Kurz gesagt: Ein PQC-Programm benötigt zehn klar definierte Rollen mit expliziten RACI-Zuordnungen (Verantwortlich, Rechenschaftspflichtig, Beratend, Informiert): Verantwortliche Führungskraft, Leiter des Krypto-/PQC-Programms, PKI-Team, Anwendungsteams, Infrastruktur- und Netzwerkteams, Einkauf, Rechtsabteilung und Compliance, Risikomanagement, Lieferantenmanagement und Interne Revision. Das häufigste Problem in der Governance sind nicht fehlende Rollen – die meisten Organisationen können Personen benennen, die plausibel jede Rolle ausfüllen könnten –, sondern das Fehlen einer expliziten RACI-Zuordnung für spezifische Entscheidungen. Dadurch bleiben wichtige Entscheidungen, wie die Auswahl von Algorithmusparametern oder die Migrationsreihenfolge, ohne klaren Verantwortlichen, bis eine Frist eine Ad-hoc-Entscheidung erzwingt. Dieser Leitfaden definiert die Rollen und ordnet die RACI-Zuordnung den wichtigsten Entscheidungspunkten des Programms zu.
Die meisten PQC-Roadmaps erwähnen „klare Verantwortlichkeiten“ als Erfolgsfaktor, ohne jedoch zu definieren, wie diese Verantwortlichkeitsstruktur konkret aussieht. Dieser Leitfaden beschreibt die Struktur: spezifische Rollen und konkrete RACI-Zuordnungen für die Entscheidungen, die in einem realen Programm getroffen werden müssen.
Wichtige Erkenntnisse
- Zehn Rollen, die von der Unterstützung durch die Geschäftsleitung über die technische Umsetzung bis hin zur organisatorischen Steuerung reichen, decken den gesamten Bereich ab, den ein PQC-Programm tatsächlich berührt.
- Die häufigste Lücke in der Unternehmensführung besteht nicht in einer unbesetzten Stelle, sondern im Fehlen einer expliziten RACI-Zuordnung für bestimmte Entscheidungen, sodass diese ohne klaren Verantwortlichen bleiben, bis dazu gezwungen wird.
- Die Bereiche Recht, Risikomanagement und Revision werden in PQC-Programmen häufig nicht ausreichend berücksichtigt, obwohl dies letztendlich von großer Bedeutung ist, da Nachweise zur Einhaltung der Vorschriften und vertragliche Verpflichtungen erst später im Verlauf eines Programms relevant werden.
- Die endgültige Entscheidungsgewalt über das gesamte Programm sollte bei einer einzelnen verantwortlichen Führungskraft liegen, nicht bei einem Gremium, auch wenn technische Entscheidungen delegiert werden.
Die zehn Rollen
- Verantwortliche Führungskraft: In der Regel trägt der CISO oder eine gleichwertige Person die endgültige Entscheidungsgewalt über Umfang, Budget und Zeitplan des Programms und ist die einzige Anlaufstelle für die Rechenschaftspflicht gegenüber dem Vorstand oder der Führungsebene.
- Programmleiter Krypto/PQC: Der technische und programmatische Verantwortliche für das Tagesgeschäft, zuständig für das Inventar, das Risikobewertungsmodell, den Migrationsfahrplan und die Koordination mit allen anderen Rollen.
- PKI-Team: Verantwortlich für die Migration von Zertifizierungsstellen, die parallele Bereitstellung von Hierarchien, die Konfiguration von Vorlagen und die Ausführung des Zertifikatslebenszyklus.
- Anwendungsteams: Eigene Behebung von fest codierten Algorithmusabhängigkeiten und Konfigurationen von TLS und Kryptographie auf Anwendungsebene innerhalb ihrer eigenen Systeme.
- Infrastruktur- und Netzwerkteams: Eigene HSM-, VPN-, Netzwerkgeräte- und Endpunkt-Layer-PQC-Konfiguration und -Einführung.
- Beschaffung: Verantwortlich für die Durchführung des Lieferantenbewertungsprozesses, die Verwaltung der Angebotsanfrage und die vertraglichen Bedingungen im Zusammenhang mit den Verpflichtungen zur PQC-Bereitschaft.
- Recht und Compliance: ist verantwortlich für die Zuordnung und Auslegung regulatorischer Verpflichtungen und prüft die Vertragssprache der Lieferanten hinsichtlich PQC-spezifischer Verpflichtungen und Haftungsfragen.
- Risikomanagement: ist verantwortlich für die Steuerung des Risikobewertungsmodells und stellt sicher, dass die Entscheidungen zur Migrationsreihenfolge mit der allgemeinen Risikotoleranz der Organisation übereinstimmen.
