Interim CTO Schweiz: Mandat nach kritischen Auditbefunden steuern

Ein externes IT-Sicherheits-Audit meldet kritische Befunde. Die Geschäftsleitung muss entscheiden, was sofort geschehen soll, wer die Umsetzung führt und welche Restrisiken sie dem Verwaltungsrat vorlegt. Im Alltag fehlen dafür jedoch eine technische Führungsperson mit freier Kapazität und ein belastbarer Überblick über Abhängigkeiten.

Ein Interim CTO Schweiz kann diese Führungslücke auf Zeit schliessen. Das Mandat sollte aber weder pauschal «alle Sicherheitsprobleme lösen» noch die Risikoentscheide der Geschäftsleitung übernehmen. Dieser Beitrag zeigt, wie Sie Auftrag, Prioritäten, Nachweise und Übergabe so festlegen, dass aus Auditbefunden kontrollierte Massnahmen werden.

Wann ist ein Interim-Mandat nach dem Audit sinnvoll?

Ein Auditbericht allein begründet noch kein Interim-Mandat. Entscheidend ist, ob jemand mit ausreichender technischer Führungskapazität Befunde einordnen, Arbeit zwischen Teams und Dienstleister:innen koordinieren und Entscheidungen rechtzeitig zur Geschäftsleitung bringen kann. Fehlt diese Rolle, kann ein CTO auf Zeit die Umsetzung führen; die geschäftliche Verantwortung für Risiken bleibt bei der Unternehmensleitung.

Annahme, kein Remoteplatz-Kundenfall: Ein Schweizer KMU erhält von externen Prüfer:innen mehrere priorisierte Sicherheitsbefunde. Die IT bearbeitet bereits laufende Projekte, während die bisherige technische Führung ausgeschieden ist. Für die Geschäftsleitung ist nicht nur die Schwere einzelner Befunde offen, sondern auch, welche Systeme betroffen sind, welche Arbeiten sich gegenseitig blockieren und wer eine Betriebsunterbrechung freigeben dürfte.

Ähnlicher Führungsbedarf kann nach einem CTO-Abgang, bei starkem Wachstum nach einer Finanzierung oder im Umfeld einer Transaktion entstehen. Der Schwerpunkt dieses Beitrags ist jedoch die Steuerung der Auditmassnahmen. Für die unmittelbare Führungslücke nach einem Abgang lesen Sie den Beitrag zu den ersten 30 Tagen nach einem CTO-Abgang; bei einer Übernahme mit Integrationsauftrag hilft die Abgrenzung des IT-Integrationsmandats.

Prüfen Sie vor der Beauftragung drei Fragen: Braucht es Führung für mehrere Teams und Abhängigkeiten? Müssen Entscheide zwischen Sicherheitsrisiko, Betrieb und Delivery laufend vorbereitet werden? Wer übernimmt nach dem Mandat die Verantwortung? Geht es nur um eine eng umrissene Prüfung oder einzelne Fachaufgaben, ist ein umfassendes CTO-Mandat möglicherweise nicht die passende Antwort.

Interim CTO Schweiz: Was gehört in den Auftrag?

Der Auftrag sollte ein überprüfbares Ergebnis beschreiben, nicht bloss eine Rolle besetzen. Als Ausgangspunkt dienen der Auditbericht, bekannte betroffene Systeme und die Zuständigkeiten im Unternehmen. Der Interim CTO prüft die für die Umsetzung nötigen Zusammenhänge, erarbeitet mit der Geschäftsleitung einen Prioritätenplan und führt die vereinbarten Massnahmen über bestehende Teams und geeignete Fachpersonen.

