Auf den Punkt: Laut Nemertes Research erzielen Unternehmen bessere Sicherheitsergebnisse, wenn der CISO direkt an den CEO statt an den CIO oder andere Zwischenebenen berichtet.
Ob der Chief Information Security Officer an den CEO, den CIO oder eine andere Führungsebene berichtet, beeinflusst laut Analysen von Nemertes Research messbar die Sicherheitsergebnisse eines Unternehmens. Für Praktiker in der Cybersicherheit ist die organisatorische Verankerung des CISO damit keine reine Formalie, sondern ein Faktor mit direkter Wirkung auf die Effektivität der eigenen Arbeit.
John Burke von Nemertes Research und Alissa Irei von TechTarget analysieren in einem am 11. Mai 2026 aktualisierten Beitrag von ComputerWeekly, welche Berichtslinien für CISOs in Unternehmen üblich sind und welche Konsequenzen sich daraus ergeben. Demnach berichten CISOs typischerweise entweder an einen leitenden Geschäftsführer – etwa CEO, COO oder Chief Risk Officer (CRO) – oder an einen Technologie-Verantwortlichen, meist den CIO. Laut den zitierten Untersuchungen erzielen Organisationen, in denen der CISO weder direkt an den CEO noch über minimale Hierarchieebenen an ihn berichtet, gemessen an objektiven und konkreten Sicherheitsindikatoren schlechtere Ergebnisse.
Die Berichtslinie ist nach dieser Einordnung Ausdruck davon, wie eine Organisation Cybersicherheit intern positioniert: als strategischen Geschäftsfaktor, als Funktion zur Sicherstellung von Geschäftskontinuität und Datenintegrität, als Teil des Unternehmensrisikomanagements, als Compliance-Aufgabe oder als rein technische Sicherheitsfunktion zur Unterstützung des IT-Betriebs. Berichtet der CISO direkt an den CEO, wird Cybersicherheit den Autoren zufolge als strategischer Geschäftsfaktor verstanden – und genau diese Konstellation korreliert laut der zitierten Forschung mit den besten Sicherheitsergebnissen.
Für Sicherheitsverantwortliche und CISOs selbst liefert diese Einordnung ein Argument bei internen Diskussionen über die eigene organisatorische Verankerung: Wird der CISO dem CIO unterstellt, besteht laut den Autoren die Gefahr eines Interessenkonflikts, da CIO-Prioritäten wie Verfügbarkeit und Projektlieferung mit Sicherheitsanforderungen kollidieren können. Eine direkte Linie zum CEO oder zumindest zu einem Vorstandsmitglied mit möglichst wenigen Zwischenebenen wird von den Autoren als Voraussetzung dafür beschrieben, dass Sicherheitsbelange mit ausreichendem Gewicht in strategische Entscheidungen einfließen.
Der Originalbeitrag benennt keine konkreten Studienzahlen, Stichprobengrößen oder Quellenangaben zu den zitierten Untersuchungen von Nemertes Research; Praktiker, die die Berichtslinie im eigenen Unternehmen bewerten oder neu verhandeln wollen, sollten sich daher der begrenzten Nachvollziehbarkeit der zugrunde liegenden Datenbasis bewusst sein und die Einordnung als Diskussionsgrundlage, nicht als belastbaren empirischen Beleg behandeln.
Quelle: www.computerweekly.com · Erschienen 11. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.