Informationssicherheitsbeauftragter (ISB)

Der Informationssicherheitsbeauftragte (ISB) - im englischsprachigen Raum häufig als Information Security Officer (ISO) oder Chief Information Security Officer (CISO) bezeichnet - ist die zentrale Rolle für den Aufbau, Betrieb und die kontinuierliche Verbesserung des Informationssicherheitsmanagements in einem Unternehmen oder einer Behörde. Er ist Ansprechpartner für alle sicherheitsrelevanten Fragestellungen, Schnittstelle zwischen Technik und Management und in wachsender Zahl von Organisationen gesetzlich vorgeschrieben.

Definition und Abgrenzung

Der ISB ist verantwortlich für die Vertraulichkeit, Integrität und Verfügbarkeit (CIA-Triade) aller Informationswerte einer Organisation - unabhängig davon, ob es sich um digitale oder physische Informationen handelt.

Wichtige Abgrenzungen:

ISB vs. Datenschutzbeauftragter (DSB): Der DSB schützt personenbezogene Daten nach DSGVO. Der ISB schützt alle Unternehmensinformationen nach Sicherheitsaspekten. Beide Rollen können in kleinen Unternehmen in einer Person vereint sein, sollten aber perspektivisch getrennt werden.
ISB vs. IT-Leiter: Der IT-Leiter verantwortet den Betrieb der IT-Infrastruktur. Der ISB überwacht und steuert die Sicherheit - und muss dabei auch den IT-Betrieb kritisch bewerten können. Eine Personalunion ist aus Interessenkonflikt-Gründen problematisch.
ISB vs. CISO: In größeren Organisationen übernimmt der CISO eine strategischere Rolle mit direkter Berichtslinie zur Geschäftsführung. In mittelständischen Unternehmen sind ISB und CISO oft dasselbe.

Aufgaben des ISB

ISMS-Management

Der ISB ist primär verantwortlich für Aufbau und Betrieb des Information Security Management Systems (ISMS). Er definiert den Scope, wählt das zugrunde liegende Framework (ISO 27001, BSI IT-Grundschutz oder beides), entwickelt die Informationssicherheitsleitlinie und überwacht deren Einhaltung.

Risikoanalyse und -behandlung

Regelmäßige Risikoanalysen bilden das Herzstück des ISB-Mandats: Bedrohungen identifizieren, Eintrittswahrscheinlichkeit und potenzielle Schadenshöhe bewerten, Maßnahmen priorisieren und deren Umsetzung verfolgen. Dabei arbeitet er eng mit den Fachbereichen zusammen.

Richtlinien und Sicherheitskonzepte

Der ISB erstellt und pflegt die gesamte Richtlinienlandschaft: Passwortrichtlinie, Zugriffsrechtekonzept, Mobile-Device-Policy, Clean-Desk-Policy, Incident-Response-Plan und weitere. Er stellt sicher, dass alle Richtlinien aktuell, praxistauglich und kommuniziert sind.

Interne Audits und Kontrolle

Mindestens einmal jährlich führt der ISB interne Audits durch, um die Wirksamkeit des ISMS zu überprüfen. Die Ergebnisse fließen in den Management-Review ein und bilden die Grundlage für die kontinuierliche Verbesserung (PDCA-Zyklus).

Schulung und Security Awareness

Menschen sind der häufigste Einfallspunkt für Angreifer. Der ISB konzipiert zielgruppengerechte Schulungsprogramme - von der Phishing-Simulation bis zum Führungskräfte-Briefing.

Vorfallmanagement

Bei Sicherheitsvorfällen koordiniert der ISB die Reaktion, dokumentiert den Vorfall und stellt die Einhaltung von Meldepflichten sicher (z. B. nach NIS-2: 24-Stunden-Erstmeldung an zuständige Behörde).

Compliance und Regulatorik

Der ISB überwacht das Rechtsumfeld und leitet Konsequenzen für das ISMS ab: neue gesetzliche Anforderungen (NIS-2, DORA, §8a BSIG), branchenspezifische Standards (B3S Gesundheit, MaRisk), technische Anforderungen (BSI-Grundschutzbausteine).

Qualifikationsanforderungen

Anerkannte Zertifizierungen

Zertifizierung	Herausgeber	Fokus
ISO 27001 Lead Implementer	PECB, BSI Group	ISMS-Aufbau und -Betrieb
ISO 27001 Lead Auditor	PECB, BSI Group	ISMS-Auditierung
BSI IT-Grundschutz-Berater	BSI	Deutscher Grundschutz-Standard
CISSP	ISC²	Breites Sicherheitswissen (Erfahrene)
CISM	ISACA	Sicherheitsmanagement und -strategie
Information Security Officer (TÜV/DEKRA)	TÜV Süd, DEKRA	Praxisnahe ISB-Ausbildung