• Geltungsbereich: Benennen Sie betroffene Systeme, Teams, Dienstleister:innen und Auditbefunde. Halten Sie auch fest, welche Themen ausserhalb des Mandats liegen.
• Entscheidungsrechte: Legen Sie fest, welche operativen Massnahmen der Interim CTO freigeben darf und wann Geschäftsleitung oder Verwaltungsrat entscheiden müssen, etwa bei erheblicher Betriebswirkung oder bewusst verbleibendem Risiko.
• Ressourcen: Klären Sie, welche internen Personen Zeit für Analyse, Änderungen und Tests haben und wann externe Spezialist:innen benötigt werden. Führung ersetzt keine fehlende Umsetzungskapazität.
• Ergebnisse: Verlangen Sie eine nachvollziehbare Befundliste, einen abgestimmten Massnahmenplan, regelmässige Statusberichte und eine dokumentierte Übergabe.
• Ende des Mandats: Definieren Sie, wer offene Massnahmen, Zugänge und Berichtswege übernimmt, statt das Mandat erst bei einer unbestimmten Vorstellung von «vollständiger Sicherheit» auslaufen zu lassen.

Vereinbaren Sie zudem, wie Änderungen am Umfang beschlossen werden. Treten neue Befunde auf, muss sichtbar sein, welche bisher geplante Arbeit dafür verschoben wird. Ein auf Zeit eingesetzter CTO darf nicht zur stillen Sammelstelle für jede liegen gebliebene IT-Aufgabe werden. Die Leistungsseite zum Interim CTO beschreibt das Modell der technischen Führung auf Zeit; ob Umfang und Verfügbarkeit zum Auditfall passen, ist Gegenstand des Scopings.

Wie werden Auditbefunde zu kontrollierten Massnahmen?

Übernehmen Sie die Reihenfolge des Auditberichts nicht ungeprüft als Umsetzungsplan. Die ausgewiesene Kritikalität ist ein wichtiger Ausgangspunkt. Für die konkrete Reihenfolge muss die technische Führung zusätzlich klären, ob ein System tatsächlich betroffen ist, welche Abhängigkeiten bestehen, wie rasch eine Massnahme wirksam wird und welche Folgen eine Änderung für den Betrieb hat. Abweichungen von der Auditpriorität gehören mit Begründung in den Plan.

1. Bestandsaufnahme: Gleichen Sie Befunde mit Architektur, Zuständigkeiten, laufenden Arbeiten und bekannten Risiken ab. Unklare oder widersprüchliche Befunde gehen zur Klärung an die zuständigen Fachpersonen oder Prüfer:innen.
2. Sofortmassnahmen: Legen Sie fest, was bis zur dauerhaften Behebung das Risiko begrenzt. Bestimmen Sie für jede Massnahme eine verantwortliche Person und einen Zeitpunkt für die erneute Beurteilung.
3. Umsetzungsplan: Erfassen Sie für jeden Befund Ergebnis, Abhängigkeiten, benötigte Freigaben und Kriterien für die Wirksamkeitsprüfung. Integrieren Sie die Arbeit sichtbar in die bestehende Delivery-Planung.
4. Nachweis und Restrisiko: Dokumentieren Sie, was geändert und geprüft wurde. Wo das Risiko bestehen bleibt, bereitet der Interim CTO Optionen vor; die zuständige Unternehmensleitung entscheidet über die weitere Behandlung.

Ein als «erledigt» markiertes Ticket ist noch kein Wirksamkeitsnachweis. Je nach Befund können eine technische Überprüfung, ein erneuter Test durch qualifizierte Fachpersonen oder eine Rückfrage an die externen Prüfer:innen nötig sein. Wenn Hinweise auf einen laufenden Sicherheitsvorfall bestehen, muss das Unternehmen parallel seinen dafür vorgesehenen Eskalationsweg nutzen; ein regulärer Massnahmenplan ersetzt keine Vorfallreaktion.

Wer entscheidet, und wie erkennt der Verwaltungsrat Fortschritt?

