Auf den Punkt: CISOs halten durchschnittlich nur 18–26 Monate in ihrer Position, da sie für Sicherheitsvorfälle persönlich haften, aber bei strategischen Entscheidungen im Alltag isoliert sind — geteilte Verantwortung und kontinuierliche Prävention sind Lösungsansätze.
Europäische Sicherheitsverantwortliche halten durchschnittlich nur noch 18 bis 26 Monate auf ihrer Position — ein drastischer Rückgang. Die Ursache liegt in einer Kombination aus extremer Verantwortung, fehlender strategischer Mitsprache im Alltag und einer verengten Erfolgsmessung.
Der Alltag von CISOs ist geprägt durch eine Dauertension: Sie müssen einerseits alle Aspekte der Cybersicherheit verantworten, andererseits fehlt ihnen in der Routineplanung oft der echte strategische Einfluss. Bei Sicherheitsvorfällen fungieren CISOs als unsichtbare Krisen-Manager — sie koordinieren Stakeholder, treffen unter Zeitdruck kritische Entscheidungen und müssen Vorstand, Recht, Kommunikation und externe Vertrauensträger managen. Nach der Krise verblasst dieser Einfluss jedoch schnell wieder, während die persönliche Haftung bleibt.
Die Statistiken belegen das Ausmaß: Etwa 90 Prozent der Sicherheitsverantwortlichen berichten von moderatem bis hohem Stress. Die durchschnittliche Verweildauer in der Position hat sich europaweit auf 18 bis 26 Monate verkürzt. Hinzu kommen oft private Belastungen wie Gesundheitsprobleme oder Betreuungsverpflichtungen, die zeitlich zusammenfallen. Diese Konstellation führt zu Burnout-Raten, die die Branche destabilisieren.
Ein Haupttreiber ist die Art, wie Organisationen CISO-Performance bewerten: Erfolg wird primär am Ausbleiben von Incidents gemessen. Qualitative Faktoren wie die Güte präventiver Maßnahmen, Resilienzplanung oder die sichere Integration neuer Geschäftsprozesse fallen aus der Betrachtung heraus. Diese verengung isoliert die Rolle und macht den Job politisch fragiler.
Unternehmen können gegensteuern durch zwei strukturelle Änderungen: Erstens durch geteilte Verantwortung — Cybersicherheit sollte in allen Fachabteilungen verankert sein, mit klaren Stellvertretungen und transparenten Nachfolgeplänen. Zweitens durch dauerhafte Prävention: Regelmäßige Simulationen, Tabletop-Übungen und Krisenpläne sollten nicht einmalig nach einem Incident aufgebaut, sondern kontinuierlich gepflegt werden. Drittens durch Einbindung der Sicherheitskompetenz in alle strategischen Kern-Entscheidungen — von der digitalen Transformation bis zu M&A-Projekten.
Zugleich verändern sich die Anforderungen an den CISO selbst: Neben technischer Tiefe sind diplomatische Fähigkeiten, strategisches Urteilsvermögen und die Fähigkeit gefordert, IT-Risiken in betriebswirtschaftliche Kennzahlen zu übersetzen. Executive-Coaching und Mentoring durch erfahrene Vorstandsmitglieder können diese Entwicklung unterstützen.
Quelle: www.it-daily.net · Erschienen 13. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.