Der aktuelle CISO-Report 2026 von Sophos und Cybersecurity Ventures zeigt ein strukturelles Problem der IT-Sicherheit: Weltweit stehen rund 35.000 CISOs etwa 359 Millionen Unternehmen gegenüber. Der Mangel an strategischer Sicherheitsführung erhöht die Bedeutung von MSPs und MSSPs.
Foto: Sophos
Joe Levy, CEO von Sophos
Die Rolle des Chief Information Security Officer (CISO) gilt als zentrale Instanz für die Steuerung von IT-Sicherheitsstrategien in Unternehmen. Sie umfasst die Bewertung von Risiken, die Priorisierung von Investitionen und die Vorbereitung auf Bedrohungen wie Ransomware oder Angriffe auf Lieferketten. Dennoch zeigt der aktuelle CISO-Report 2026, dass diese Funktion global nur in einem Bruchteil der Organisationen vorhanden ist – mit weitreichenden Folgen für die Cybersicherheit.
Die Zahlen verdeutlichen die Dimension der Herausforderung: Weltweit gibt es rund 35.000 CISOs, die rechnerisch für etwa 359 Millionen Unternehmen stehen. Dieses Missverhältnis zeigt, dass strategische Sicherheitsverantwortung in vielen Organisationen fehlt.
„Das sind keine guten Aussichten. Das ist ein Marktversagen. Das Cybersicherheits-Ökosystem hat noch nicht herausgefunden, wie diese Lücke geschlossen werden kann. Wir haben jetzt das Potenzial, dies zu tun“,
sagt Joe Levy, CEO von Sophos.
Gleichzeitig zeigt sich eine hohe Fluktuation in der Rolle selbst: 75 Prozent der Sicherheitsverantwortlichen erwägen einen Jobwechsel. Die durchschnittliche Verweildauer von 18 bis 26 Monaten unterstreicht die Belastung und die Schwierigkeit, diese Position langfristig zu besetzen.
Parallel zum Fachkräftemangel verschärft sich die Bedrohungslage. Prognosen zufolge werden die globalen Schäden durch Cyberangriffe bis 2031 auf mehr als 11 Billionen Euro jährlich anwachsen – eine Verdopplung gegenüber 2021.
Auch einzelne Angriffstypen gewinnen an Bedeutung: Für 2026 werden bei Ransomware weltweit Schäden in zweistelliger Milliardenhöhe erwartet, mit weiter steigender Tendenz. Unternehmen ohne strategische Sicherheitsführung sind dadurch besonders anfällig für Betriebsstörungen, wirtschaftliche Verluste und Reputationsschäden.
Kleine und mittlere Unternehmen sind von dieser Entwicklung besonders betroffen. Sie stellen den Großteil der globalen Wirtschaft, verfügen jedoch meist nicht über eigene CISO-Strukturen. Hinzu kommt, dass ein erfahrener CISO mit jährlichen Kosten zwischen 218.000 und 348.000 Euro für viele Organisationen wirtschaftlich schwer darstellbar ist.
Vor diesem Hintergrund gewinnen externe Modelle an Bedeutung. Managed Services Provider (MSPs) und Managed Security Service Provider (MSSPs) übernehmen zunehmend auch strategische Aufgaben, um fehlende Kapazitäten auszugleichen.
„Es gibt die Chance, durch ein hybrides Modell aus Menschen und Technologie die nächste Generation von MSPs und MSSPs zu schaffen – für Hunderte Millionen von Unternehmen, die sonst keinen Zugang dazu hätten“,
erklärt Joe Levy.
Der Report beschreibt damit eine Entwicklung hin zu skalierbaren Sicherheitsmodellen, bei denen strategische Funktionen teilweise ausgelagert werden. Dieser Ansatz soll insbesondere Organisationen ohne eigene Sicherheitsleitung den Zugang zu zentralen CISO-Aufgaben ermöglichen.
Die Ergebnisse zeigen, dass klassische Sicherheitsstrukturen zunehmend an ihre Grenzen stoßen. Der Bedarf an strategischer Sicherheitskompetenz wächst schneller, als er intern gedeckt werden kann.
Gleichzeitig sind bestehende Ansätze wie virtuelle CISOs nur begrenzt skalierbar, da sie weiterhin stark von personellen Ressourcen abhängen. Daraus ergibt sich die Notwendigkeit, neue Modelle zu entwickeln, die sowohl technologische als auch organisatorische Ansätze kombinieren.
Die Entwicklung deutet darauf hin, dass sich die Rolle der Cybersicherheitsverantwortung künftig stärker verteilt und über Partnerstrukturen organisiert wird. Entscheidend wird sein, wie sich diese Modelle skalieren lassen, um der steigenden Nachfrage gerecht zu werden.
Der vollständige CISO Report 2026 steht in englischer Sprache zum Download bei Sophos bereit.