- Lieferantenmanagement: Verantwortet die laufende Beziehung und die Nachverfolgung der Einsatzbereitschaft wichtiger Lieferanten nach Abschluss der Beschaffung, im Gegensatz zur anfänglichen Bewertungsrolle des Beschaffungswesens.
- Interne Revision: Verfügt über unabhängige Nachweise, dass die Nachweise und Berichte des Programms dem tatsächlichen Stand entsprechen, und validiert die Angaben zur Compliance-Bereitschaft, bevor diese externen Prüfern oder Aufsichtsbehörden vorgelegt werden.
RACI-Matrix nach Schlüsselentscheidung
| Entscheidung | Verantwortlich | Verantwortlich | Konsultiert | Informiert |
|---|---|---|---|---|
| Umfang und Methodik der kryptografischen Bestandsaufnahme | Crypto/PQC-Leitung | Verantwortliche Führungskraft | PKI, Infrastruktur, Anwendungsteams | Risiko, Prüfung |
| Algorithmus- und Parametersatzauswahl | Crypto/PQC-Leitung | Verantwortliche Führungskraft | PKI-Team, Rechtsabteilung/Compliance | Anwendungsteams, Lieferantenmanagement |
| Risikobewertung und Sequenzierung von Migrationen | Crypto/PQC-Leitung | Risikomanagement | Anwendungs- und Infrastrukturteams | Verantwortliche Führungskraft, Prüfung |
| Anbieterauswahl und Angebotsbewertung | Einkauf & Beschaffung | Verantwortliche Führungskraft | Leitung Krypto/PQC, Recht, PKI | Lieferantenmanagement, Risiko |
| Budgetgenehmigung für HSM/Hardware-Aktualisierung | Infrastrukturteam | Verantwortliche Führungskraft | Leitung Krypto/PQC, Beschaffung | Risiko, Prüfung |
| Parallele Bereitstellung der CA-Hierarchie | PKI-Team | Crypto/PQC-Leitung | Infrastruktur- und Anwendungsteams | Verantwortliche Führungskraft |
| Zuordnung regulatorischer Verpflichtungen | Rechtliches / Compliance | Verantwortliche Führungskraft | Krypto/PQC-Führung, Risiko | Audits |
| Nachweis der Einhaltung der Vorschriften und Auditbereitschaft | Crypto/PQC-Leitung | Interne Anhörung | Recht/Compliance, Risiko | Verantwortliche Führungskraft |
| Genehmigung der Produktionsumstellung | Infrastruktur-/PKI-Teams | Verantwortliche Führungskraft | Anwendungsteams, Risiko | Rechtsabteilung, Wirtschaftsprüfung |
Die Rollen, die zu spät besetzt werden
Rechtsabteilung, Risikomanagement und Interne Revision sind die drei Bereiche, die in den meisten PQC-Programmen – gemessen an ihrer späteren Bedeutung – häufig vernachlässigt werden. Die frühe Programmarbeit konzentriert sich auf technische Aspekte wie Bestandsaufnahme, Algorithmenauswahl und Pilotstudien. Dadurch werden diese drei Bereiche leicht als nachgelagerte Prüfer und nicht von Anfang an als aktive Teilnehmer betrachtet. Diese Vorgehensweise führt zu erheblichen Problemen: Ein Migrationsplan, der ohne die Expertise des Risikomanagements hinsichtlich der Bewertungsmethodik erstellt wurde, wird im Nachhinein infrage gestellt, anstatt im Vorfeld validiert zu werden. Compliance-Nachweise, die ohne die Expertise der Revision hinsichtlich Format und Vollständigkeit gesammelt wurden, werden abgelehnt oder müssen überarbeitet werden, wenn sie schließlich einen externen Prüfer erreichen. Die Einbindung aller drei Bereiche bereits in der RACI-Designphase, nicht erst bei der Berichterstattung, vermeidet beide Probleme.
Was wir tatsächlich empfehlen würden
Benennen Sie eine einzelne verantwortliche Führungskraft für das gesamte Programm, nicht ein Gremium, auch wenn einzelne Entscheidungen an bestimmte Rollenverantwortliche delegiert werden. Erstellen Sie eine schriftliche RACI-Matrix für Ihr spezifisches Programm und überprüfen Sie diese bei jedem wichtigen Programmmeilenstein, da sich Rollen und Entscheidungsbefugnisse im Verlauf eines mehrjährigen Programms informell oft verändern. Binden Sie die Rechts-, Risiko- und Revisionsabteilung von Beginn des Programms an ein, nicht erst im Nachhinein, um Nacharbeiten zu vermeiden, wenn deren Input Lücken aufdeckt, nachdem wichtige Entscheidungen bereits getroffen wurden.
