Wer steuert deine IT? Was ein CIO heute leisten muss und wann einer auf Zeit reichtWho steers your IT? What a CIO has to deliver today and when an interim one is enough

Deine Firma läuft auf IT. Wer steuert sie? Bei vielen Mittelständlern lautet die ehrliche Antwort: ein IT-Leiter, der den Betrieb am Laufen hält, drei Dienstleister mit eigenen Verträgen und eine Geschäftsführung, die Entscheidungen trifft, ohne das ganze Bild zu sehen. Das ging lange gut. Mit KI, NIS2 und dem AI Act geht es nicht mehr gut.

Warum IT jetzt Chefsache ist

Drei Entwicklungen treffen 2026 zusammen.

KI ist im Betrieb angekommen. Laut Bitkom setzen 57 Prozent der Unternehmen ab 20 Beschäftigten KI ein, ein Jahr zuvor waren es 36 Prozent. 45 Prozent geben 2026 mehr Geld dafür aus als im Vorjahr. KI-Agenten, die Aufgaben selbstständig erledigen, nutzen 11 Prozent, weitere 29 Prozent planen sie. Bitkom-Präsident Ralf Wintergerst sagt dazu: „Bei KI geht es nicht in erster Linie um das eingesetzte Modell.“ Den größten Aufwand machen Daten, verbundene Systeme und Rechenkapazität. Genau das ist das Arbeitsfeld eines CIO.

Cybersicherheit ist Pflicht der Geschäftsleitung. Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten und gilt für rund 29.500 Unternehmen in Deutschland. Eine allgemeine Übergangsfrist gibt es nicht. Die Geschäftsleitung muss die Maßnahmen zum Risikomanagement billigen, ihre Umsetzung überwachen und sich schulen lassen. Auch wenn die IT ausgelagert ist, bleibt die Verantwortung bei ihr.

Für KI gelten feste Fristen. Seit 2. August 2026 gelten die Transparenzpflichten des AI Act nach Artikel 50. Für Hochrisiko-Systeme nach Anhang III, etwa in Personalauswahl, Kreditvergabe oder Bildung, hat der Digital Omnibus den Start auf den 2. Dezember 2027 verschoben. KI in regulierten Produkten wie Maschinen folgt am 2. August 2028.

Das sind keine IT-Themen mehr. Es sind Fragen nach Haftung, Kosten und Wettbewerbsfähigkeit. Und sie landen auf dem Tisch der Geschäftsführung.

Acht Felder, die ein CIO von oben steuert

Im Spot fallen acht Wörter im Takt der Musik. Sie sind kein Effekt, sondern die Liste, mit der ich in jedes Mandat gehe. Ein CIO, der nur Server und Tickets verwaltet, deckt zwei davon ab.

1. Strategie

Welche zwei oder drei Geschäftsziele soll IT in den nächsten 24 Monaten tragen? Ohne diese Antwort wird jedes Budget zur Wunschliste. Die IT-Strategie passt auf eine Seite und nennt, was die Firma bewusst nicht macht.

2. Architektur

Welche Systeme gibt es, wer spricht mit wem, wo wird abgetippt? Eine Landkarte der Anwendungen zeigt Doppelungen, Medienbrüche und die Stellen, an denen ein Ausfall den Betrieb stoppt. Sie ist die Grundlage jeder ERP-, Cloud- oder KI-Entscheidung.

3. Daten

KI ist nur so gut wie die Daten, die sie bekommt. Wem gehören die Stammdaten, wer pflegt sie, welche Daten verlassen das Haus? Ohne geklärte Verantwortung bleibt jede Auswertung eine Meinung.

4. KI

Nicht jedes Werkzeug, das jemand ausprobiert, gehört in den Betrieb. Ich arbeite mit einem kurzen Freigabeweg: Nutzen, Risiko, Datenschutz, Verantwortliche. Für Agenten kommen klare Grenzen dazu: was sie dürfen, wann ein Mensch entscheidet, wo jede Aktion protokolliert wird.

