Der Informationssicherheitsbeauftragte, kurz ISB, steuert die Informationssicherheit eines Unternehmens. Er koordiniert Sicherheitskonzept und Richtlinien, bewertet Risiken und Vorfälle, plant Schulungen und berichtet direkt an die Geschäftsleitung. Gesetzlich vorgeschrieben ist die Rolle für die meisten Unternehmen nicht, in der Praxis kommt aber kaum ein Unternehmen mit NIS2-Pflichten, ISO-27001-Zertifikat oder anspruchsvollen Kunden ohne sie aus.
Dieser Beitrag zeigt, welche Aufgaben der ISB nach BSI hat, wann er Pflicht ist, wie er sich vom Datenschutzbeauftragten und vom IT-Leiter abgrenzt und wann sich ein externer ISB lohnt.
Was ist ein Informationssicherheitsbeauftragter?
Der ISB ist die zentrale Ansprechperson für alle Fragen der Informationssicherheit. Er setzt nicht selbst Firewalls auf, sondern sorgt dafür, dass Sicherheit geplant, umgesetzt, geprüft und verbessert wird. Man kann ihn als Steuermann des Sicherheitsprozesses beschreiben: Die Geschäftsleitung gibt Ziele und Budget vor, die IT setzt technisch um, der ISB hält beides zusammen und kontrolliert die Wirkung.
In größeren Unternehmen heißt die Rolle oft Chief Information Security Officer (CISO). Dann steht meist ein ganzes Team dahinter. Im Mittelstand ist der ISB häufig eine einzelne Person, intern oder extern.
Aufgaben des Informationssicherheitsbeauftragten nach BSI
Das BSI beschreibt die Aufgaben des ISB im Rahmen des IT-Grundschutzes. Dazu gehören:
- den Sicherheitsprozess steuern und koordinieren
- die Leitung bei der Erstellung der Sicherheitsleitlinie unterstützen
- die Erstellung des Sicherheitskonzepts, von Teilkonzepten und Richtlinien koordinieren
- Pläne zur Umsetzung von Sicherheitsmaßnahmen erstellen, die Umsetzung anstoßen und prüfen
- Leitung und Verantwortliche über den Stand der Informationssicherheit informieren
- sicherheitsrelevante Projekte koordinieren
- Sicherheitsvorfälle untersuchen
- Sensibilisierungen und Schulungen anstoßen und koordinieren
In der Praxis kommen weitere Aufgaben hinzu: Fragebögen von Kunden und Versicherern beantworten, Audits vorbereiten und begleiten, Dienstleister bewerten und die Nachweise für NIS2 oder ISO 27001 zusammenstellen.
Ist ein Informationssicherheitsbeauftragter Pflicht?
Für Unternehmen gibt es in Deutschland keine allgemeine gesetzliche Pflicht, einen ISB zu benennen. Ausdrücklich vorgeschrieben ist die Rolle in § 45 BSIG für Einrichtungen der Bundesverwaltung. Trotzdem führt für viele Unternehmen kaum ein Weg daran vorbei:
- NIS2: Besonders wichtige und wichtige Einrichtungen müssen nach § 30 BSIG ein umfassendes Risikomanagement betreiben. Die Geschäftsleitung muss die Maßnahmen nach § 38 BSIG umsetzen und ihre Umsetzung überwachen. Ohne eine Person, die das koordiniert, ist das kaum zu leisten.
- ISO/IEC 27001: Die Norm schreibt keinen „ISB“ mit diesem Namen vor, verlangt aber klar zugewiesene Rollen und Verantwortlichkeiten für das Managementsystem.
- Kunden und Versicherer: Lieferantenfragebögen und Cyberversicherer fragen regelmäßig, wer im Unternehmen für Informationssicherheit verantwortlich ist.
Wichtig: Die Verantwortung bleibt bei der Geschäftsleitung. Sie kann Aufgaben an einen ISB übertragen, die Verantwortung für die Umsetzung aber nicht abgeben.
