Vierzehn Zeilen auf einer Folie. Lizenzen, Verlängerungen, ein Penetrationstest, zwei Stellen, Awareness-Training, ein SIEM-Upgrade.
Ihr CFO schaut sich das etwa elf Sekunden lang an.
„Welche drei würden Sie streichen?"
Sie haben keine Antwort. Also wählt der CFO drei aus.
Damit haben Sie ihm etwas Schlimmeres mitgeteilt als jede Zahl auf dieser Folie. Sie haben ihm gezeigt, dass Sie keine Prioritätenreihenfolge haben. Jetzt hat er eine, zusammengestellt danach, welche Begriffe einer Person, die nicht im Sicherheitsbereich arbeitet, am wenigsten wesentlich erschienen.
Ihr CFO kürzt nicht Ihr Budget. Er kürzt die Positionen, die er nicht einordnen kann.
Ein CFO unterschreibt zweihundert Tausend, die er versteht, bevor er vierzig Tausend unterschreibt, die er nicht versteht. Das ist keine Feindseligkeit. Das ist die Stellenbeschreibung.
Was die fünf Zeilen sind
Keine Ausgabenkategorien. Entscheidungskategorien.
- Run: wofür wir bereits bezahlen
- Comply: was wir schriftlich zugesagt haben
- Reduce: die Risiken, die wir dieses Jahr abbauen
- Capacity: Personal, Tage, Schulungen
- The bad day: was wir brauchen, wenn etwas schiefläuft
Vier davon sind nicht wirklich verhandelbar, und das frühzeitig zu sagen ist der gesamte Sinn der Übung. Es bleibt eine Zeile zum Diskutieren übrig, und das ist eine Besprechung, die Sie tatsächlich gewinnen können.
Hier ist jede einzelne davon, und was sie zu Fall bringt.
1. Run: Wofür Sie bereits bezahlen
Lizenzen, Verlängerungen, der Managed Service, die Logging-Rechnung, Zertifikatspflege.
Das ist kein Vorschlag. Es ist eine Verlängerung. Das in den ersten dreißig Sekunden so zu benennen, entkräftet die meisten Einwände, bevor sie entstehen, denn niemand diskutiert über den Strom.
Tipp: Jedes Sicherheitsbudget enthält eine Position, die niemand erklären kann, meistens ein Tool, das von jemandem beschafft wurde, der inzwischen nicht mehr da ist. Finden Sie Ihre Position, bevor es Ihr CFO tut. Mit einer bereits gestrichenen Position in die Besprechung zu gehen, ist die günstigste Glaubwürdigkeit, die Sie je erwerben werden, und es verändert, wie der Rest der Seite gelesen wird.
2. Comply: Was Sie schriftlich zugesagt haben
Was Sie vertraglich zugesagt haben und was das Gesetz verlangt. Das Zertifikat. NIS 2. DORA. Die Sicherheitsklausel im Vertrag mit Ihrem größten Kunden.
Hier zu kürzen bricht etwas mit einem Namen daran, und das Finanzwesen liest vertragliche Risiken sehr viel besser als technische.
Tipp: Name it. "Regulatory requirement" is invisible. "Clause 8.3 of the contract with our largest client, which renews in March" is not. One is a category. The other is a number your CFO can already picture.
3. Reduce: Die einzige Zeile, über die es sich zu streiten lohnt
Die zwei oder drei Risiken, die Sie dieses Jahr abbauen, jeweils mit einem Betrag.
Das ist die einzige wirklich diskretionäre Zeile auf der Seite. Das bedeutet, genau hier sollte die Diskussion stattfinden, und nirgendwo sonst. Wenn Sie die anderen vier Zeilen richtig strukturiert haben, verdichtet sich die gesamte Besprechung planmäßig auf diese eine Zeile.
Die Zahlen kommen aus Ihrem Risikoregister. Nicht aus dem Kopf und nicht aus einer Anbieterpräsentation. Wenn Ihr Register eine Liste fehlender Controls ist statt Szenarien mit verknüpften Konsequenzen, haben Sie hier nichts einzutragen.
Tipp: Test each entry by starting the sentence with "the risk that". If it still makes sense, it belongs in line three. "No MFA" fails that test. It is a gap, not an exposure, and it will not survive a CFO asking what it costs you.
4. Capacity: Der erste Schnitt und der teuerste
Personal. Externe Tage. Schulungen.
Der erste Schnitt, am schwierigsten zu verteidigen, weil die Kosten des Fehlens als Langsamkeit erscheinen und nicht als Ausfall. Niemand schreibt jemals einen Incident-Report über ein Team, das zu dünn besetzt war, um die Arbeit zu erledigen.
Tipp: Attach capacity to something with a date on it. "Two hundred days of external support" dies in the room. "Enough external support to close the internal audit programme before the surveillance visit" survives, because it is now protecting an outcome your CFO already knows exists.
5. The Bad Day: Die Zeile, die das Finanzwesen am besten versteht
Incident-Response-Retainer. Forensik auf Abruf. Rechtsbeistand, der Ihre Umgebung bereits kennt.
Im Finanzbereich landet die Notfallrechnung, deshalb wird diese Zeile am schnellsten gelesen. Der Vergleich schreibt sich von selbst: die Kosten des Retainers gegenüber den Kosten, dieselbe Leistung um zwei Uhr morgens während eines Incidents einzukaufen, ohne Verhandlungsposition und ohne Zeit für ein Vergabeverfahren.