5. Sicherheit

Backups, die wiederhergestellt wurden, nicht nur geschrieben. Ein Notfallplan, den das Team kennt. Ein Bild der Risiken, das die Geschäftsführung billigen kann, wie NIS2 es verlangt.

6. Kosten

Lizenzen, Cloud, Dienstleister, KI-Nutzung: Die Summe kennt oft niemand. Ein CIO macht sie sichtbar, ordnet sie den Geschäftszielen zu und kündigt, was keinen Zweck mehr hat.

7. Regeln

NIS2, AI Act, DSGVO, Aufbewahrungspflichten und die Anforderungen großer Kunden in der Lieferkette. Ich übersetze sie in wenige, prüfbare Regeln für den Alltag. Die rechtliche Bewertung im Einzelfall bleibt bei euren Fachleuten.

8. Menschen

Am Ende arbeiten Menschen mit den Systemen. Rollen, Vertretungen, Schulungen und ein Team, das Änderungen trägt, entscheiden darüber, ob eine Einführung bleibt oder nach ein paar Wochen wieder dem alten Ablauf weicht.

CIO, CTO, CDO, CISO: wer macht was

Im Konzern sind das vier Stellen. Im Mittelstand ist es oft eine Person oder keine. So grenze ich die Rollen ab:

Rolle	Verantwortet	Typische Frage
CIO	IT-Strategie, Architektur, Betrieb, Partner, Kosten, Steuerung	Trägt unsere IT das Geschäft von morgen?
CTO	Technik im eigenen Produkt	Wie bauen wir das Produkt?
CDO	Datengetriebene Geschäftsmodelle	Was verdienen wir mit Daten?
CISO	Informationssicherheit und Cyberrisiko	Wie sicher sind wir, und wie schnell sind wir wieder da?

Wer keine Software verkauft, braucht selten einen CTO. Einen CIO braucht jede Firma, deren Betrieb ohne IT stillsteht. Das ist heute fast jede.

Wann ein CIO auf Zeit die bessere Wahl ist

Ein fest angestellter CIO lohnt sich, wenn die Firma dauerhaft eine Führungskraft in dieser Breite auslasten kann. Viele Mittelständler können das nicht, oder finden niemanden. Ein CIO auf Zeit passt, wenn:

• der IT-Leiter den Betrieb trägt, aber niemand die Richtung vorgibt,
• eine große Entscheidung ansteht, etwa ERP, Cloud oder ein KI-Programm,
• NIS2 oder Kundenaudits ein Risikobild verlangen, das es noch nicht gibt,
• die Stelle frei ist und die Suche Monate dauert,
• Kosten und Dienstleister aus dem Ruder gelaufen sind.

Ich übernehme CIO-Mandate in der Regel mit zwei bis drei Tagen pro Woche vor Ort. Das Ziel ist nicht, unersetzlich zu werden. Am Ende steht ein Steuerungsmodell, das eure Leute selbst führen.

Die ersten 100 Tage

Tag 1 bis 30: das Bild. Gespräche mit Geschäftsführung, Fachbereichen und Dienstleistern. Anwendungslandkarte, Vertrags- und Kostenübersicht, Risikobild. Am Ende steht auf einer Seite, wo die Firma heute steht.

Tag 31 bis 60: die Richtung. IT-Strategie auf einer Seite, priorisiert nach Nutzen und Risiko. Die drei Vorhaben, die zuerst kommen, und die, die gestoppt werden. Freigabeweg für KI.

Tag 61 bis 100: die Steuerung. Ein Cockpit mit den acht Feldern, Ampeln statt Zahlenfriedhof. Ein fester Termin mit der Geschäftsführung pro Monat. Rollen und Vertretungen sind geklärt, die ersten Ergebnisse sichtbar.

Danach entscheidet ihr: weiter mit mir als CIO auf Zeit, Übergabe an eine eigene Besetzung oder eine Begleitung im Hintergrund.