ISB, Datenschutzbeauftragter, IT-Leiter und CISO im Vergleich
Die Rollen werden oft verwechselt oder in einer Person zusammengelegt. Die Unterschiede:
| Rolle | Schützt vor allem | Grundlage | Typische Aufgabe |
|---|---|---|---|
| Informationssicherheitsbeauftragter | alle Informationen des Unternehmens | BSI IT-Grundschutz, ISO 27001, NIS2-Praxis | Sicherheitsprozess steuern und kontrollieren |
| Datenschutzbeauftragter | personenbezogene Daten und die Rechte der Betroffenen | DSGVO, BDSG | Einhaltung des Datenschutzrechts überwachen |
| IT-Leiter | den laufenden IT-Betrieb | interne Organisation | Systeme betreiben, Projekte umsetzen |
| CISO | wie ISB, mit Führungsverantwortung | interne Organisation | Sicherheitsstrategie und Sicherheitsteam führen |
Wo der ISB im Unternehmen angesiedelt sein sollte
Das BSI empfiehlt, den ISB direkt der obersten Leitung zuzuordnen. Er braucht einen direkten Berichtsweg, damit Konflikte schnell entschieden werden können. Eine Eingliederung in die IT-Abteilung sieht das BSI kritisch: Der ISB soll Sicherheitsmaßnahmen kontrollieren, und das gelingt schlecht, wenn er der Person unterstellt ist, deren Arbeit er prüft.
Aus demselben Grund ist die Kombination mit der IT-Leitung problematisch. Und auch die Personalunion mit dem Datenschutzbeauftragten hält das BSI für „nicht unkritisch“. Wenn sie besteht, müssen die Schnittstellen beider Aufgaben klar geregelt sein.
Welche Qualifikation braucht ein ISB?
Nach BSI braucht der ISB Wissen und Erfahrung sowohl in der Informationssicherheit als auch in der IT, Kenntnis der Geschäftsprozesse und ausreichend Zeit für Fortbildung. In der Praxis kommen Fähigkeiten hinzu, die in keinem Zertifikat stehen:
- Methodik: Schutzbedarfsfeststellung, Risikoanalyse, Audits und Managementsysteme nach ISO 27001 oder IT-Grundschutz
- Recht: Grundkenntnisse in NIS2, DSGVO und branchenspezifischen Vorgaben
- Kommunikation: Risiken so erklären, dass die Geschäftsleitung entscheiden kann, und Fachbereiche überzeugen, statt sie zu belehren
- Durchsetzungsvermögen: auch unbequeme Punkte ansprechen, etwa wenn eine Maßnahme seit Monaten liegt
Lehrgänge zum ISB bieten unter anderem die Industrie- und Handelskammern an.
Interner oder externer ISB?
Beide Modelle funktionieren. Die Entscheidung hängt von Größe, Budget und vorhandenem Wissen ab.
| Kriterium | Interner ISB | Externer ISB |
|---|---|---|
| Kenntnis des Unternehmens | hoch, kennt Abläufe und Menschen | wächst mit der Zeit, braucht internen Ansprechpartner |
| Fachwissen | muss oft erst aufgebaut werden | sofort vorhanden, Erfahrung aus vielen Unternehmen |
| Unabhängigkeit | Rollenkonflikte möglich, etwa mit IT oder Vorgesetzten | von Haus aus unabhängig von der IT |
| Verfügbarkeit | oft nur mit einem Teil der Arbeitszeit | vertraglich geregelt, mit Vertretung |
| Kosten | Arbeitszeit, Ausbildung, Fortbildung | planbare Vergütung nach vereinbartem Umfang |
Im Mittelstand bewährt sich oft ein Mischmodell: Eine Person im Haus ist Ansprechpartner und kennt die Abläufe, der externe ISB bringt Methodik, prüft, berichtet und hält das Managementsystem in Gang.
