Aktualisiert am:
Informationssicherheitsbeauftragter (ISB)
Ein Informationssicherheitsbeauftragter (ISB) koordiniert die Einführung, Umsetzung und kontinuierliche Verbesserung des Informationssicherheits-Managementsystems (ISMS). Er berät die Unternehmensleitung, überwacht die Informationssicherheitsmaßnahmen und unterstützt bei der Behandlung von Risiken und Sicherheitsvorfällen. Im englischsprachigen Raum und in Konzernen heißt die Rolle oft CISO (Chief Information Security Officer).
Aufgaben des Informationssicherheitsbeauftragten
- Aufbau und Pflege des ISMS: Leitlinie, Richtlinien, Rollen und dokumentierte Information
- Steuerung der Risikobeurteilung und Risikobehandlung, Pflege der Erklärung zur Anwendbarkeit (Statement of Applicability)
- Planung, Umsetzung und Wirksamkeitskontrolle von Sicherheitsmaßnahmen – zum Beispiel Berechtigungskonzept, Datensicherung, Notfallvorsorge, Penetrationstests
- Behandlung von Sicherheitsvorfällen und Meldungen in Zusammenarbeit mit IT, Datenschutzbeauftragtem und Geschäftsführung
- Sensibilisierung und Schulung der Beschäftigten (Awareness)
- Interne Audits, Kennzahlen und Berichte an die Leitung als Grundlage der Managementbewertung
Normbezug und rechtlicher Rahmen
Die ISO/IEC 27001 schreibt keinen ISB namentlich vor, verlangt aber, dass die oberste Leitung Verantwortlichkeiten und Befugnisse für das ISMS zuweist und sich über dessen Leistung berichten lässt (Kapitel 5.3). Der BSI-Standard 200-2 (IT-Grundschutz) empfiehlt ausdrücklich, einen ISB zu benennen, und beschreibt seine Aufgaben. Für Betreiber kritischer Anlagen und für Unternehmen im Anwendungsbereich der NIS-2-Richtlinie ist eine verantwortliche Stelle für Informationssicherheit faktisch unverzichtbar; auch TISAX in der Automobilindustrie und viele Kundenverträge setzen einen benannten Ansprechpartner voraus.
Qualifikation
Ein ISB kennt die ISO/IEC 27001 und 27002 sowie den IT-Grundschutz, versteht IT-Infrastruktur, Risikomanagement und Datenschutzrecht und kann Maßnahmen gegenüber Technik und Geschäftsführung verständlich begründen. Üblich sind Lehrgänge mit Zertifikat (zum Beispiel ISB nach BSI-Standard oder TÜV, ISO 27001 Lead Implementer) sowie Berufserfahrung in IT oder Organisation.
Abgrenzung: ISB, Datenschutzbeauftragter und IT-Leitung
Der ISB schützt alle Informationen des Unternehmens – auch Geschäftsgeheimnisse und Betriebsdaten. Der Datenschutzbeauftragte (DSB) überwacht die Verarbeitung personenbezogener Daten und muss dabei unabhängig sein; beide Rollen sollten deshalb nicht in einer Person zusammenfallen, wenn der DSB seine eigenen Maßnahmen kontrollieren müsste. Ebenso wenig sollte die IT-Leitung ISB sein, weil sie die von ihr betriebenen Systeme selbst kontrollieren würde.
Praxisbeispiel: ISB im Mittelstand
Ein Zulieferer mit 120 Beschäftigten muss für einen Automobilkunden ein TISAX-Label vorweisen. Die Geschäftsführung benennt einen ISB aus dem Organisationsbereich, der mit externer Unterstützung die Informationswerte erfasst, eine Risikoanalyse durchführt und Richtlinien für Zugriffe, mobiles Arbeiten und Lieferanten einführt. Nach acht Monaten sind die Maßnahmen umgesetzt, das interne Audit ist bestanden, und der ISB berichtet quartalsweise an die Geschäftsführung.
Interner oder externer ISB?
Wo Fachwissen oder Zeit fehlen, übernimmt ein externer Informationssicherheitsbeauftragter die Rolle als Dienstleister – mit definiertem Stundenkontingent, aktuellem Normwissen und dem Blick von außen. Die Gesamtverantwortung für die Informationssicherheit bleibt bei der Unternehmensleitung.
Häufige Fragen zum ISB
Ist ein Informationssicherheitsbeauftragter Pflicht?
Gesetzlich nur in bestimmten Bereichen, etwa für Betreiber kritischer Anlagen. ISO/IEC 27001 und der BSI-IT-Grundschutz verlangen jedoch klar zugewiesene Verantwortung für die Informationssicherheit – in der Praxis erfüllt ein ISB diese Anforderung.
Was ist der Unterschied zwischen ISB und Datenschutzbeauftragtem?
Der ISB schützt alle Informationen des Unternehmens vor Verlust, Manipulation und unbefugtem Zugriff. Der Datenschutzbeauftragte überwacht speziell die rechtskonforme Verarbeitung personenbezogener Daten nach DSGVO und ist dabei weisungsfrei.
Kann der IT-Leiter Informationssicherheitsbeauftragter sein?
Davon ist abzuraten. Der ISB kontrolliert unter anderem die Arbeit der IT; als IT-Leiter würde er sich selbst prüfen. Besser ist eine Person außerhalb des IT-Betriebs oder ein externer ISB.