Wie Verschlüsselungsberatung helfen kann
Unsere PQC-Beratungsleistungen helfen Organisationen, diese Governance-Struktur an ihr spezifisches Organigramm anzupassen, indem wir das RACI-Design als moderierten Workshop durchführen, der Rollenlücken und Entscheidungsunklarheiten aufdeckt, bevor sie mitten im Programm zu Verzögerungen führen.
Wo die Programmleitung für Krypto/PQC die zugrundeliegenden Daten benötigt, um tatsächlich Sequenzierungs- und Bewertungsentscheidungen treffen zu können, bietet CBOM Secure diese Inventargrundlage, und unsere Plattformen unterstützen die revisionssicheren Nachweise, die die internen Prüfungs- und Compliance-Funktionen letztendlich zur Genehmigung benötigen.
Eigentümer benannt, nicht angenommen
Die meisten Organisationen, die ein PQC-Programm starten, können Personen benennen, die plausiblerweise die zehn in diesem Leitfaden definierten Rollen übernehmen könnten. Weitaus weniger haben jedoch explizit festgehalten, wer für die konkreten Entscheidungen des Programms – Algorithmenauswahl, Migrationsreihenfolge, Genehmigung der Umstellung, Nachweis der Konformität – verantwortlich, rechenschaftspflichtig, konsultiert oder informiert ist. Diese explizite RACI-Struktur, die über mehrere Jahre hinweg überprüft und gepflegt wird, anstatt sie nur einmal zu Beginn anzunehmen, sorgt dafür, dass die Programmentscheidungen zügig voranschreiten und keine spontanen Zuständigkeitsstreitigkeiten entstehen – gerade dann, wenn es auf Schnelligkeit ankommt.
Häufig gestellte Fragen
Sollte ein PQC-Programm eine einzelne verantwortliche Führungskraft oder einen Lenkungsausschuss haben?
Eine einzelne verantwortliche Führungskraft, typischerweise der CISO oder eine vergleichbare Person, ist selbst dann zuständig, wenn einzelne technische und operative Entscheidungen an andere Verantwortliche delegiert werden. Eine Gremiumsstruktur mit letztendlicher Verantwortung verlangsamt die Entscheidungsfindung tendenziell gerade dann, wenn ein Programm Schnelligkeit erfordert.
Warum werden die Bereiche Recht, Risikomanagement und Revision in PQC-Programmen häufig zu wenig einbezogen?
Da die Arbeit im Rahmen des PQC-Programms in der Anfangsphase rein technischer Natur ist, werden diese Rollen leicht als nachgelagerte Prüfer anstatt als aktive Teilnehmer betrachtet. Dies führt später zu Nacharbeiten, wenn die Nachweise zur Einhaltung der Vorschriften oder die Risikobewertungsmethodik in Frage gestellt werden, nachdem wichtige Entscheidungen bereits ohne deren Beteiligung getroffen wurden.
Worin besteht der Unterschied zwischen der Rolle des Programmleiters für Krypto/PQC und der Rolle im PKI-Team?
Der Programmleiter ist für die Gesamtkoordination des Programms, die Bestandsaufnahme, die Risikobewertung und die Roadmap in allen Bereichen verantwortlich. Das PKI-Team ist für die konkrete technische Umsetzung der Zertifizierungsstellenmigration zuständig – ein wichtiger Bereich unter den mehreren, die der Programmleiter koordiniert.
Wie oft sollte die RACI-Struktur eines PQC-Programms überprüft werden?
Bei jedem wichtigen Programmmeilenstein verschieben sich Rollenverantwortung und Entscheidungsbefugnis im Laufe eines mehrjährigen Programms tendenziell informell, da sich Teams neu organisieren, Personal wechselt und sich der tatsächliche Umfang des Programms über die ursprüngliche Planung hinaus entwickelt.
Hat das Lieferantenmanagement in einem PQC-Programm eine andere Rolle als die Beschaffung?
Ja. Die Beschaffungsabteilung ist für die Erstbewertung, das Ausschreibungsverfahren und die Vertragsabwicklung zuständig. Das Lieferantenmanagement übernimmt die laufende Beziehungspflege und die Überwachung der Einsatzbereitschaft nach der Lieferantenauswahl. Dies ist eine eigenständige, längerfristige Aufgabe, die sich über mehrere Jahre erstreckt.
