Externer Informationssicherheitsbeauftragter: Aufgaben, Pflicht und Kosten – wann sich ein externer ISB lohnt

Der Datenschutzbeauftragte ist in den meisten Unternehmen längst benannt. Beim Informationssicherheitsbeauftragten, kurz ISB, sieht es anders aus: Viele Geschäftsführungen wissen nicht genau, ob sie einen brauchen, was die Rolle eigentlich umfasst und ob sie dafür jemanden einstellen müssen. Dabei ist der ISB die Person, die im Ernstfall den Unterschied macht, etwa wenn ein Verschlüsselungstrojaner morgens um sechs die Dateiserver lahmlegt. Dieser Beitrag ordnet die Rolle ein und zeigt, wann ein externer Informationssicherheitsbeauftragter die bessere Lösung ist.

Was ein Informationssicherheitsbeauftragter tut

Der ISB verantwortet den Aufbau und den Betrieb eines Informationssicherheits-Managementsystems, kurz ISMS. Das klingt nach Papier, ist im Alltag aber sehr praktisch:

• Risiken erkennen und bewerten: Welche Systeme sind geschäftskritisch, welche Bedrohungen sind realistisch, wo sind die Lücken?
• Maßnahmen festlegen und nachhalten: Zugriffsrechte, Backups, Patch-Management, Notfallpläne, Lieferantenanforderungen. Der ISB entscheidet nicht alles selbst, aber er sorgt dafür, dass entschieden und dokumentiert wird.
• Richtlinien und Schulungen: Vom Passwort-Standard bis zur Phishing-Sensibilisierung.
• Vorfälle steuern: Meldewege, Sofortmaßnahmen, Kommunikation mit Behörden und Kunden.
• Nachweise liefern: Gegenüber Kunden, Auditoren, Versicherern und Aufsichtsbehörden.

Wichtig ist die Abgrenzung zum Datenschutzbeauftragten. Der DSB schützt die Rechte betroffener Personen, der ISB schützt die Informationen und Systeme des Unternehmens. Beide arbeiten eng zusammen, füllen aber unterschiedliche Rollen aus. Eine ausführliche Gegenüberstellung finden Sie im Beitrag Unterschied zwischen Datenschutz und Informationssicherheit.

Wann ein ISB Pflicht ist

Anders als beim Datenschutzbeauftragten gibt es keine einzelne Vorschrift mit einer Mitarbeiterschwelle. Die Pflicht ergibt sich aus mehreren Regelwerken:

• NIS-2: Unternehmen in den regulierten Sektoren ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz müssen ein Risikomanagement für Informationssicherheit nachweisen, die Geschäftsleitung haftet persönlich. Ohne eine verantwortliche Person ist das nicht darstellbar. Ob Ihr Unternehmen betroffen ist, klärt unser NIS-2-Betroffenheits-Check.
• KRITIS und BSI-Gesetz: Betreiber kritischer Infrastrukturen müssen den Stand der Technik nachweisen und Vorfälle melden.
• BSI IT-Grundschutz: Der BSI-Standard 200-2 nennt den Informationssicherheitsbeauftragten ausdrücklich als feste Rolle. Für Behörden und öffentliche Stellen ist diese Rolle vielfach durch Landesrecht vorgeschrieben, in Sachsen durch das Sächsische Informationssicherheitsgesetz.
• ISO 27001 und TISAX: Beide verlangen klar zugewiesene Verantwortlichkeiten für Informationssicherheit. Wer sich zertifizieren lassen will oder von Automobilkunden ein TISAX-Label gefordert bekommt, braucht die Rolle faktisch.
• Branchenregeln: Gesundheitswesen, Banken und Versicherungen haben eigene Vorgaben, die auf dieselbe Funktion hinauslaufen.