Wie der Spot entstanden ist

Es gibt keinen Dreh. Die Szenen mit mir sind KI-Bilder auf Grundlage echter Fotos von mir, erzeugt mit Nano Banana Pro und bewegt mit Gemini Omni Flash. Server, Glasfaser, Stadt und Fabrik sind reine Textprompts ohne Menschen. Jedes Bild mit meinem Gesicht habe ich abgenommen, bevor es animiert wurde. Die Geschäftsführerin im Film ist eine erfundene Figur.

Der Schnitt folgt einer einfachen Idee: Am Anfang und im Mittelteil Tempo wie im Musikvideo, Schnitt auf den Takt, die acht Wörter auf die Schläge. In der Lösung wird es ruhig, lange Einstellungen, große Schrift, ein Gedanke pro Bild. Die Musik ist ein einziges Stück aus Suno. Geschnitten und betitelt ist der Film in HyperFrames. Der Film ist als KI-generiert gekennzeichnet.

Häufige Fragen

Nächster Schritt

Wenn du beim Lesen an deine eigene IT gedacht hast: Im Erstgespräch schauen wir 30 Minuten auf deine Lage. Kostenlos, danach weißt du, ob und wie ich helfen kann. Mehr zu meinen Interim-Mandaten als CIO, COO und CRO steht auf complexredugyzer.de/interim-management.

Quellen und Stand

Stand: 6. November 2026.

• Bitkom: Erstmals nutzt die Mehrheit der Unternehmen KI, Presseinformation vom 14. September 2026, 603 Unternehmen ab 20 Beschäftigten.
• BSI: Fragen und Antworten zu NIS-2, Inkrafttreten, Zahl der Unternehmen, Pflichten der Geschäftsleitung.
• Verordnung (EU) 2026/1744 vom 8. Juli 2026 zur Änderung des AI Act, Amtsblatt vom 24. Juli 2026, Erwägungsgrund 40: Fristen für Hochrisiko-Systeme.

Dieser Beitrag ersetzt keine Rechtsberatung.

Your company runs on IT. Who steers it? In many mid-sized companies the honest answer is: an IT manager who keeps operations running, three vendors with their own contracts and a management team that makes decisions without seeing the whole picture. That worked for a long time. With AI, NIS2 and the AI Act it no longer does.

Why IT is now a board topic

Three developments come together in 2026.

AI has reached operations. According to Bitkom, 57 percent of German companies with 20 or more employees use AI, up from 36 percent a year earlier. 45 percent are spending more on it in 2026 than the year before. 11 percent use AI agents that complete tasks on their own, another 29 percent are planning to. Bitkom president Ralf Wintergerst puts it like this: AI is not primarily about the model you use. Data, connected systems and computing capacity take the most effort. That is exactly a CIO’s field.

Cybersecurity is a duty of management. The German NIS2 implementation act came into force on 6 December 2025 and applies to around 29,500 companies in Germany. There is no general transition period. Management must approve the risk management measures, monitor their implementation and be trained. Even if IT is outsourced, responsibility stays with management.

AI has fixed deadlines. The transparency obligations under Article 50 of the AI Act apply from 2 August 2026. For high-risk systems under Annex III, for example in recruiting, credit or education, the Digital Omnibus has moved the start to 2 December 2027. AI in regulated products such as machinery follows on 2 August 2028.

These are no longer IT topics. They are questions of liability, cost and competitiveness. And they land on management’s desk.

Eight fields a CIO steers from the top

In the spot, eight words hit on the beat of the music. They are not an effect but the list I bring to every mandate. A CIO who only manages servers and tickets covers two of them.

1. Strategy

Which two or three business goals should IT carry over the next 24 months? Without that answer every budget becomes a wish list. The IT strategy fits on one page and says what the company deliberately does not do.

2. Architecture

Which systems exist, who talks to whom, where is data retyped? A map of the applications shows duplicates, media breaks and the points where an outage stops operations. It is the basis for every ERP, cloud or AI decision.

