Schrader argumentiert, CISO-Erschöpfung müsse als Diagnose für nachlassende organisatorische Widerstandsfähigkeit verstanden werden, nicht nur als Personalthema. Er vergleicht Sicherheitschefs mit Kanarienvögeln im Bergbau: So wie diese empfindlich auf gefährliche Gase reagierten, zeigten CISOs die Belastung einer Organisation frühzeitig an. Wenn diejenigen leiden, die den Schutz informationsabhängiger Unternehmen verantworten, sei das ein Frühwarnsignal.
Als eigentlichen Mechanismus hinter dieser Belastung nennt der Beitrag die fehlende Einbindung in Entscheidungen. Laut Omdia und ISSA sagen 72 Prozent der Befragten, Technologieentscheidungen würden ohne Beteiligung der Cybersicherheit getroffen. 69 Prozent beschreiben Sicherheit als etwas, das das Geschäft umgeht, statt es von Anfang an einzubauen. Daraus entstehe eine Rolle mit hoher Verantwortung, aber geringer tatsächlicher Autorität: Sicherheitsverantwortliche müssten für Ergebnisse geradestehen, die andere vorab festgelegt haben.
Auch höhere Gehälter lösen das Problem nach dieser Lesart nicht automatisch. Schrader zufolge können sie den Druck sogar erhöhen, weil auf beiden Seiten die Erwartungen steigen, während die strukturellen Ursachen unverändert bleiben. Verschärft werde das durch Leistungskennzahlen, die Aktivität statt Wirksamkeit belohnten — etwa abgeschlossene Audits, ausgelieferte Patches oder bearbeitete Warnmeldungen.
Hinzu kommt nach den Studienergebnissen die Belastung durch eine zersplitterte Werkzeuglandschaft. Befragte nennen das Sortieren durch ein Geflecht unverbundener Tools als einen ihrer häufigsten Stressfaktoren. Schrader beschreibt die Folgen als Sichtbarkeitslücken, Integrationsprobleme und Warnrauschen, die reaktives Krisenmanagement begünstigen. Gleichzeitig binde das Zeit für Hersteller- und Vertragsmanagement, die nach seiner Darstellung an anderer Stelle fehle.
Ein Beispiel macht den Punkt deutlich: Verbringt eine Sicherheitsführungskraft in einem Jahr zehn Wochen mit Verlängerungsverhandlungen für ein Dutzend Einzellösungen, die auch als integrierte Plattform funktionieren könnten, fehlt diese Zeit für Beziehungen zur Führungsebene und für bereichsübergreifendes Vertrauen. Genau das identifizieren die ISSA-Daten laut Schrader als wichtigsten Treiber von Arbeitszufriedenheit — und auf Dauer auch von Mitarbeiterbindung.
Der Beitrag verweist zudem auf Veränderungen beim Zuschnitt der CISO-Rolle. Der Anteil von Organisationen mit Vollzeit-CISO sank binnen eines Jahres von 76 auf 63 Prozent, während sich der Einsatz virtueller oder teilzeitiger CISOs im selben Zeitraum ungefähr verdreifachte. Schrader räumt ein, dass dieses Modell in bestimmten Konstellationen passe, etwa in kleineren Organisationen, in Übergangsphasen oder in Umgebungen, in denen vor allem strategische Aufsicht gefragt ist.
Für eine breitere Verlagerung nach außen sieht er jedoch Grenzen. Denn das stärkste von ISSA und Omdia gemessene Element beruflicher Zufriedenheit sei die Unterstützung der Führungsebene für Cybersicherheit — noch vor der Vergütung. Diese Verbindlichkeit müsse innerhalb der Organisation aufgebaut werden und lasse sich nicht einfach auf Teilzeitbasis einkaufen. Wird die CISO-Rolle auf Richtlinien, Compliance-Berichte und Board-Updates verengt, werde sie nach Schrader zudem leichter automatisierbar.
Sein Fazit: Das Problem liege im Design des Sicherheitsmanagements vieler Unternehmen. Die Gegenmittel, die sich aus den Daten ableiten ließen, seien deckungsgleiche Verantwortung und Befugnisse, die frühe Einbindung der Sicherheit in Geschäftsentscheidungen sowie eine stabile, in Prozesse eingebettete Technologiebasis mit echter Sichtbarkeit statt zusätzlichem Warnrauschen.