ISB & CISO · EVERGREEN
Spätestens wenn ein Kunde nach dem “Ansprechpartner für
Informationssicherheit” fragt oder ein Audit ansteht, taucht die Rolle
auf: der Informationssicherheitsbeauftragte, kurz ISB. Was genau diese
Rolle leistet, wann sie faktisch Pflicht ist und warum viele
Mittelständler sie extern besetzen – der Überblick.
Kurzantwort
Der ISB (Informationssicherheitsbeauftragte) steuert die
Informationssicherheit eines Unternehmens: Er baut das
Sicherheitskonzept bzw. ISMS auf, koordiniert Risikoanalysen,
Richtlinien, Schulungen und Audits, bewertet Vorfälle und berichtet
direkt an die Geschäftsführung. Eine allgemeine gesetzliche Pflicht zur
Bestellung gibt es für die Privatwirtschaft nicht – faktisch
verpflichtend wird die Rolle aber durch Standards wie ISO 27001 und
TISAX, durch Kundenanforderungen und Regulierung. Die Rolle kann intern
besetzt oder als externer ISB eingekauft werden; für Unternehmen ohne
eigenes Sicherheits-Fachpersonal ist die externe Variante meist die
wirtschaftlichere.
Die Aufgaben eines ISB im
Alltag
- ISMS aufbauen und am Leben halten: Leitlinie,
Richtlinien, Prozesse – und dafür sorgen, dass sie gelebt statt
abgeheftet werden - Risiken managen: Werte identifizieren, Bedrohungen
bewerten, Maßnahmen priorisieren und nachhalten - Vorfälle koordinieren: Bewertung, Eskalation,
Nachbereitung – vom Phishing-Klick bis zum echten
Sicherheitsvorfall - Audits begleiten: interne Audits planen, externe
Assessments (ISO, TISAX, Kundenaudits) vorbereiten und durchstehen - Awareness treiben: Schulungen, Kampagnen,
Meldekultur - Berichten: regelmäßig, ungefiltert und direkt an
die Geschäftsleitung – nicht an die IT-Leitung, deren Arbeit er ja
mitbewertet
Der letzte Punkt ist entscheidend und wird am häufigsten falsch
gemacht: Ein ISB, der organisatorisch der IT untersteht, soll seinen
eigenen Vorgesetzten kontrollieren. Genau deshalb verlangen
Prüfstandards die Unabhängigkeit der Rolle.
ISB, CISO,
Datenschutzbeauftragter – wer macht was?
Der ISB verantwortet operativ das
Sicherheitsmanagement, meist normorientiert (ISO 27001, TISAX,
BSI-Grundschutz). Der CISO ist die strategische
Führungsrolle für Informationssicherheit – im Mittelstand fallen beide
oft zusammen. Der Datenschutzbeauftragte ist eine
eigene, gesetzlich geregelte Rolle mit anderem Fokus (personenbezogene
Daten) und darf mit dem ISB nicht einfach gleichgesetzt werden – die
Rollen ergänzen sich, haben aber unterschiedliche Aufträge und teils
bewusste Interessenkonflikte.
Wann ist ein ISB Pflicht?
Eine allgemeine gesetzliche Bestellpflicht wie beim
Datenschutzbeauftragten existiert nicht. In der Praxis führen aber drei
Wege zur faktischen Pflicht: Standards – ohne benannten
Sicherheitsverantwortlichen besteht kein ISO-27001-Audit und kein
TISAX-Assessment, die Rolle wird dort explizit geprüft.
Kunden – OEMs, Konzerne und öffentliche Auftraggeber
fragen in Lieferantenbewertungen konkret nach der Funktion.
Regulierung – branchenspezifische Vorgaben und
Sicherheitsgesetze setzen benannte Verantwortlichkeiten voraus. Wer also
Nachweise braucht, braucht die Rolle.
Intern besetzen oder
extern einkaufen?
Intern spricht dafür: Hausnähe, ständige Präsenz,
Wissen bleibt im Unternehmen. Dagegen: Die Rolle braucht Fachwissen
(Normen, Technik, Recht), Zeit (je nach Größe von einigen Tagen im Monat
bis zur halben Stelle) und Unabhängigkeit – die Kombination ist im
Mittelstand selten vorhanden, und die Personalsuche dauert. Häufigster
Praxisfehler: Der IT-Leiter bekommt den Hut “on top” – damit fehlen Zeit
und Unabhängigkeit gleichzeitig.
Extern spricht dafür: sofort verfügbares Fachwissen
aus vielen Projekten, gelebte Audit-Erfahrung, klare Kosten statt
Personalsuche, eingebaute Unabhängigkeit. Der externe ISB arbeitet mit
einem festen Kontingent, ist im Audit präsent und hält das ISMS zwischen
den Prüfungen aktuell. Grenze: Er braucht einen internen Ansprechpartner
als Anker – ganz ohne interne Mitwirkung funktioniert keine
Sicherheitsorganisation.
Für Unternehmen bis einige hundert Mitarbeitende ist die externe
Besetzung meist deutlich wirtschaftlicher als eine anteilige interne
Stelle – und schneller wirksam. Wie sich das konkret rechnet, zeigt der
Kostenvergleich im Beitrag Was kostet
ISO 27001 wirklich?
Häufige Fragen (FAQ)
Kann der Datenschutzbeauftragte einfach auch ISB
sein? Möglich, aber heikel: Die Rollen haben unterschiedliche
Aufträge, und je nach Konstellation entstehen Interessenkonflikte.
Sauberer sind getrennte Zuständigkeiten mit enger Abstimmung.
Wie viel Zeit kostet die Rolle wirklich? Abhängig
von Größe und Normanspruch: vom niedrigen zweistelligen Stundenbereich
pro Monat im kleinen KMU bis zur vollen Stelle im regulierten Umfeld.
Unterschätzung ist der Hauptgrund, warum interne ISB-Modelle
scheitern.
Was prüft ein Auditor an der ISB-Rolle? Benennung,
Qualifikation, ausreichende Ressourcen, Unabhängigkeit und den direkten
Berichtsweg zur Leitung – plus Nachweise gelebter Arbeit (Berichte,
Risikobewertungen, Schulungen).
Ab wann sollten wir handeln? Bevor der erste Kunde
fragt oder das erste Audit ansteht – ein ISMS im Schnellverfahren
nachzuziehen ist teurer als es kontinuierlich zu führen.
Fazit
Der ISB ist die Rolle, die Informationssicherheit vom guten Vorsatz
zum gesteuerten System macht: mit klaren Aufgaben, Unabhängigkeit und
direktem Draht zur Geschäftsführung. Gesetzlich selten vorgeschrieben,
praktisch unverzichtbar, sobald Standards oder Kunden Nachweise
verlangen. Ob intern oder extern entscheidet sich an Zeit, Fachwissen
und Wirtschaftlichkeit – und genau hier ist der externe ISB oder CISO für
den Mittelstand oft der pragmatischste Weg.
UBESAFE stellt erfahrene externe ISB und CISO – auditerprobt, mit
festem Kontingent und direktem Draht zur Geschäftsführung. Kostenloses
Erstgespräch.