CISOs stehen in der Zwickmühle: Lokale und internationale Regulierungen werden schärfer und detaillierter, während das Business weiterhin Skalierung, Geschwindigkeit und neue digitale Geschäftsmodelle erwartet. Zwischen NIS2, DORA, KI-Regulierung und regionalen Spezialvorgaben, entsteht ein Spannungsfeld, in dem „nur Compliance“ nicht mehr reicht – die Unternehmensleitung fordert von uns CISOs, diesen Spagat aufzulösen und Orientierung für Produktsicherheit und Investitionen sowie klare Risikoentscheidungen mit Handlungsoptionen zu geben.

Im Workshop diskutieren wir, wie ein pragmatisches Kollaborationsmodell zur Umsetzung lokaler regulatorischer Anforderungen umgesetzt werden kann. Dabei berücksichtigen wir, dass dies so gestaltet werden muss, dass es ohne Verlust an Effektivität oder Effizienz in den Geschäftsmodellen und Prozessen erfolgt

Im Vorgehen beleuchten zwei Kernperspektiven:

1. Anpassung von Geschäftsmodellen/-prozessen mit dem Ziel, einer managementtauglichen und akzeptierten „Risk Matrix“ für Entscheider zur Gestaltung und Steuerung von Veränderungen („Blueprint für eine CISO-Positionierung auf Augenhöhe“)
– Welche Veränderungen sind notwendig / möglich, ohne Effektivität oder Effizienz einzubüßen?
– Welche Auswirkungen haben diese auf den Unternehmensbetrieb und
– wie können diese gegenüber Top-Management und Geschäftsführung in der Rolle des CISO als Partner auf Augenhöhe adressiert werden – inklusive Diskussion von Risiken und Risikoappetit bei (teilweiser) Nicht-Umsetzung von regulatorischen Anforderungen.

2. Kommunikation mit Regulierungsbehörden mit dem Ziel eines Kollaborationsmodells für globale Unternehmen (Hinweis: Schnittmenge Workshop 1: „Stop crying, start collaborating“ mit ähnlichem Fokus auf Anbieterunternehmen im Security-Umfeld)
– Visualisierung, wie Business, CISO-Organisation, Legal/Compliance und lokale Einheiten zusammenarbeiten, um regulatorische Anforderungen in unterschiedlichen Jurisdiktionen konsistent und geschäftsorientiert umzusetzen
– Kommunikations- und Behörden-Matrix – ein Modell, das Rollen, Schnittstellen, Kommunikationswege und Tools in der Interaktion mit Regulierungsbehörden beschreibt (z. B. Formate, Eskalationspfade, Co-Creation-Ansätze), inklusive Differenzierung nach Regionen/Regimetypen.Wie führen wir einen konstruktiven Dialog mit Wirkung auf Behörden und „die Regulierung“ mit dem Ziel, Transparenz und Verständnis für die Herausforderungen von uns als Unternehmen zu erreichen ohne deren Sinn / Autorität zu entkräften, aber gleichzeitig deren Vorgaben in einer dynamischen Unternehmenswelt anwendbar zu machen??
– Wie kann Regulierung der Dynamik von Entwicklungen, u.a. Agentic AI Schritt halten und welchen Beitrag können wir als Anwender dabei leisten?
– Welche Formen der Zusammenarbeit mit Behörden (von Lobbying bis Co-Creation) sind denkbar?
Welche Abstufungen können bei regulatorischen Anforderungen zukünftig gefunden werden (Muss/Soll/Kann) und wie werden sie in ein steuerbares Unternehmensrisiko übersetz?