Gelassenheit
Eine aktuelle Liste und ein Bericht statt Suchen im Dunkeln.
Eine Rolle, die international als „Fractional CIO“ bekannt ist – mit einem Unterschied: Ich übernehme weder die IT-Abteilung noch ihr Budget. Ich übersetze die Absichten des Vorstands in Anforderungen, bewerte die Empfehlungen der IT und vertrete die Interessen des Auftraggebers gegenüber den Anbietern.
Fragen, auf die man eine Antwort kennen sollte.
Lautet die Antwort auf eine davon „Wir wissen es nicht“, kann ich genau hier helfen. Ich stelle diese Fragen Vorständen, Sekretären, Landräten und Geschäftsführern, bevor Entscheidungen fallen und das Geld zu fließen beginnt.
- Wer in der Organisation sieht heute alle Projekte, Risiken und Fristen auf einer einzigen Liste?
- Worüber erfahren wir zu spät?
- Wer vertritt unsere Interessen gegenüber den Anbietern, wenn die IT-Abteilung mit dem Betrieb ausgelastet ist?
- Welche Entscheidungen sollten wir nicht ohne unabhängige Einschätzung treffen?
Was Sie davon haben.
Bessere Ergebnisse
Projekte enden zielgemäß, weil jemand das Ganze im Blick behält.
Weniger Riffe und Fehler
Frühwarnung vor Risiken und eine unabhängige Einschätzung vor einer größeren Anschaffung.
Die Kosten eines Fehlers in dieser Etappe. Projekte ohne Verantwortlichen und ohne gemeinsame Liste verzögern sich unbemerkt, und vom Problem erfahren Sie, wenn es schon teuer ist. Ein Berater kostet in der Regel weniger als eine einzige falsch gewählte Technologie, ein einziger ungeeigneter Anbieter oder eine einzige Falle im Vertrag.
Jemand muss das Ganze im Blick behalten.
Wenn mehrere Projekte laufen und die IT-Abteilung kaum mit dem Betrieb der Systeme nachkommt, fehlt jemand, der im Alltag das Ganze im Blick behält. In der Rolle des festen Koordinators auf Seiten des Auftraggebers führe ich die Register, hole Statusmeldungen ein, erinnere an Fristen und eskaliere, wenn eine Sache stockt.
Was Sie erhalten.
- Ein monatliches Treffen mit dem Verwaltungsleiter oder Geschäftsführer und dem IT-Leiter, ein monatlicher Bericht zu Betrieb und Risiken.
- Eine vierteljährliche Überprüfung der Risiken und kritischen Verträge, eine Stellungnahme vor jeder größeren Anschaffung.
- Die ersten 90 Tage: eine erste Erkundung und dringende „Warnsignale“, der Aufbau der Register und die Prüfung der Verträge, ein Bericht für den Vorstand mit einer Roadmap für 12–24 Monate.
KSC und NIS 2 aus Sicht des Vorstands.
Die Novelle des polnischen Gesetzes über das nationale Cybersicherheitssystem (KSC) gilt seit dem 3. April 2026. Die Pflichten liegen bei der Leitung, nicht allein bei der IT-Abteilung: Der Vorstand verantwortet die Umsetzung, muss eine Schulung absolvieren und kann ab 2028 sanktioniert werden. Die technischen Arbeiten erledigen Spezialisten und Anbieter. Jemand muss sie aber steuern, und in vielen Verwaltungen und Gesellschaften gibt es keinen IT-Leiter, der dafür Zeit hat. Diesen Teil übernehme ich als Fractional CIO: Ich bin kein Sicherheitsspezialist, ich sorge dafür, dass die Umsetzung vollständig, dokumentiert und termingerecht ist.
Ich kläre, ob und als welche Einrichtung die Organisation unter das Gesetz fällt, und lege Umfang, Verantwortliche und Zeitplan fest. Ich führe die Dokumentation: das Verzeichnis der Systeme und Anbieter, das Risikoregister, die Verfahren, darunter den Meldeweg für Vorfälle binnen 24 und 72 Stunden, sowie die Nachweise für den Auditor. Ich achte auf Fristen, auf die Aufgaben der eigenen IT und der Anbieter und auf die Vertragsklauseln. Ich stelle Anbietern, IT und Auditor die Fragen, die der Vorstand stellen sollte, und prüfe, ob die Antworten belastbar sind. Jeden Monat erhält der Vorstand eine Seite: Stand, Risiken und anstehende Entscheidungen.
Was ich nicht mache.
Penetrationstests, Sicherheitsüberwachung (SOC), Systemkonfiguration oder das Audit selbst. Diese Arbeiten übernehmen spezialisierte Firmen; ich helfe, sie auszuwählen, den Auftrag zu beschreiben und abzurechnen.
