❓ Wogegen entscheiden wir eigentlich?

„Sicherheit ist ein Entscheidungsproblem, kein Werkzeugproblem." Der Satz stimmt zur HĂ€lfte. Denn jede Beschaffung ist bereits eine Entscheidung: darĂŒber, was zĂ€hlt, was wartet und was niemand ansieht. Wir entscheiden nicht zu selten. Wir entscheiden verdeckt – und nennen es Einkauf.

🔍 Was verrĂ€t das Budget?

Ein Risikoregister zeigt, was eine Organisation zu Protokoll gibt. Das Budget zeigt, was sie tatsĂ€chlich vorzieht. Wo beide sich widersprechen, hat das Budget recht. Der Benchmark von IANS und Artico Search zeigt fĂŒr 2025 eine Asymmetrie: FĂŒr Werkzeuge ist Geld da, fĂŒr Personal nicht. Nur 45 Prozent der befragten CISOs konnten Stellen aufbauen – vor drei Jahren waren es 67 Prozent. Zugleich kommen laut der SANS 2025 SOC Survey zwei Drittel der Teams mit dem Alarmaufkommen nicht hinterher. Wir haben also Augen gekauft und keine HĂ€nde. Das ist eine Priorisierung – nur hat sie niemand als solche beschlossen. Den Rahmen setzt selten die Sicherheitsfunktion. Ihn zu fĂŒllen aber schon.

⚡ Warum weichen beide voneinander ab?

Weil eine Beschaffung Verantwortung verteilt und eine ausdrĂŒckliche Risikoakzeptanz sie bĂŒndelt. FĂŒr ein Werkzeug bĂŒrgen ein Gremium, ein Vertrag und ein Anbieter. FĂŒr den Satz „Dieses Risiko tragen wir" bĂŒrgt eine Person. Gerd Gigerenzer und sein Team haben es gemessen: 950 FĂŒhrungskrĂ€fte einer öffentlichen Verwaltung nannten ihre zehn wichtigsten Entscheidungen des vergangenen Jahres. Im Schnitt fielen 2,5 davon defensiv: bewusst die zweitbeste Option, weil sie sich hinterher besser verteidigen lĂ€sst. Ich halte die Werkzeugfrage deshalb fĂŒr die bequemste Ablenkung, die unsere Branche kennt. Sie beschĂ€ftigt uns mit dem, was wir bestellen können, statt mit dem, wofĂŒr wir geradestehen.

🎯 Was daraus folgt

Das NIST CSF 2.0 verlangt in seiner GOVERN-Funktion die Verbindung, die in der Praxis fehlt: Ausgaben, die aus einem erklÀrten Risikoappetit folgen. Bei vier Prozent Budgetwachstum wird sie nicht bequemer, sondern dringlicher. Reife zeigt sich dort, wo Budget und Risikoregister dieselbe Geschichte erzÀhlen.

Wer wissen will, welche Risiken eine Organisation wirklich akzeptiert, muss nicht ins Risikoregister sehen. Die Rechnungen genĂŒgen.

📚🔍