So sieht das Jahr eines ISB aus
Damit die Rolle nicht im Tagesgeschäft untergeht, hilft ein fester Jahresplan. Ein Beispiel für ein mittelständisches Unternehmen:
| Quartal | Schwerpunkt |
|---|---|
| 1. Quartal | Sicherheitsbericht an die Geschäftsleitung, Ziele und Budget für das Jahr, Schulungsplan festlegen |
| 2. Quartal | Schutzbedarf und Risikoanalyse aktualisieren, Dienstleister bewerten |
| 3. Quartal | internes Audit oder externer Check, Notfallübung |
| 4. Quartal | Maßnahmenstand prüfen, Richtlinien und Sicherheitskonzept aktualisieren, Vorbereitung des Jahresberichts |
Dazu kommen laufende Aufgaben: Vorfälle bewerten, Kundenfragebögen beantworten, neue Projekte aus Sicherheitssicht begleiten.
So benennen Sie einen Informationssicherheitsbeauftragten
Damit der ISB wirksam arbeiten kann, braucht er mehr als einen Titel. Diese fünf Schritte haben sich bewährt:
- Schriftlich bestellen: Die Geschäftsleitung benennt den ISB schriftlich, bei einem externen ISB im Rahmen eines Vertrags.
- Aufgaben festlegen: Welche der BSI-Aufgaben übernimmt der ISB, welche bleiben bei IT oder Fachbereichen?
- Befugnisse klären: Darf der ISB Informationen anfordern, Systeme prüfen und bei akuten Risiken eine Maßnahme verlangen?
- Berichtsweg und Ressourcen sichern: direkter Zugang zur Geschäftsleitung, festes Zeitbudget, Mittel für Fortbildung und Werkzeuge, eine benannte Vertretung.
- Bekannt machen: Alle Beschäftigten und wichtigen Dienstleister wissen, wer der ISB ist und wie sie ihn bei einem Verdacht erreichen.
Typische Fehler bei der Rolle des ISB
- ISB ohne Zeit: Die Rolle wird jemandem „nebenbei“ übertragen, der schon voll ausgelastet ist. Dann bleibt sie auf dem Papier.
- ISB als Feigenblatt: Ein Name im Organigramm, aber keine Befugnisse und kein Zugang zur Geschäftsleitung.
- Verantwortung abgeschoben: Die Geschäftsleitung glaubt, mit der Benennung sei das Thema erledigt. Nach § 38 BSIG bleibt sie für die Umsetzung verantwortlich.
- Keine Vertretung: Fällt der ISB aus, steht der Sicherheitsprozess still, gerade im Notfall.
Woran Sie einen guten externen ISB erkennen
- Er fragt zuerst nach Ihren Geschäftsprozessen, nicht nach Ihrer Firewall.
- Er liefert regelmäßige, verständliche Berichte an die Geschäftsleitung.
- Umfang, Erreichbarkeit und Vertretung sind vertraglich geregelt.
- Er ist unabhängig von Produkten und verkauft Ihnen nicht vor allem Lizenzen.
- Er kennt die Anforderungen, die für Sie gelten, etwa NIS2, ISO 27001 oder branchenspezifische Vorgaben.
Der ISB und das ISMS
Der ISB ist die Person, die ein Informationssicherheits-Managementsystem am Laufen hält. Ohne ihn bleibt ein ISMS ein Ordner mit Richtlinien. Mit ihm wird es zu einem Kreislauf aus Planen, Umsetzen, Prüfen und Verbessern. Was ein ISMS ausmacht und wie es eingeführt wird, erklärt unser Beitrag Was ist ein ISMS?
Fazit: Klare Verantwortung statt verteilter Zuständigkeit
Ein Informationssicherheitsbeauftragter sorgt dafür, dass Informationssicherheit nicht vom Zufall abhängt. Er koordiniert Konzept, Risiken, Schulungen und Vorfälle und gibt der Geschäftsleitung die Grundlage für ihre Entscheidungen. Für die meisten Unternehmen ist er nicht gesetzlich vorgeschrieben, wird aber durch NIS2, ISO 27001 und Kundenanforderungen faktisch notwendig. Ob intern, extern oder als Mischmodell, entscheidend ist eine unabhängige Stellung mit direktem Draht zur Leitung.
Sie suchen einen externen Informationssicherheitsbeauftragten? Wir übernehmen die Rolle für mittelständische Unternehmen, von der Bestandsaufnahme bis zum laufenden Bericht an die Geschäftsleitung. Mehr dazu auf unserer Seite zur IT-Sicherheitsberatung und zum externen ISB.
