Cybersicherheitsberatung nach dem Dokumentenentwurf

Den Auftrag am Ergebnis ausrichten

Wenn eine Organisation einen Entwurf für eine Sicherheitsrichtlinie mit generativer künstlicher Intelligenz (KI) erstellen kann, muss sie den darüber hinausgehenden Beratungsbedarf bestimmen. Dieser hängt davon ab, wer die fachliche Eignung des Entwurfs beurteilen kann und welche Unterstützung für die Übernahme der Regelungen in die eigene Arbeit benötigt wird.

Ich empfehle deshalb, bei der Beauftragung zwischen Textentwurf, fachlicher Prüfung und organisatorischer Umsetzung zu unterscheiden. Diese Aufgaben können zusammen vergeben werden. Ihre Zusammenfassung darf aber nicht verdecken, welcher Teil tatsächlich erbracht werden soll.

Fachliche Prüfung braucht einen Organisationsbezug

Ein plausibel formulierter Entwurf kann Voraussetzungen enthalten, die in der Organisation nicht erfüllt sind. Eine Richtlinie kann etwa Zuständigkeiten vorsehen, ohne zu klären, ob die benannten Rollen die erforderlichen Befugnisse haben. Der Text ist dann lesbar, seine Anwendung bleibt jedoch offen.

Die fachliche Prüfung muss daher die vorgesehenen Regelungen mit Prozessen, Ressourcen und Entscheidungswegen verbinden. Dabei ist auch zu klären, welche Fragen außerhalb des Auftrags liegen. Eine Informationssicherheitsrichtlinie deckt weder die Strategie zur Aufrechterhaltung zeitkritischer Geschäftsprozesse (Business Continuity) noch die Vorbereitung einer Krisenführungsorganisation vollständig ab. Bestehen Schnittstellen, müssen die dort erwarteten Beiträge ausdrücklich zugeordnet werden.

Umsetzung als eigene Leistung bestimmen

Für die Einführung reicht es nicht, ein Dokument zu übergeben. Die betroffenen Rollen müssen wissen, welche Aufgabe sich ändert, worüber sie selbst entscheiden und wann sie eine andere Stelle einbeziehen. Werden dafür Schulung, Moderation oder eine Erprobung benötigt, gehören diese Leistungen in den Auftrag.

Daraus ergibt sich auch eine Grundlage für die Bewertung von Aufwand und Preis. Ein Auftrag zur sprachlichen Bearbeitung ist anders zu kalkulieren als eine Analyse widersprüchlicher Zuständigkeiten mit anschließender Einführung. Die Zahl der Seiten bildet diesen Unterschied nicht ab.

Interne Verantwortung erhalten

Externe Beratung kann Erfahrung und Vergleichsperspektiven einbringen sowie eine schwierige Abstimmung strukturieren. Welche Ziele gelten und welche Risiken die Organisation trägt, muss dennoch intern entschieden werden. Dazu benötigt der Auftraggeber ausreichend Kompetenz, um Vorschläge zu beurteilen und offene Fragen zu erkennen.

Der Nutzen eines Beratungsauftrags zeigt sich für mich deshalb daran, ob nach seinem Abschluss eine fachlich begründete Regelung angewendet werden kann. Ein Dokument kann dieses Ergebnis festhalten. Es ist nicht mit dem Ergebnis gleichzusetzen.

→ Wie Rico Kerstan komplexe Sicherheitsthemen strukturiert: Leistungen → Der methodische Ansatz: Denkansatz