Fachliche Anforderungen

Kenntnisse in ISO 27001 / BSI IT-Grundschutz
Verständnis von IT-Infrastruktur, Netzwerken und Applikationen
Kenntnisse relevanter Rechtsrahmen (DSGVO, BSIG, NIS-2, branchenspezifisch)
Erfahrung in Risikoanalyse und Projektmanagement

Persönliche Kompetenzen

Kommunikationsstärke auf Management- und Fachebene
Analytisches Denkvermögen und Urteilssicherheit in komplexen Situationen
Durchsetzungsvermögen und Unabhängigkeit gegenüber Fachbereichen
Bereitschaft zur kontinuierlichen Weiterbildung

Interner ISB vs. Externer ISB

Merkmal	Interner ISB	Externer ISB
Kosten	€90.000-€150.000/Jahr (All-in)	€1.500-€5.000/Monat (Retainer)
Verfügbarkeit	Vollzeit vor Ort	Nach Bedarf, remote-fähig
Einarbeitungszeit	6-12 Monate	Sofort operativ
Wissensbasis	Einzelnes Unternehmen	Viele Mandanten, breite Erfahrung
Aktualität	Abhängig von Eigeninitiative	Laufend durch Mandantenvielfalt
Unabhängigkeit	Interne Abhängigkeiten möglich	Neutral und unvoreingenommen
Skalierbarkeit	Starr	Flexibel anpassbar
Ausfall-Risiko	Krankheit/Kündigung	Dienstleister stellt Vertretung
BSI-Empfehlung	Mind. 0,5 FTE einplanen	Vollständige Aufgabenerfüllung möglich

Für kleine und mittelständische Unternehmen ist der externe ISB meist die wirtschaftlich sinnvollere Entscheidung: geringere Fixkosten, sofortige Verfügbarkeit von Top-Qualifikationen und keine Abhängigkeit von einer einzelnen Person.

Wann ist der ISB gesetzlich Pflicht?

NIS-2-Richtlinie (ab Oktober 2024)

Die EU-Richtlinie NIS-2 (in Deutschland umgesetzt durch das NIS2UmsuCG) verpflichtet wichtige und besonders wichtige Einrichtungen zur Benennung einer verantwortlichen Person für Cybersicherheit. Betroffene Sektoren: Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung und weitere. Die Geschäftsführung haftet persönlich für die Einhaltung.

BSIG §8a (KRITIS-Betreiber)

Betreiber kritischer Infrastrukturen nach §2 Abs. 10 BSIG müssen dem BSI alle zwei Jahre nachweisen, dass angemessene technische und organisatorische Maßnahmen getroffen wurden - was ohne qualifizierten ISB und dokumentiertes ISMS faktisch nicht möglich ist.

ISO 27001 Zertifizierung

Abschnitt 5.3 der ISO 27001:2022 schreibt die explizite Zuweisung von Verantwortlichkeiten für Informationssicherheit vor. Ohne benannten ISB (oder äquivalente Rolle) ist eine Zertifizierung nicht erreichbar.

Branchenspezifische Pflichten

Gesundheitswesen: §75c SGB V verpflichtet Krankenhäuser zu IT-Sicherheitsmaßnahmen nach dem Stand der Technik
Finanzsektor: MaRisk (BaFin) und DORA verlangen ein dokumentiertes IT-Risikomanagement
Öffentliche Verwaltung: BSI-Grundschutz ist für Bundesbehörden verbindlich

Der ISB im ISMS-Kontext

Das ISMS funktioniert nach dem PDCA-Zyklus (Plan-Do-Check-Act), und der ISB ist der Treiber jeder Phase:

Plan: Risikoanalyse, Maßnahmenplanung, Richtlinienentwicklung
Do: Umsetzung der Maßnahmen, Schulungen, operative Sicherheitsarbeit
Check: Interne Audits, Kennzahlenerhebung, Incident-Analyse
Act: Managementbewertung, Verbesserungsmaßnahmen, ISMS-Weiterentwicklung

Praxistipp: Einstieg in die ISB-Rolle

Wenn Sie in Ihrem Unternehmen erstmals einen ISB bestellen - intern oder extern - empfiehlt sich folgendes Vorgehen:

Gap-Analyse: Bestandsaufnahme des aktuellen Sicherheitsniveaus gegenüber ISO 27001 oder BSI IT-Grundschutz
Scope-Definition: Festlegung, welche Bereiche und Systeme vom ISMS abgedeckt werden
Risikoanalyse: Identifikation der wesentlichen Bedrohungsszenarien und Schutzbedarfe
Leitlinie: Verabschiedung einer Informationssicherheitsleitlinie durch die Geschäftsleitung
Quick Wins: Umsetzung der kritischsten Maßnahmen mit geringem Aufwand und hoher Wirkung
Kontinuierliche Verbesserung: PDCA-Zyklus etablieren, Audits planen

Weiterführende Informationen: Externer ISB von AWARE7 GmbH