In vielen Unternehmen beginnt die Geschichte des Informationssicherheitsbeauftragten mit einer Mail: „Kannst du dich ab sofort auch um die Informationssicherheit kümmern?“ Ein halbes Jahr später fragt der Kunde nach dem ISMS, die Versicherung nach dem Notfallkonzept, und keiner weiß, was der ISB eigentlich darf. Damit das nicht passiert, lohnt sich ein sauberer Start. Dieser Beitrag zeigt, wie die Bestellung abläuft und worauf es dabei ankommt.
Muss ich überhaupt einen ISB bestellen?
Eine allgemeine gesetzliche Pflicht, eine Person mit dem Titel „Informationssicherheitsbeauftragter“ zu benennen, gibt es für die meisten Unternehmen nicht. Die Anforderungen kommen über Umwege:
- NIS-2 / BSIG: Besonders wichtige und wichtige Einrichtungen müssen Risikomanagementmaßnahmen umsetzen (§ 30 BSIG), die Geschäftsleitung muss sie billigen und überwachen (§ 38 BSIG). Einen ISB schreibt das Gesetz nicht vor, aber ohne eine verantwortliche Person lassen sich diese Pflichten kaum steuern.
- ISO/IEC 27001: Die Norm verlangt in Abschnitt 5.3, dass Rollen, Verantwortlichkeiten und Befugnisse für die Informationssicherheit festgelegt sind. Wie die Rolle heißt, lässt sie offen. In der Praxis ist es fast immer ein ISB.
- BSI-Standard 200-2: Der IT-Grundschutz empfiehlt ausdrücklich, einen Informationssicherheitsbeauftragten zu benennen.
- DORA: Finanzunternehmen müssen das IKT-Risikomanagement einer Kontrollfunktion mit angemessener Unabhängigkeit zuweisen (Art. 6 Abs. 4 DORA).
Ob Ihr Unternehmen unter NIS-2 fällt, klärt unser NIS-2-Betroffenheits-Check. Die Frage „intern oder extern?“ behandelt der Beitrag Wann sich ein externer ISB lohnt.
Der Ablauf in fünf Schritten
1. Person auswählen. Gefragt sind Fachkunde in Informationssicherheit, Kenntnis der Geschäftsprozesse und die Fähigkeit, Risiken verständlich an die Geschäftsleitung zu berichten. Reine Technikbegeisterung reicht nicht. Der ISB muss auch Richtlinien schreiben, Schulungen anstoßen und unbequeme Wahrheiten aussprechen.
2. Interessenkonflikte prüfen. Der BSI-Standard 200-2 empfiehlt, den ISB als Stabsstelle direkt bei der Leitung anzusiedeln und ihn nicht mit der IT-Leitung zu verschmelzen. Wer die eigene Arbeit kontrollieren soll, kontrolliert sie selten streng genug.
3. Schriftlich bestellen. Die Bestellung erfolgt durch die Geschäftsleitung und gehört in ein eigenes Dokument. Mindestinhalt:
- Aufgaben (Aufbau und Pflege des ISMS, Risikoanalyse, Sicherheitsvorfälle, Schulung, Berichte)
- Befugnisse, etwa Einsicht in Systeme und Verträge oder das Recht, Sicherheitsvorfälle zu eskalieren
- Berichtsweg direkt an die Geschäftsleitung, mit festem Turnus
- Zeitbudget und Ressourcen
- Vertretung
4. Intern bekannt machen. Mitarbeitende müssen wissen, an wen sie einen verdächtigen Anhang oder einen verlorenen Laptop melden. Eine kurze Mitteilung der Geschäftsleitung wirkt hier mehr als jeder Intranet-Eintrag.
5. Arbeitsgrundlage schaffen. Der ISB braucht eine von der Geschäftsleitung verabschiedete Leitlinie zur Informationssicherheit. Sie legt Ziele und Geltungsbereich fest und gibt der Rolle das nötige Gewicht.
Typische Fehler
- Rolle ohne Zeit: Der ISB „macht das nebenbei“. Nach drei Monaten liegt die Risikoanalyse unvollendet in der Schublade.
- Kein Berichtsweg: Wer nur an den IT-Leiter berichtet, erreicht die Geschäftsleitung nicht, obwohl diese nach § 38 BSIG selbst in der Verantwortung steht.
- Keine Befugnisse: Ohne festgelegte Rechte bleibt jede Empfehlung eine Bitte.
- Bestellung nur mündlich: Spätestens im Zertifizierungsaudit oder bei einer Kundenanfrage fehlt der Nachweis.
Intern oder extern bestellen?
Ein externer ISB wird genauso bestellt wie ein interner, nur liegt der Bestellung zusätzlich ein Dienstleistungsvertrag zugrunde. Ansprechpartner im Haus bleibt trotzdem nötig, denn der externe ISB braucht jemanden, der Informationen beschafft und Maßnahmen intern anstößt. Was die Rolle im Detail umfasst, beschreibt unser Portal unter Aufgaben des Informationssicherheitsbeauftragten.
Wenn Sie die Rolle von außen besetzen möchten: Unseren externen Informationssicherheitsbeauftragten gibt es ab 300 € im Monat. Bestellungsurkunde, Leitlinie und Berichtsturnus richten wir in den ersten Wochen gemeinsam mit Ihnen ein.