Wer in keine dieser Gruppen fällt, ist rechtlich frei. In der Praxis stellen aber immer mehr Kunden, Cyberversicherer und Banken die Frage nach dem ISB. Wer dann keine Antwort hat, verliert Aufträge oder zahlt höhere Prämien. Welche Vorschrift für welche Organisation greift, zeigt die Übersicht Informationssicherheitsbeauftragter: Wann ist ein ISB Pflicht?.

Intern oder extern: Die ehrliche Abwägung

Die Rolle intern zu besetzen hat einen offensichtlichen Vorteil: Die Person kennt das Haus. Drei Probleme tauchen trotzdem regelmäßig auf.

1. Interessenkonflikt: Sehr oft soll der IT-Leiter den ISB machen. Dann prüft er seine eigene Arbeit. Auditoren sehen das ungern, und die Sicherheit leidet, weil unangenehme Befunde selten nach oben wandern.
2. Zeit: Ein ISMS lebt von Regelmäßigkeit. Wer die Rolle nebenbei macht, kommt zur jährlichen Risikoanalyse, wenn der Auditor schon im Kalender steht.
3. Wissen: Die Anforderungen aus NIS-2, ISO 27001, Grundschutz und TISAX ändern sich ständig. Eine einzelne Person im Unternehmen aktuell zu halten, kostet Schulungstage und Geld.

Ein externer Informationssicherheitsbeauftragter löst diese drei Punkte, weil er unabhängig ist, feste Betreuungszeiten mitbringt und die Normen aus vielen Projekten kennt. Der Preis dafür: Er muss das Unternehmen erst kennenlernen. Gute Anbieter fangen deshalb mit einer strukturierten Bestandsaufnahme an und verankern feste Ansprechpartner im Haus. Der ISB ersetzt keine IT-Abteilung, er steuert sie in Sicherheitsfragen.

Was ein externer ISB kostet

Die Betreuung wird üblicherweise als monatliche Pauschale angeboten, abhängig von Unternehmensgröße, Regulierungsgrad und Zielsetzung. Für Kleinstunternehmen beginnt eine Grundbetreuung bei etwa 300 Euro im Monat, für kleine Unternehmen bis 50 Mitarbeiter bei etwa 500 Euro. Wer ein vollständiges ISMS mit ISO-27001-Zertifizierung aufbauen will, plant deutlich mehr ein, weil der Aufbau im ersten Jahr den größten Aufwand verursacht. Zum Vergleich: Eine interne Vollzeitstelle mit Zertifizierungen und Weiterbildung liegt schnell im sechsstelligen Bereich pro Jahr. Eine detaillierte Aufschlüsselung nach Unternehmensgröße, Zertifizierungskosten und Fördermöglichkeiten steht auf der Seite Kosten eines Informationssicherheitsbeauftragten.

So starten Sie sinnvoll

Wer heute noch keinen ISB hat, muss nicht mit dem großen Normprojekt beginnen. Bewährt hat sich diese Reihenfolge:

1. Betroffenheit klären: NIS-2, KRITIS, Kundenanforderungen, Versicherung. Das dauert einen Termin.
2. Bestandsaufnahme: Welche Systeme, welche Daten, welche Lieferanten, welche Backups. Meist kommen dabei drei bis fünf Punkte heraus, die sofort erledigt werden sollten.
3. Rolle festlegen: Intern mit klarer Freistellung oder extern mit definierten Betreuungszeiten. In beiden Fällen gehört die Benennung schriftlich in die Organisation.
4. Ziel wählen: Reicht ein schlankes ISMS nach BSI-Basis-Absicherung, oder braucht das Unternehmen ISO 27001? Wie der Weg für Mittelständler aussieht, beschreibt der Beitrag ISO 27001 im Mittelstand.

Ein Informationssicherheitsbeauftragter ist keine Formalie, sondern die Person, die dafür sorgt, dass das Unternehmen nach einem Angriff am nächsten Tag weiterarbeiten kann. Ob intern oder extern, entscheidend ist, dass die Rolle wirklich ausgefüllt wird.