Nächste Fristen. Bis zum 3. April 2027 ein eingeführtes Managementsystem für Informationssicherheit und die Behandlung von Vorfällen; ab dem 3. April 2028 das erste Audit wesentlicher Einrichtungen und mögliche Sanktionen.
Wie ich in dieser Etappe arbeite.
- Die ersten 90 TageEine erste Erkundung und dringende „Warnsignale“, der Aufbau der Register und die Prüfung der Verträge, ein Bericht für den Vorstand mit einer Roadmap für 12–24 Monate.
- Fester RhythmusStatusmeldungen und Treffen, Register, ein monatlicher Bericht für den Vorstand. Den Rhythmus legen wir nach der Zahl der Projekte fest und danach, wie viel Zeit Ihre IT hat.
- Grundsatz der ZusammenarbeitJede Maßnahme hat einen Verantwortlichen auf Ihrer Seite. Ich übernehme nicht die Umsetzung und entscheide nicht für Sie.
Wenn mehrere Projekte laufen und die IT-Abteilung kaum mit dem Betrieb der Systeme nachkommt, fehlt jemand, der im Alltag das Ganze im Blick behält. In der Rolle des festen Koordinators auf Seiten des Auftraggebers führe ich die Register für Projekte, Maßnahmen, Risiken, Entscheidungen und Dokumente, hole Statusmeldungen ein, erinnere an Fristen und eskaliere, wenn eine Sache stockt. Ich übernehme nicht die Umsetzung und entscheide nicht für Sie: Jede Maßnahme hat einen Verantwortlichen auf Ihrer Seite.
- Eine aktuelle Liste der Projekte, Maßnahmen, Risiken, Entscheidungen und Dokumente mit Verantwortlichem, Frist und Status.
- Wöchentliche Statusmeldungen und ein Statustreffen mit Notiz und Maßnahmenliste, ein monatlicher Bericht für den Verwaltungsleiter, den Geschäftsführer oder den Vorstand.
- Erinnerungen, Kontrolle der Vollständigkeit der Dokumentation, Frühwarnung vor Risiken und Vorbereitung von Eskalationen.
- Koordination der Informationen mit den Anbietern: Statusmeldungen, Zusagen und Termine.
Den Rhythmus legen wir nach der Zahl der Projekte fest und danach, wie viel Zeit Ihre IT hat:
- Grundrhythmus, einmal im Monat: Aktualisierung der Register, bis zu zwei Statustreffen und ein monatlicher Bericht.
- Regelmäßig, jede Woche: Statusmeldungen, Statustreffen, Register, Nachverfolgung und ein monatlicher Bericht für den Vorstand.
- Intensiv, ein- bis zweimal pro Woche: ein größeres Projektportfolio, Abhängigkeiten zwischen den Projekten und Sanierungspläne für gefährdete Projekte.
- Übergangsphase, mehrmals pro Woche: für einige Monate, wenn die Organisation eine Lücke im Projektmanagement hat und das Portfolio rasch geordnet werden muss. Danach kehren Sie zu einem leichteren Rhythmus zurück.
Meine Kompetenz in dieser Etappe.
Ich berate Vorstände aus der Perspektive von jemandem, der sowohl die IT als auch das Geschäft kennt, und trage Wissen so zusammen, dass jedes Projekt den festgelegten Geschäftszielen dient.
Digitale Transformation und Veränderungsmanagement.
Das ist die Schlüsselkompetenz, die alle Etappen verbindet: über 20 Jahre Arbeit in vielen Organisationen, auf der Seite des Auftraggebers.
Häufige Fragen zu dieser Etappe.
Übernehmen Sie unsere IT-Abteilung?
Nein. Ich übernehme weder die IT-Abteilung noch ihr Budget. Ich übersetze die Absichten des Vorstands in Anforderungen, bewerte die Empfehlungen der IT und vertrete die Interessen des Auftraggebers gegenüber den Anbietern.
Wie oft treffen wir uns?
Den Rhythmus legen wir nach der Zahl der Projekte fest und danach, wie viel Zeit Ihre IT hat: vom Grundrhythmus (einmal im Monat) über den regelmäßigen (jede Woche) und den intensiven bis zur Übergangsphase für einige Monate.
Sind Sie Spezialist für Cybersicherheit?
Nein, und ich gebe auch nicht vor, es zu sein. Bei KSC ist meine Rolle, die Umsetzung auf Seiten des Vorstands zu steuern: Dokumentation, Fristen, Anbieter, Bericht. Die technischen Arbeiten und das Audit übernehmen spezialisierte Firmen, und ich sorge dafür, dass sie einen klaren Auftrag bekommen und der Vorstand weiß, was daraus folgt.
Sprechen wir über diese Etappe.
Das erste Gespräch dauert 30 Minuten und kostet nichts. Ich antworte innerhalb von 2 Werktagen.