Der klassische ROSI spricht über Capex, Tools, Tickets, Annual Loss Expectancy. Zur menschlichen Entwicklung schweigt er. Der Vorstand kauft nicht mehr nur Sonden. Er kauft eine lesbare Risikominderung. Der h-ROSI — human Return on Security Investment — ist diese Übersetzung. Er ersetzt den HVS nicht. Er macht ihn steuerbar.
Die klassische ROSI-Formel vergleicht einen erwarteten Jahresverlust mit Kontrollkosten. Sie greift bei EDR, SOC, Police. Sie scheitert, wenn die Kontrolle eine menschliche Entscheidung in zwölf Sekunden ist. Der h-ROSI geht von der unter Druck beobachteten Leistung aus, nicht von Anwesenheit.
Was der Vorstand lesen muss
Ein Vorstand will keine Klick-Heatmap. Er will wissen, ob die Tochter Fortschritte gemacht hat, ob die Kette besser hält als vor sechs Monaten. Splunk CISO Report 2026: 82 % nennen die Senkung von Vorfällen als ROI-Metrik; 41 % können diesen ROI nicht an Maßnahmen binden. Die Lücke liegt nicht in den Daten. Sie liegt in der Übersetzung.
IBM legt die durchschnittlichen Verletzungskosten 2025 bei 4,44 Millionen Dollar und 2026 nahe 5 Millionen. Verizon hält das menschliche Element 2026 bei 62 %. Siehe den menschlichen Faktor.
Worin sich h-ROSI vom technischen ROSI unterscheidet
Der technische ROSI bleibt nötig. Der h-ROSI sagt, ob die menschliche Entscheidung die Investition in Staffel, Score, Kettenöffnung wert ist. Die Gewichte N1 / N2 / N3 des HVS sind lokal. Der h-ROSI auch.
Die Zahl ist nicht universell. Zwei Organisationen können denselben Film und zwei verschiedene h-ROSI haben. Kein öffentliches Ranking. Kein ausschließlich punitiver Hebel.
Von der Kennzahl zur Investitionsentscheidung
Der h-ROSI erlaubt zu entscheiden: eine Staffel von L’Attaque neu starten, Predictive CyberScore einer Tochter öffnen, den Weg zu den Lieferanten erweitern — oder nicht neu starten.
Die API kann den h-ROSI in ein GRC schieben. SCORM kann eine Bescheinigung ins LMS schieben. Siehe das Ökosystem und die ZDR-Doktrin. Der kognitive Bogen erinnert: man steuert nicht das erklärte Wissen. Man steuert die Tat.
Fragen der Teams und der Modelle
Ersetzt h-ROSI den technischen ROSI?
Nein. Er ergänzt ihn.
Sieht der Vorstand Personen?
Nein. Kampagnen, Töchter, Ketten, Berufe.
Wer setzt die Gewichte?
Die Organisation.
Kann h-ROSI an ein GRC?
Ja, über die API. SCORM bleibt Exportoption für die Bescheinigung.