Policy Brief
Wer trägt Cyberrisiken in besonders schutzbedürftigen Umgebungen?
Policy Brief · Beratung, operative Verantwortung und Risikoakzeptanz trennen.
Die Grundsatzentscheidung
Ein CISO kann Exposition erklären, ohne Folgen für die gesamte Mission akzeptieren zu dürfen. NIST CSF 2.0 behandelt Governance; das RMF strukturiert Sicherheits- und Datenschutzrisikomanagement über den Lebenszyklus. [1][2] Die Organisation muss ihre Befugnisse weiterhin selbst festlegen.
Vorgeschlagene Zuständigkeiten
Unser Vorschlag: Missionsverantwortliche definieren Folgen, Systemverantwortliche setzen Maßnahmen um, der CISO hinterfragt Annahmen und Evidenz, die ausdrücklich benannte Autorität akzeptiert Restrisiken. Eine Person kann mehrere Rollen innehaben; die Entscheidungsakte muss die ausgeübte Befugnis nennen. Dies ist unser Modell, keine allgemeingültige Rechtsregel.
Ausnahmen befristen
Bei dringendem Zugriff Ablehnung, eingeschränkten temporären Zugriff und vollen Zugriff mit kompensierenden Kontrollen vergleichen. Wahl, Begründung, Umfang, Ablauf, Überwachung und Eskalationsauslöser festhalten. Fehlendes Budget rechtfertigt keine unbefristete Akzeptanz. Temporärer Zugriff hat ebenfalls Betriebskosten; deren Träger benennen.
Governance bewerten
Abgelaufene Ausnahmen, überfällige Maßnahmen und nach Vorfällen neu bewertete Entscheidungen prüfen. Die Revision muss Evidenz hinterfragen können, ohne die untersuchte operative Entscheidung selbst zu verantworten. Maßstab ist Nachvollziehbarkeit: Wer akzeptierte was, auf welcher Grundlage und bis wann?
Ein Entscheidungsprotokoll für Führungswechsel
Mission, plausibles Szenario, Optionen, Folgen, Evidenzgrenzen und Entscheidungsbefugnis dokumentieren. Verantwortliche für Maßnahmen und Überprüfungsanlässe ergänzen. Eine Farbe oder Zahl reicht nicht. Nachfolger müssen verstehen, warum Fortführung gegenüber Einschränkung oder Stillstand bevorzugt wurde, auch wenn die Beteiligten gegangen sind.
Eine beispielhafte Ausnahme
Ein fiktiver Auftragnehmer benötigt vor dem Auslaufen eines Schiffes temporären Zugriff. Ablehnung kann verzögern, unbeschränkter Zugriff eine untragbare externe Identitätsabhängigkeit schaffen. Eine beaufsichtigte Sitzung mit begrenzten Rechten und Ablaufdatum könnte technisch möglich sein. Begründen, welches Szenario sie reduziert und wie das Zugriffsende nachgewiesen wird. Dies beschreibt keinen realen Einsatz.
Genehmigung und Prüfung trennen
Die umsetzende Person liefert Evidenz; folgenreiche Entscheidungen profitieren von einer Prüfung auf übersehene Annahmen. Daraus darf keine endlose Genehmigungskette werden. Unabhängig zu prüfende Entscheidungen, benötigte Informationen und spätere Prüfung dringender Fälle festlegen. Governance muss Abwägungen rechtzeitig klären und die akzeptierte Unsicherheit nachvollziehbar festhalten.
Quellen
- NIST · The Cybersecurity Framework (CSF) 2.0 · 26 February 2024
- NIST · SP 800-37 Rev. 2 · December 2018
Cyber Policy Review · Redaktionelle Analyse. Eigene Paraphrasen, keine wörtlichen Zitate. Referenzen bedeuten weder Zertifizierung noch institutionelle Billigung.
Publikationen