CISO-Suche gescheitert: Wer die vier Sicherheitsausgänge hält, solange der Sitz leer ist

Eine gescheiterte CISO-Suche lässt vier Sicherheitsausgänge unbenannt — Stop, Override, Incident Command, schriftliche Risikoakzeptanz. Die Erholung beginnt damit, wer sie hält, solange der Sitz leer ist. Der nächste Lebenslauf ist nicht die erste Entscheidung. Weder das Aktiengesetz noch § 38 BSIG schaffen ein gesetzliches CISO-Recht.

Christian Pobbig und Beyond Chiefs arbeiten in Hamburg an AI Executive Search DACH. Dieser Text ist kein Suchleitfaden. Arbeitetes Beispiel ist die deutsche AG, nicht Österreich oder die Schweiz und nicht jede GmbH.

Die Leitung pausiert nicht, weil der Titel leer ist

Der Vorstand leitet die Gesellschaft unter eigener Verantwortung. Mitglied des Vorstands kann nur eine natürliche Person sein (§ 76 Abs. 1 und Abs. 3 Satz 1 AktG). Ein CISO-Titel ist kein Vorstandssitz. Ein leerer CISO-Titel verlegt die Leitung nicht und setzt sie nicht aus.

Leer sind vier Sicherheitsausgänge, nicht der Titel

BC-Rahmen (INFERENCE). Solange der Titel leer ist, benennt der Vorstand oder die Geschäftsleitung schriftlich, wer darf:

1. Stop — einen Release, eine Änderung oder eine Verbindung anhalten.
2. Override — eine Betreiberentscheidung überstimmen, die eine bekannte Exposition stehen ließe.
3. Incident Command — einordnen und, falls im Scope, die Meldung freigeben, die die Einrichtung schuldet.
4. Schriftliche Risikoakzeptanz — Restrisiko festhalten; das Organ akzeptiert oder überstimmt. Letztentscheider für die Risikoakzeptanz bleibt das Organ.

Das ist Organisationspraxis, kein gesetzliches Veto. Double-Hat des IT-Leiters oder des Organs „bis wir jemanden finden“ ist der Fehlermodus, nicht das Protokoll. Interim ohne diese vier Namen wiederholt den Originalfehler und ist nicht die erste Entscheidung.

Erster schriftlicher Akt: wer die vier Ausgänge heute Nacht hält

Die erste Schrift nach der gescheiterten Suche ist diese Benennung — nicht das neue Briefing. Ein unbenanntes Bild des Restrisikos, oder ein nur durch den CIO gefiltertes Bild, ist ein Informationsproblem: Sorgfalt setzt voraus, dass das Vorstandsmitglied vernünftigerweise annehmen durfte, auf angemessener Information zu handeln (§ 93 Abs. 1 AktG). Kein Urteil, das eine bestimmte CISO-Linie für rechtswidrig erklärt. Kein gesetzlicher CISO im Vorstand.

ISB und CISO sind nicht dasselbe.

Wenn die Einrichtung im Scope ist: die Uhr wartet nicht auf den ISB

§ 38 BSIG gilt für Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen: sie setzen die Risikomanagementmaßnahmen nach § 30 um und überwachen die Umsetzung; Mitglieder nehmen regelmäßig an Schulungen teil, um IT-Sicherheitsrisiken zu erkennen und zu bewerten (§ 38 BSIG). Die Vorschrift schweigt zu CISO-Amt, Veto, Berichtslinie und Nachbesetzungspflicht. Eine gescheiterte Suche setzt Abs. 1 nicht aus. NIS2 Art. 20 ist die Mutter dieser Organpflicht — Genehmigung, Überwachung, Haftung, Schulung — und keine CISO-Titelregel (Richtlinie (EU) 2022/2555).

Bei einem erheblichen Sicherheitsvorfall schuldet die Einrichtung — nicht der leere Sitz — eine Erstmeldung unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, und eine Meldung spätestens binnen 72 Stunden; der Abschlussbericht folgt spätestens einen Monat nach der Meldung. Die Pflicht gilt frühestens ab Einrichtung des Meldewegs (§ 32 BSIG). Das BSI versteht Kenntnis als den Zeitpunkt, zu dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung innerhalb der Arbeitszeit von dem Vorfall erfährt — nicht als Zeitpunkt, zu dem der ISB informiert wird oder der CISO-Sitz besetzt ist. Die Verantwortung für Inhalt und Meldung bleibt bei der Einrichtung (BSI, NIS-2-Meldepflicht).

Das sind äußere Meldeuhren für Einrichtungen im Scope — kein interner Erholungskalender. Außerhalb besonders wichtiger und wichtiger Einrichtungen greifen sie nicht. Operative Umsetzung darf delegiert werden; Gesamtverantwortung und Aufsicht bleiben bei der Geschäftsleitung (BSI Management-Blitzlicht).

Das Organ entscheidet das Restrisiko schriftlich — ohne CISO-Pflicht und ohne Nachbesetzungszwang

Das Gesetz schafft kein CISO-Recht und keine Pflicht, die Suche zu wiederholen. Wo der Gesetzgeber einen benannten Koordinator wollte, hat er ihn geschrieben: die Leitung des BSI nimmt die Aufgaben der Koordinatorin oder des Koordinators der Bundesregierung für Informationssicherheit wahr (§ 48 Abs. 1 BSIG). Das BSI hat am 22. Juli 2026 Claudia Plattner als CISO Bund für die Bundesverwaltung benannt — der Sitz ist besetzt, kein leeres öffentliches Amt, und § 48 stafft keine GmbH (BSI, 22.07.2026).

UK-Praxis, nicht deutsches Recht: „CISO (or equivalent)“ und Board-Dialog ersetzen keinen Aufsichtsrat als Incident Command (UK DSIT). Doppelhut ist nicht die Heilung.

Die Seite, wann die vier Ausgänge den CIO-Span verlassen müssen, ist ein anderer Moment. Die Seite zum KI-Urteil im CIO-Sitz ist kein Sicherheitsvakuum. Dieselbe Organlogik, getrennte Verträge.

FAQ

### Muss die Suche sofort neu starten?

Nein. Die erste Entscheidung ist, wer die vier Ausgänge heute Nacht hält. Danach darf gesucht werden.

### Wird der CEO damit gesetzlich zum CISO?

Nein. Die Vakanz verleiht kein neues Stop-Recht. Sie zwingt nur dazu, die bestehenden Organpflichten nicht unbenannt zu lassen.

### Gilt § 32 für jedes Haus?

Nein. Nur für besonders wichtige und wichtige Einrichtungen, und frühestens ab Meldeweg.

---

Draft. Nicht live ohne Christian. Kein Leistungs-CTA.