (Q1 158.300 €–Q3 246.797 €); Experteer und Michael Page setzen die durchschnittliche Vergütung in dieser Stufe beide bei rund 145.000–172.000 € an

Für einen CISO am oberen Ende dieser Spanne hängt das Nettogehalt stark von der Steuerklasse ab. Bei einem Bruttojahresgehalt von 160.000 € in Steuerklasse I (Deutschlands Steuerklasse für alleinstehende Steuerpflichtige ohne Kinder) entspricht das etwa 87.000–90.000 € netto pro Jahr beziehungsweise rund 7.300 € netto pro Monat; ein verheirateter Alleinverdiener in Steuerklasse III kommt beim selben Bruttobetrag auf näherungsweise 102.000–106.000 € netto pro Jahr. NIS2 und DORA haben die Arbeitgebernachfrage nach CISOs speziell in KRITIS-nahen Sektoren verschärft, da die Rolle nun näher an den eigenen, nicht delegierbaren Compliance-Pflichten des Vorstands liegt – wobei keiner der oben genannten Benchmarks einen präzisen Gehaltsaufschlag für diese Verschiebung ausweist, weshalb man dies eher als gerichteten Druck denn als festen Prozentsatz einordnen sollte. Die Gesamtvergütung kann bei DAX/MDAX-notierten Unternehmen noch weiter steigen, sobald Long-Term-Incentive(LTI)-Pläne zum Grundgehalt hinzukommen, wobei keine der oben genannten Quellen LTI-inklusive Gesamtsummen verlässlich genug aufschlüsselt, um eine konkrete Zahl zu nennen.

Regional zeigt sich innerhalb desselben DACH-weiten Gallmond-Benchmarks: Der Schweizer Median liegt 30–50 % über dem deutschen, bei rund 210.000 € (Top-Verdiener erreichen bis zu 290.000 €), getrieben vom Bankensektor des Landes; Österreich liegt 10–15 % darunter, mit einem Median von rund 140.000 €. Anerkannte Zertifizierungen (CISSP, CISM oder ISO 27001 Lead Auditor) bleiben für die höchsten C-Level-Sicherheitsrollen eine faktische Grundvoraussetzung.

Was tun, wenn sich ein hauptamtlicher unternehmensinterner CISO nicht rechtfertigen lässt?

Die Rekrutierung eines erfahrenen CISO braucht wirklich Zeit: Bitkoms eigene IT-Fachkräfte-Umfrage 2025/2026 beziffert die durchschnittliche Zeit zur Besetzung einer offenen IT-Stelle in Deutschland auf 7,7 Monate, und eine dedizierte C-Level-Sicherheitssuche liegt inklusive Onboarding üblicherweise bei diesem Wert oder darüber. In Kombination mit den oben genannten Vergütungsniveaus rückt eine Vollzeiteinstellung damit für viele kleine und mittlere Organisationen in unerreichbare Nähe, insbesondere für jene, die mit nur 50 Mitarbeitenden neu in den Anwendungsbereich von NIS2 fallen. Die Antwort des Marktes heißt Externer CISO (CISOaaS), auch vermarktet als vCISO (Virtual CISO) oder Fractional CISO: Ein externer Experte oder ein externes Team übernimmt die Verantwortlichkeiten des CISO gegen einen monatlichen Retainer (üblicherweise 3.000–8.500 € für einige Beratungstage pro Woche), einen Tagessatz (etwa 1.600–2.500 €) oder ad hoc abgerechnete Stundenarbeit außerhalb des Retainers (typischerweise 200–350 € pro Stunde). Eine vollständige interne Einstellung wird in der Regel erst dann die wirtschaftlichere Wahl, wenn der Sicherheitsbedarf einer Organisation das übersteigt, was ein Fractional-Arrangement abdecken kann – in der Praxis also dann, wenn das Unternehmen groß genug ist, um eine hauptamtliche strategische Führungskraft statt einiger Beratungstage im Monat zu benötigen, was bei vielen mittelständischen Organisationen irgendwo im niedrigen dreistelligen Mitarbeiterbereich liegt, wobei der genaue Break-even-Punkt stark von Branche und Risikoexposition abhängt.

Warum konsolidieren CISOs Sicherheitstools auf einheitlichen Plattformen?

