ISB & CISO · EVERGREEN
Beide kümmern sich um Schutz, beide berichten an die Leitung, beide
tauchen in Audits auf – kein Wunder, dass ISB und
Datenschutzbeauftragter ständig verwechselt oder kurzerhand in
Personalunion besetzt werden. Warum das zwei verschiedene Jobs sind und
wo die Personalunion zur Falle wird.
Kurzantwort
Der Datenschutzbeauftragte (DSB) ist eine gesetzlich geregelte Rolle
nach DSGVO/BDSG: Er überwacht die Einhaltung des Datenschutzrechts, also
den Schutz personenbezogener Daten und der Rechte der Betroffenen, und
ist unter bestimmten Voraussetzungen verpflichtend zu bestellen. Der
Informationssicherheitsbeauftragte (ISB) verantwortet die
Informationssicherheit insgesamt – alle schützenswerten Informationen
des Unternehmens, von Konstruktionsdaten bis Zugangsdaten, meist entlang
von Standards wie ISO 27001 oder TISAX; eine allgemeine gesetzliche
Bestellpflicht besteht nicht. Die Rollen überlappen bei
technisch-organisatorischen Maßnahmen, verfolgen aber unterschiedliche
Aufträge – und geraten in definierten Situationen bewusst in
Spannung.
Die Unterschiede auf einen
Blick
Auftrag: DSB = Rechtskonformität beim Umgang mit
personenbezogenen Daten (Schutz der Betroffenen). ISB = Schutz aller
Unternehmensinformationen (Schutz der Organisation).
Rechtsgrundlage: DSB in DSGVO/BDSG verankert, mit
Benennungspflichten und geschützter Stellung; ISB durch Standards,
Verträge und Kundenforderungen getrieben – die Details dazu im Beitrag
Was macht
ein ISB? Blickrichtung im Konfliktfall: Der DSB
fragt “Dürfen wir das?” (z. B. Mitarbeiter-Monitoring), der ISB fragt
“Brauchen wir das für die Sicherheit?” – etwa bei Protokollierung,
E-Mail-Analyse, Endpoint-Telemetrie. Genau diese Spannung ist gewollt:
Sie zwingt zu Lösungen, die sicher und rechtskonform sind.
Personalunion:
möglich, aber mit Sprengstoff
Eine Person für beides spart Geld – und schafft einen strukturellen
Interessenkonflikt: Wer als ISB umfangreiches Logging einführt, müsste
sich als DSB selbst kritisch prüfen. Aufsichtsbehörden und Auditoren
sehen die Kombination deshalb skeptisch, je nach Konstellation bis zur
Unzulässigkeit. Die sauberen Modelle: getrennte Personen mit
institutionalisierter Abstimmung (gemeinsames Gremium, abgestimmte
Richtlinien) – im Mittelstand oft als Duo aus externem DSB und externem
ISB verschiedener Anbieter oder klar getrennter Mandate.
Wo Zusammenarbeit Pflicht
ist
Meldepflichten sind das Paradebeispiel: Bei einer Datenpanne läuft
die 72-Stunden-Meldung über den Datenschutz, die technische Analyse und
Eindämmung über die Informationssicherheit – ohne eingespielte
Schnittstelle verliert man genau die Stunden, die zählen. Weitere
Schnittmengen: TOMs (technische und organisatorische Maßnahmen),
Auftragsverarbeiter-Prüfungen, Schulungen, Löschkonzepte. Bewährt:
gemeinsame Jahresplanung und ein gemeinsamer Vorfallprozess mit klaren
Zuständigkeiten.
Häufige Fragen (FAQ)
Wer “steht über” wem? Niemand – es sind parallele
Rollen mit eigenen Berichtswegen zur Leitung. Hierarchisierung erzeugt
genau die Konflikte, die Trennung vermeiden soll.
Können beide Rollen extern besetzt werden? Ja, beide
Modelle sind etabliert und kombinierbar – wichtig ist die dokumentierte
Abstimmung zwischen den Mandaten.
Brauchen wir beide? Den DSB, wenn die gesetzlichen
Voraussetzungen greifen; den ISB, sobald Standards, Kunden oder gesunder
Menschenverstand ein gesteuertes Sicherheitsniveau verlangen – im
Mittelstand also meist: ja, beide.
Fazit
DSB und ISB sind Nachbarn, keine Zwillinge: der eine schützt
Betroffenenrechte, der andere Unternehmensinformationen – mit gewollten
Spannungen und Pflicht zur Zusammenarbeit. Wer die Rollen trennt und die
Schnittstelle organisiert, bekommt beides: Rechtssicherheit und
Informationssicherheit. Den ISB-Part übernehmen wir als externer ISB/CISO –
abgestimmt mit Ihrem Datenschutz statt in Konkurrenz dazu.
Rollen unklar verteilt? Kostenloses Erstgespräch –
wir zeichnen die Schnittstelle, bevor der erste Vorfall sie
testet.