Klein, konkret, leicht zustimmungsfähig. Es verschiebt außerdem den Grundton der gesamten Diskussion von Ausgaben hin zu Versicherung, eine Sprache, die das Finanzwesen bereits fließend spricht.
6. Regeln für die Besprechung
Bringen Sie Ihren eigenen Schnitt mit. Gehen Sie mit den fünf Zeilen und einer zweiten Version bei sechzig Prozent in die Besprechung, und sagen Sie klar, was die Sechzig-Prozent-Version einstellt. Man wird Sie in dieser Besprechung nicht auffordern, Ihr Budget zu rechtfertigen. Man wird Sie fragen, welche Version genommen wird. Das ist eine andere Diskussion, und Sie führen sie jetzt.
Every line answers "what if it is zero". Wenn Sie nicht sagen können, was zusammenbricht, ist die Zeile bereits tot. Streichen Sie sie selbst, vor der Besprechung, und werten Sie es als Gewinn.
Eine Zahl pro Zeile. Fünf Zahlen. Keine Tabelle. Wenn die Details gewünscht werden, wird man fragen, und dann beantworten Sie eine Frage, statt ein Dokument zu verteidigen. Das fühlt sich von der anderen Seite des Tisches sehr anders an.
Benennen Sie den Business Owner jeder Risikoreduktion. Nicht Sie. Die Person, der der Prozess gehört, den Sie schützen. Eine Zeile mit einem Operations Director dahinter hört auf, ein Sicherheitskosten zu sein, und wird zu einem Geschäftskosten, den Security zufällig verwaltet.
Never say "best practice". Your CFO hears "no business case". Same for "industry standard" and "the auditors expect it". Both are true. Neither is an argument.
Sie konkurrieren nicht mit Nein. Sie konkurrieren mit zwei weiteren Vertriebsmitarbeitern. Das ist der eigentliche Vergleich, der im Raum angestellt wird. Stellen Sie ihn also selbst an: zwei Neueinstellungen im Vertrieb gegen das, was verhindert, dass Sie den Kunden verlieren, den Sie bereits haben. Das Finanzwesen kann das bepreisen. Das Finanzwesen kann keine Bedrohungslandschaft bepreisen.
Anekdote: Die nützlichste Budgetbesprechung, die ich je hatte, dauerte vier Minuten. Ich begann mit Zeile eins und erklärte, dass wir ein Tool abschalten, für das wir seit 2021 bezahlen und das niemand mit einer Entscheidung verknüpfen konnte. Alles danach wurde als ernsthaftes Dokument gelesen statt als Wunschliste, und Zeile drei wurde ohne Rückfrage genehmigt. Ich habe nie mehr erreicht, indem ich Geld zurückgegeben habe.
7. Wenn sie Zeile drei kürzen: Schreiben Sie es auf
Das kann passieren. Es ist die diskretionäre Zeile, und diskretionär bedeutet genau das. Das ist eine legitime Geschäftsentscheidung, und sie gehört ihnen.
Es ist auch eine Risikoakzeptanz.
Also kommt es ins Register. Mit Datum, Beschreibung und ihrem Namen darauf. Nicht als Drohung und nicht als Vergeltung, sondern weil ISO/IEC 27001 Clause 6.1.3 genau das vorsieht, wenn ein Risikoeigentümer entscheidet, etwas zu tolerieren. Ihr CFO ist ein Risikoeigentümer, unabhängig davon, ob dieser Begriff jemals in seiner Gegenwart verwendet wurde.
Zwei Dinge ändern sich in dem Moment, in dem Sie das tun.
Die Entscheidung hört auf, eine Budgetposition zu sein, und wird zu einem Governance-Eintrag. Das bedeutet, sie erscheint im Management Review und vor Ihrem Auditor. Und nächstes Jahr, wenn dasselbe Risiko noch auf der Seite steht, beginnt die Diskussion mit einer Entscheidung, die sie getroffen haben, statt mit einer Anfrage, die Sie wiederholen.
Diese zwei Besprechungen verlaufen sehr unterschiedlich.
Tipp: Senden Sie den Registereintrag in derselben Woche, in zwei Sätzen, mit dem Akzeptanzdatum und einem Überprüfungsdatum. Kein Memo, keine Warnung. Ein Nachweis. Wenn ein Begleittext nötig ist, der erklärt, warum Sie ihn senden, haben Sie ihn falsch formuliert.
Abschließender Gedanke
Die meisten Sicherheitsbudgets scheitern, weil sie eine Einkaufsliste sind, die von der Person verteidigt wird, die einkaufen möchte. Fünf Zeilen, jede mit einem Verantwortlichen, sind ein Governance-Dokument, das zufällig Zahlen enthält.
Gleicher Inhalt. Völlig andere Besprechung.
„Welche drei würden Sie streichen?"
Mit vierzehn Zeilen beendet diese Frage die Diskussion. Mit fünf beginnt sie eine.
Alles oben Gesagte gehört zu CISM Domain 1. Den Business Case aufbauen, Sicherheitsausgaben auf die tatsächlichen Ziele der Organisation ausrichten und an Personen berichten, die nicht im Sicherheitsbereich arbeiten. Domain 2 ist der Ursprung der Zahlen in Zeile drei. Wenn Sie diese Gespräche auf Basis eines Frameworks statt aus dem Bauch heraus führen möchten, ist das das, was wir im **CISM: Certified Information Security Manager**vermitteln. Vier Tage, ISACA-akkreditiert, alle vier Domains und die Prüfung. Zertifiziert oder erstattet.