Unter dem kombinierten Gewicht der Meldepflichten aus DORA, NIS2 und TISAX kann ein CISO realistisch nicht mit fragmentierten, isolierten Tools arbeiten: Richtlinien, die in Word-Dokumenten nachgehalten werden, Zugriffsmatrizen in Excel und Dutzende von handgeprüften Lieferantenfragebögen. Branchenanalysten, darunter Gartner, dokumentieren eine klare Marktverschiebung hin zur Anbieterkonsolidierung: Organisationen ersetzen überlappende, isolierte Einzellösungen durch zentralisierte, integrierte Sicherheitsplattformen. Die Motivation ist eher praktisch als rein technisch: Eine konsolidierte Plattform gibt einem CISO eine einheitliche Sicht über die gesamte Umgebung, automatisiert die Nachweiserhebung, die Audits (TISAX, DORA, ISO 27001) verlangen, und setzt Budget frei, das zuvor für überlappende Lizenzen ausgegeben wurde, um es in Automatisierung zu reinvestieren. Speziell bei den DORA-Audits der BaFin ist das Format nicht optional: Die BaFin akzeptiert das IKT-Drittparteienregister nur in ihrer eigenen standardisierten Struktur (xBRL, aufgebaut aus der offiziellen Excel-Vorlage der BaFin), sodass ein Ad-hoc-Tracking auf Basis von Tabellenkalkulationen, das sich nicht sauber in diese Struktur einfügt, ein reales Einreichungsrisiko schafft – zusätzlich zu der breiteren Aufsichtslücke, die fragmentiertes Tooling über ein Audit hinweg hinterlässt.

Häufig gestellte Fragen

Muss ein CISO aus einem IT-Hintergrund kommen? Nein, ein CISO muss nicht aus einem IT-Hintergrund kommen. Die Rolle honoriert zunehmend eine Kombination aus technischem Verständnis, unternehmerischem Instinkt und der Fähigkeit, Risiko in Begriffe zu übersetzen, auf deren Basis ein Vorstand handelt. Kandidaten aus Risikomanagement, Compliance oder juristischem Hintergrund besetzen die Rolle erfolgreich, sofern sie glaubwürdig in beiden Dimensionen agieren können.

Kann die Rolle des CISO mit der des CIO kombiniert werden? Nein, eine Kombination der Rollen CISO und CIO wird nicht empfohlen. Der CIO wird an Verfügbarkeit, Geschwindigkeit und Innovation gemessen, während der CISO an Risikoreduktion gemessen wird; eine Zusammenlegung der Rollen schafft einen strukturellen Interessenkonflikt, bei dem das Innovationsbudget durchgängig gegen das Risikoreduktionsbudget gewinnt.

Ist ein CISO in Deutschland für jedes Unternehmen gesetzlich vorgeschrieben? Nein, ein CISO ist in Deutschland nicht für jedes Unternehmen gesetzlich vorgeschrieben. Weder die NIS2-Richtlinie noch das deutsche BSIG schreiben die namentliche Bestellung eines CISO oder ISB vor: Tatsächlich verlangt § 38 BSIG, dass der Vorstand selbst Risikomanagementmaßnahmen billigt, deren Umsetzung überwacht und persönlich an Schulungen teilnimmt – eine Pflicht, die nicht delegiert werden kann. Die Bestellung eines CISO oder ISB verlagert die tägliche operative Arbeit auf eine dedizierte Fachkraft; sie verlagert nicht die zugrunde liegende rechtliche Verantwortung, die stets beim Vorstand verbleibt. TISAX ist der eine Bereich, in dem eine dedizierte Sicherheitsfunktion unabhängig von der Unternehmensgröße zur praktischen Notwendigkeit wird, da OEMs ohne sie keinen Lieferkettenzugang gewähren. Außerhalb dieser regulatorischen Auslöser bleibt die Bestellung eines CISO eine Risikomanagemententscheidung und kein striktes gesetzliches Mandat.

Zusammenfassung

Der CISO ist die leitende Rolle, die für den Schutz des gesamten Informationsbestands einer Organisation verantwortlich ist – strukturell getrennt vom Innovations- und Verfügbarkeitsmandat des CIO und dem auf personenbezogene Daten beschränkten Mandat des DSB, eine Unterscheidung, die deutsche Regulierungsbehörden heute durch direkte Verantwortlichkeit auf Vorstandsebene durchsetzen, statt sie als interne Organisationsvorliebe zu behandeln. NIS2, DORA, der CRA und TISAX haben die Rolle gemeinsam von einer technischen Funktion zu einer gemacht, die im Zentrum der eigenen persönlichen Verantwortung des Vorstands für Cyberrisiken steht, und die deutschen Gehaltsdaten 2026 – die von rund 55.000 € für ISB-Rollen bei kleineren Mittelstandsunternehmen bis zu über 200.000 € für C-Level-CISOs bei Großkonzernen und KRITIS-Betreibern reichen – spiegeln genau diese Verschiebung wider. Organisationen, die eine Vollzeiteinstellung noch nicht rechtfertigen können, haben mit CISOaaS eine etablierte Alternative, und diejenigen, die es können, konsolidieren ihr Sicherheits-Tooling zunehmend auf einheitlichen Plattformen, gerade um mit den Nachweisanforderungen der DORA-, NIS2- und TISAX-Audits gleichzeitig Schritt zu halten.