3. Data

AI is only as good as the data it gets. Who owns the master data, who maintains it, which data leaves the company? Without clear responsibility every analysis stays an opinion.

4. AI

Not every tool someone tries belongs in operations. I work with a short approval path: value, risk, data protection, owner. For agents there are clear limits on top: what they may do, when a human decides, where every action is logged.

5. Security

Backups that have been restored, not just written. An emergency plan the team knows. A picture of the risks that management can approve, as NIS2 requires.

6. Costs

Licences, cloud, vendors, AI usage: often nobody knows the total. A CIO makes it visible, maps it to business goals and cancels what no longer serves a purpose.

7. Rules

NIS2, AI Act, GDPR, retention duties and the requirements of large customers in the supply chain. I translate them into a few checkable rules for everyday work. The legal assessment of individual cases stays with your specialists.

8. People

In the end, people work with the systems. Roles, deputies, training and a team that carries change decide whether a rollout lasts or gives way to the old routine after a few weeks.

CIO, CTO, CDO, CISO: who does what

In a large group these are four positions. In a mid-sized company it is often one person or none. This is how I separate the roles:

Role	Responsible for	Typical question
CIO	IT strategy, architecture, operations, partners, costs, steering	Does our IT carry tomorrow’s business?
CTO	Technology in the company’s own product	How do we build the product?
CDO	Data-driven business models	What do we earn with data?
CISO	Information security and cyber risk	How secure are we, and how fast are we back?

If you do not sell software, you rarely need a CTO. Every company whose operations stop without IT needs a CIO. Today that is almost every company.

When an interim CIO is the better choice

A permanent CIO pays off when the company can keep a leader of this breadth busy for good. Many mid-sized companies cannot, or cannot find anyone. An interim CIO fits when:

• the IT manager carries operations but nobody sets the direction,
• a big decision is coming, such as ERP, cloud or an AI programme,
• NIS2 or customer audits demand a risk picture that does not exist yet,
• the position is vacant and the search takes months,
• costs and vendors have got out of hand.

I usually take on CIO mandates with two to three days a week on site. The goal is not to become indispensable. At the end there is a steering model your own people run.

The first 100 days

Days 1 to 30: the picture. Talks with management, departments and vendors. Application map, overview of contracts and costs, risk picture. At the end one page shows where the company stands today.

Days 31 to 60: the direction. IT strategy on one page, prioritised by value and risk. The three projects that come first and those that stop. An approval path for AI.

Days 61 to 100: the steering. A cockpit with the eight fields, traffic lights instead of a number graveyard. A fixed monthly slot with management. Roles and deputies are settled, the first results visible.

After that you decide: continue with me as interim CIO, hand over to a permanent hire or support in the background.

How the spot was made

There was no shoot. The scenes with me are AI images based on real photos of me, created with Nano Banana Pro and animated with Gemini Omni Flash. Servers, fibre, city and factory are pure text prompts without people. I approved every image with my face before it was animated. The managing director in the film is a fictional character.

The edit follows a simple idea: at the start and in the middle the pace of a music video, cuts on the beat, the eight words on the hits. In the resolution it calms down, long shots, large type, one thought per image. The music is a single track from Suno. The film was cut and titled in HyperFrames. It is labelled as AI-generated.

Frequently asked questions

Next step

If you thought of your own IT while reading: in an intro call we spend 30 minutes on your situation. Free of charge, afterwards you know whether and how I can help. More on my interim mandates as CIO, COO and CRO at complexredugyzer.de/en/interim-management.

Sources and status

Status: 6 November 2026.

• Bitkom: For the first time, the majority of companies use AI, press release of 14 September 2026, 603 companies with 20 or more employees (German).
• BSI: Questions and answers on NIS-2, entry into force, number of companies, duties of management (German).
• Regulation (EU) 2026/1744 of 8 July 2026 amending the AI Act, Official Journal of 24 July 2026, recital 40: deadlines for high-risk systems.

This article is not legal advice.