Ein kurzer, fester Berichtsweg ist nützlicher als eine lange Liste grüner und roter Tickets. Die Geschäftsleitung benennt eine interne Auftraggeber:in. Der Interim CTO führt die technische Umsetzung und legt Entscheidungsbedarf offen. Systemverantwortliche und ausführende Fachpersonen liefern Änderungen und Prüfergebnisse. Der Verwaltungsrat erhält eine für seine Aufsicht geeignete Sicht auf wesentliche Risiken, Zielkonflikte und offene Entscheide.

• Je Befund: Wer ist für die Massnahme verantwortlich, welcher Zustand soll erreicht werden und wodurch wird die Wirkung belegt?
• Je Berichtsperiode: Was ist nachweislich abgeschlossen, was ist blockiert und welche Entscheidung wird von wem bis wann benötigt?
• Bei Abweichungen: Welche Auswirkung hat eine Verzögerung auf Risiko, Betrieb und andere geplante Arbeiten?
• Bei Abschluss: Wer akzeptiert das verbleibende Risiko und wer verfolgt noch offene Punkte weiter?

So wird die operative Steuerung delegiert, ohne Risikoentscheide zu verschleiern. Vermeiden Sie insbesondere eine Fehlbesetzung, bei der zwar technische Befunde verständlich erklärt werden, aber Erfahrung in teamübergreifender Führung, Priorisierung und Eskalation fehlt. Klären Sie diese Fähigkeiten im Scoping anhand des konkreten Auditauftrags. Falls stattdessen eine längerfristige, begrenzte Führungsbegleitung benötigt wird, kann CTO as a Service eine andere Form der Zusammenarbeit sein.

Wie endet das Mandat ohne neue Führungslücke?

Planen Sie die Übergabe bei der Beauftragung, nicht erst nach Abschluss der dringlichsten Befunde. Ein befristetes Mandat kann Vollzeit oder an mehreren Tagen pro Woche angelegt sein; entscheidend ist, ob Präsenz und Entscheidungswege zur Dringlichkeit und zum Umfang passen. Qualitative Aufwandstreiber sind unter anderem die Zahl betroffener Systeme, ungeklärte Abhängigkeiten, verfügbare interne Fachkapazität und der Bedarf an zusätzlichen Prüfungen.

Für die feste Nachfolge sollte der Interim CTO den Stand der Befunde, offene Risiken, Architekturentscheidungen, Zuständigkeiten, Roadmap und Berichtswege dokumentieren und die neue Führungskraft einarbeiten. Auf Wunsch kann er auch das Rollenprofil definieren und technische Interviews führen. Ist eine dauerhafte Vollzeitrolle noch nicht sinnvoll, prüfen Sie einen geregelten Übergang in ein Fractional-Modell; die Unterschiede erläutert der Beitrag Fractional CTO oder Festanstellung.

Halten Sie für den Abschluss fest, welche Massnahmen abgenommen sind, welche Nachweise noch fehlen und wer jeden offenen Punkt künftig führt. Klären Sie Zugriffsrechte und Informationsübergabe vertraglich und organisatorisch mit den zuständigen Fachpersonen. Ein geordnetes Mandatsende ist kein Versprechen, dass sämtliche Sicherheitsrisiken beseitigt sind.

Hinweis: Die Ausgestaltung von Verträgen, Zugriffsrechten und datenschutzrechtlichen Pflichten ist im Einzelfall fachlich zu prüfen; dieser Beitrag ersetzt keine Rechts- oder Steuerberatung.

Häufige Fragen

Fazit

Nach kritischen Auditbefunden hilft ein klar abgegrenztes Mandat, Risiken begründet zu priorisieren, die Umsetzung zu führen und Entscheide bei Geschäftsleitung und Verwaltungsrat zu belassen. Wenn Ihnen dafür technische Führungskapazität fehlt, prüfen Sie das Angebot Interim CTO auf Zeit und buchen Sie ein technisches Briefing, um Umfang, Entscheidungswege und Übergabe für Ihren Fall zu klären.

Besprechen Sie Auditbefunde, Führungsbedarf und die Abgrenzung eines möglichen Interim-CTO-Mandats. Technisches Briefing buchen