CISO · Executive Search · NIS2
Informationssicherheit ist Chefsache.
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es erweitert den Kreis der regulierten Unternehmen erheblich und nimmt die Geschäftsleitung persönlich in die Verantwortung. Wer diese Verantwortung auf Leitungsebene besetzen will, findet die richtigen Menschen nicht über eine Anzeige. Wir besetzen solche Positionen seit Jahren.
NIS2 · Was Mittelständler wissen sollten
Cybersicherheit ist Chefsache, auch rechtlich.
Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Es betrifft Unternehmen in 18 Sektoren, sofern sie eine bestimmte Größe erreichen. Maßgeblich sind Beschäftigtenzahl, Umsatz und Bilanzsumme.
Die Geschäftsleitung muss die Maßnahmen des Risikomanagements billigen und ihre Umsetzung überwachen. Diese Verantwortung lässt sich nicht vollständig delegieren, und sie ist mit persönlicher Haftung verbunden.
Eine Pflicht, eine Person unter dem Titel CISO zu benennen, schreibt das Gesetz nicht ausdrücklich vor. In der Praxis braucht ein betroffenes Unternehmen dennoch jemanden mit Befugnis, Erfahrung und direktem Zugang zur Geschäftsleitung, der diese Aufgabe trägt.
Dies ist eine allgemeine Einordnung und keine Rechtsberatung. Ob und wie Ihr Unternehmen betroffen ist, klären Sie mit Ihrer Rechtsberatung.
Warum der CISO-Markt anders funktioniert.
Der klassische Mittelstand hat bisher selten einen CISO gesucht. Er kennt die Kandidatenprofile nicht, weiß nicht, wo diese Menschen sind, und unterschätzt, was die Position kostet und was sie wert ist.
Die besten Profile sind tief in Unternehmensstrukturen verankert, bewegen sich in geschlossenen Fachkreisen und reagieren nicht auf Stellenanzeigen. Sie reagieren auf einen direkten Anruf von jemandem, den sie kennen oder respektieren.
Genau dort setzt Personal Wünsche an.
Was einen guten Mittelstands-CISO ausmacht.
Ein CISO für den Mittelstand ist kein CISO für einen DAX-Konzern. Die Anforderungen unterscheiden sich grundlegend.
Im Mittelstand gibt es kein 50-köpfiges Security-Team. Der CISO muss konzipieren und operativ führen können, beides gleichzeitig.
Er erklärt Cyberrisiken dem Gesellschafter, nicht dem CISO-Board. Das erfordert eine andere Sprache und eine andere Haltung.
Er kennt die Anforderungen des NIS2-Umsetzungsgesetzes, ISO 27001 und die BSI-Standards und setzt sie pragmatisch um.
Der Mittelstand hat eine eigene Kultur. Wer jahrelang in Konzernen gearbeitet hat, scheitert oft an der Direktheit und Eigenverantwortung, die hier erwartet wird.
Unsere Erfahrung in diesem Segment.
Personal Wünsche besetzt seit Jahren Führungspositionen an der Schnittstelle von Technologie, Sicherheit und Unternehmensführung im deutschsprachigen Mittelstand. Wir kennen die Kandidaten, die infrage kommen, und wir kennen die Inhaber, die sie einstellen.
Kein Datenbankabgleich. Keine Stellenanzeigen. Direktansprache von Menschen, die nicht suchen.