Sridhar stützt seine Argumentation auf eine McKinsey-Befragung von über 3.000 Technologieeinkäufern aus Anfang 2026. Datenschutz und Compliance landeten dort als wichtigstes Kundenanliegen auf Platz eins – genannt von mehr als der Hälfte der Befragten. Anbieter mit Schwächen bei Sicherheit und Compliance würden zunehmend aussortiert, unabhängig von Preis und Funktionsumfang. Bei Einkäufern, die im vergangenen Jahr den Anbieter gewechselt hatten, war Cybersicherheit der häufigste Grund für den Abgang – vor Preis, Leistungsumfang und Zuverlässigkeit.
Trotzdem gilt Security in vielen Unternehmen weiterhin als die Abteilung, die bremst – eingebunden in eine Prüfung, die erst beginnt, wenn alle anderen sich längst auf den Abschluss verständigt haben. Aus der Perspektive des CEO beschreibt Sridhar, wonach er seinen eigenen CISO fragt: nicht nach der Zahl abgearbeiteter Alarme, sondern nach drei Punkten – wie das Unternehmen stärker wird, wie Security zum Wachstum beiträgt und wie man sich im Schadensfall erholt. Über Stärke und Wiederherstellung könne fast jeder CISO sprechen; konkret belegen, wie sich mit nachgewiesenem Vertrauen Abschlüsse gewinnen lassen, könnten deutlich weniger.
Ein Grund für die Zähigkeit des Problems: Die Arbeit darunter hat sich nicht verändert, Compliance wird immer schwerer. In PwCs globaler Compliance-Umfrage 2025 gaben 72 Prozent der Führungskräfte an, die steigende Compliance-Komplexität der vergangenen drei Jahre habe die Profitabilität ihres Unternehmens beeinträchtigt. Also sammeln Teams einmal jährlich Nachweise und beantworten dieselben Fragen für jeden Käufer in leicht abgewandelten Formaten.
Genau hier werde „auf dem Papier sicher" zum echten Problem: Ein bestandenes Audit oder ein sauberes Dashboard belegt, dass eine Kontrolle am Prüftag funktionierte – über den Rest des Jahres sagt es nichts. Fragt das Sicherheitsteam eines Kunden, ob die Kontrolle gerade jetzt greift, könnten die meisten Anbieter nur antworten, sie gingen davon aus. In diesem Zögern stockt der Abschluss. Käufer fragten nicht aus Schikane, sondern weil sie erlebt haben, wie ein schwacher Zulieferer zur eigenen Datenpanne wurde. Das Problem sei nicht mangelnder Einsatz, sondern das Design: Ein Programm, das ein Jahresaudit überleben soll, wirke immer wie Gemeinkosten.
Als Gegenbeispiel verweist Sridhar auf Dave Brown, CISO von Andesite und Autor von „The Lean CISO", der im Podcast „Hash It Out" von Virtru beschrieb, Sicherheit müsse Abschlüsse bewegen statt sie zu blockieren. Brown nimmt an Vertriebsgesprächen teil, hält nach eigenen Worten eine Kurzwahl-Verbindung zum Chief Revenue Officer und baute eine Nachweisbibliothek auf, die wochenlange Sicherheitsprüfungen zu Antworten am selben Tag verkürzt. In einem Fall wollte der CEO eines Interessenten erst nach einem direkten Gespräch mit dem Sicherheitschef unterschreiben – der Vertrag wurde noch im Gespräch geschlossen.
Daraus lassen sich messbare Zusagen ableiten: Will der Vorstand 50 Prozent Wachstum, könnte ein CISO sich etwa verpflichten, die für den Verkauf in Europa nötigen Compliance-Zertifizierungen binnen vier Monaten zu erlangen, Sicherheitsfragebögen in einem statt in zwölf Tagen zu beantworten und neue vertragliche Sicherheitsauflagen so schnell zu erfüllen, dass sie keine Verhandlung aufhalten – Ziele, die ein CFO neben der Vertriebsprognose verfolgen kann, ohne größeres Budget.
Sridhars Rat: Das eigene Programm nicht länger am Ausbleiben schlechter Nachrichten messen lassen, sondern an den Ergebnissen, die der Vorstand ohnehin verfolgt – transparent berichtet, auch wenn eine Zahl unschön ist, und Quartal für Quartal verbessert.