Wenn Cybersicherheitsberatung austauschbar wird

Was sich an der Beratungsleistung verändert

Generative künstliche Intelligenz (KI) kann Entwürfe für Richtlinien, Risikoregister und Konzepte zur Sensibilisierung für Sicherheitsrisiken erstellen. Damit wird reine Textproduktion leichter verfügbar. Für eine Organisation ist jedoch nicht allein entscheidend, ob ein Dokument vorliegt, sondern ob es ihre tatsächlichen Prozesse, Risiken und Zuständigkeiten angemessen beschreibt.

Ich sehe deshalb eine Verschiebung des Beratungswerts: Ein vorgefertigter Text lässt sich leichter ersetzen als die fachliche Arbeit, mit der seine Annahmen geprüft und seine Regelungen in der Organisation verankert werden. Eine Zertifizierung des Informationssicherheitsmanagements nach ISO 27001 oder ein Ergebnis aus dem Prüf- und Austauschverfahren TISAX (Trusted Information Security Assessment Exchange) kann Anforderungen eines Auftraggebers erfüllen. Welche darüber hinausgehende Leistung ein Beratungsangebot erbringt, muss am konkreten Auftrag sichtbar werden.

Fachliche Schnittstellen sind keine austauschbaren Kompetenzen

Informationssicherheit, die Aufrechterhaltung zeitkritischer Geschäftsprozesse (Business Continuity) und Krisenmanagement haben gemeinsame Aufgaben, betrachten aber unterschiedliche Fragen. Informationssicherheit schützt Informationen und die Bedingungen ihrer Verarbeitung. Business Continuity betrifft die Fortführung und Wiederherstellung priorisierter Tätigkeiten. Krisenmanagement betrifft Entscheidungen und Koordination, wenn die gewöhnlichen Regelungen nicht mehr ausreichen. Der Schutz von Informationen beantwortet noch nicht, welche Leistung bei einem längeren Ausfall aufrechterhalten werden muss und wer bei widersprüchlichen Zielen entscheidet.

Wer sein Angebot auf benachbarte Disziplinen erweitert, muss daher auch deren Anforderungen bearbeiten können. Eine kurze Weiterbildung kann dafür einen Einstieg bieten. Sie ersetzt nicht die Erfahrung mit der Anwendung, den Grenzen und den organisatorischen Folgen des jeweiligen Verfahrens. Bei einem Ausfall eines wichtigen Systems ist deshalb zu prüfen, welche Leistungen betroffen sind, welche Alternativen bestehen und wer die damit verbundenen Abwägungen entscheiden darf.

Welche Fähigkeiten intern verbleiben müssen

Aus dieser Unterscheidung folgt für mich, dass Organisationen ihre eigene Managementfähigkeit entwickeln sollten. Dazu gehören die Bewertung von Risiken, die Zuordnung von Verantwortlichkeiten und die Entscheidung über verbleibende Einschränkungen. Technische Fachleute werden weiterhin benötigt; die Verantwortung für die Abwägung lässt sich ihnen aber nicht allein aufgrund ihrer technischen Zuständigkeit übertragen.

Externe Beratung hat weiterhin Wert, wenn sie zusätzliche Erfahrung, geeignete Vergleichspunkte und eine strukturierte Bearbeitung komplexer Fragen einbringt. Umfang und Aufwand richten sich nach der Aufgabe. Sie lassen sich weder aus der Zahl der Dokumente noch aus einer pauschalen Preisvorstellung ableiten.

Sicherheitsziele und Bewältigungsfähigkeit verbinden

Dass absolute Sicherheit nicht erreichbar ist, macht konkrete Sicherheitsziele nicht entbehrlich. Eine Organisation kann festlegen, welche Informationen sie schützt, welche Unterbrechungen sie begrenzt und welche Risiken sie akzeptiert. Sie muss zugleich vorbereiten, wie sie handelt, wenn die vorgesehenen Schutzmaßnahmen nicht ausreichen.

Beratung sollte deshalb sowohl die Angemessenheit dieser Ziele als auch ihre praktische Umsetzung unterstützen. Konformität bleibt eine Anforderung, ist aber kein vollständiger Nachweis dafür, dass Führung und Zusammenarbeit unter Druck funktionieren.

→ Wie Rico Kerstan mit komplexen Sicherheits- und Resilienzthemen arbeitet: Leistungen