V letošním žebříčku priorit Gartner poprvé skončilo přispívání k růstu firmy před klasickými bezpečnostními cíli. Pro CISO, kteří dosud mluvili především jazykem rizika, je to signál ke změně slovníku.

Roky platilo, že hlavním měřítkem úspěchu CISO je absence incidentu. Letošní průzkum Gartner mezi více než tisícovkou CISO ukazuje posun: jako svou hlavní firemní prioritu pro rok 2026 uvádějí bezpečnostní lídři podporu růstu firmy, teprve za ní následuje zvyšování provozní efektivity. Bezpečnost přestává být měřena tím, čemu zabránila, a začíná být měřena tím, k čemu firmě pomohla.

Zároveň se poprvé v historii průzkumu na první místo mezi odbornými prioritami CISO dostalo umožnění a zabezpečení AI – téma, které loni jako samostatná kategorie v dotazníku vůbec nebylo. Podle Gartner na něj plánuje alokovat prostředky 43 procent bezpečnostních lídrů. Souběh obou trendů není náhoda: firmy pod tlakem nasazují AI rychleji, než stíhají budovat jistotu, že je to bezpečné, a právě CISO je ten, kdo má rozhodnout, jak rychle lze jít, aniž firma podstoupí neúměrné riziko.

KPMG ve svém letošním průzkumu mezi bezpečnostními lídry popisuje stejný posun z druhé strany: board dnes od CISO neočekává jen řízení rizika, ale schopnost propojit kybernetickou bezpečnost s důvěrou zákazníků, provozní kontinuitou, produktivitou a růstem tržeb. Jinými slovy – bezpečnost se má obhajovat ne argumentem, co se stane, když ji firma zanedbá, ale argumentem, co tím firma získá.

Realita zatím za touto ambicí zaostává. Podle KPMG je AI plně integrována do bezpečnostních operací jen ve 24 procentech organizací, u dalších 53 procent jde o integraci částečnou. A 42 procent bezpečnostních lídrů přiznává, že se jim nedaří jasně prokázat návratnost investic do kybernetické bezpečnosti před vedením a boardem. To je přesně ta mezera, kterou musí CISO, který chce být vnímán jako motor růstu, uzavřít jako první – jinak zůstane rétorika bez podložených čísel.

Prakticky to znamená, že agenda CISO se rozšiřuje o dovednost, kterou dosud tolik nepotřeboval: měřit stav před a po zavedení bezpečnostního opatření a převést rozdíl na jazyk byznysu – ušetřený čas, zkrácenou dobu uvedení produktu na trh, nižší pojistné, udržený zákaznický kontrakt díky certifikaci. Bezpečnost, která umožní obchodnímu týmu podepsat smlouvu s klientem vyžadujícím certifikaci, je stejným přínosem pro růst jako zabráněný incident.

Druhým důsledkem je změna ve vztahu k AI uvnitř firmy. Pokud je umožnění AI dnes nejvyšší odbornou prioritou CISO, znamená to opustit pozici, kdy bezpečnostní tým AI projekty primárně brzdí a schvaluje, a přejít do role, která pomáhá byznysu nasazovat AI rychleji, ale s vestavěnými kontrolami. To je jiná dovednost než klasické posuzování rizika – vyžaduje sedět u stolu, kde se AI projekt navrhuje, ne až u stolu, kde se schvaluje před spuštěním.

Posun od strážce k motoru růstu neznamená, že rizika přestávají existovat nebo že je lze ignorovat. Znamená to, že CISO, kteří dokážou svou práci vyjádřit v číslech, kterým rozumí obchodní vedení, získávají místo u stolu, kde se rozhoduje o strategii firmy – ne jen o rozpočtu bezpečnostního oddělení.