Was macht ein Informationssicherheitsbeauftragter?
Der ISB steuert das ISMS: Er beschreibt, was erforderlich ist, stimmt es mit den zuständigen Bereichen ab und weist nach, ob es wirkt. Die Maßnahmen setzen Fachbereiche und IT-Betrieb um. Über Restrisiken entscheidet er nicht; die Verantwortung für das Sicherheitsniveau bleibt bei der Geschäftsleitung und den Risikoeigentümern.
| Aufgabenfeld | Inhalt |
|---|---|
| Steuerung | ISMS aufbauen, betreiben und weiterentwickeln, Sicherheitsziele fortschreiben |
| Regelwerk | Informationssicherheitsleitlinie und Richtlinien entwerfen, abstimmen, in Kraft setzen lassen und pflegen |
| Risiko | Risikoanalysen koordinieren, Behandlungspläne begleiten, Restrisiken der Leitung vorlegen |
| Betrieb | Sicherheitsvorfälle bewerten und eskalieren, Maßnahmen nachhalten |
| Nachweis | interne Audits vorbereiten, Kennzahlen und Managementbewertung aufbereiten |
| Sensibilisierung | Schulungen planen, Ansprechpartner für die Fachbereiche sein |
Wie die Rolle beim Aufbau des Managementsystems eingeplant wird, beschreibt der Ratgeber ISMS einführen.
ISB, CISO und IT-Sicherheitsbeauftragter
Die drei Bezeichnungen meinen unterschiedliche Zuschnitte. ISB ist die Bezeichnung im deutschen Sprachraum und im IT-Grundschutz, mit Schwerpunkt auf dem Betrieb des Managementsystems. CISO (Chief Information Security Officer) ist die englische Bezeichnung; sie wird für Zuschnitte mit Budget- und Personalverantwortung verwendet, die in Strategie und Architektur hineinreichen. Ein IT-Sicherheitsbeauftragter ist auf die IT-Systeme beschränkt, während Informationssicherheit auch Papier, Prozesse und Personal umfasst.
Maßgeblich ist eine schriftliche Bestellung mit Aufgaben, Befugnissen, Zeitbudget und Berichtsweg.
Ist ein Informationssicherheitsbeauftragter Pflicht?
Für Unternehmen schreibt kein Gesetz allgemein einen ISB vor, anders als beim Datenschutzbeauftragten. Eine Pflicht kennt das BSIG nur für die Bundesverwaltung: Nach § 45 Abs. 1 BSIG bestellt jede Leitung einer Einrichtung der Bundesverwaltung einen ISB und mindestens eine Vertretung.
Für Unternehmen ergibt sich die Rolle aus Normen und Aufsichtsrecht:
| Grundlage | Was sie verlangt | Für wen |
|---|---|---|
| ISO/IEC 27001, Abschnitt 5.3 | Rollen und Verantwortlichkeiten für die Informationssicherheit zuweisen und bekannt machen; keine bestimmte Funktionsbezeichnung | Organisationen mit ISMS nach ISO/IEC 27001 |
| IT-Grundschutz, Baustein ISMS.1 (Edition 2023) | die Leitung benennt einen ISB, der bei Bedarf direkt an sie berichten kann und frühzeitig an größeren Projekten und neuen IT-Systemen beteiligt wird | Organisationen, die nach IT-Grundschutz arbeiten |
| Art. 6 Abs. 4 DORA | eine Kontrollfunktion für das Management und die Überwachung des IKT-Risikos mit angemessener Unabhängigkeit | Finanzunternehmen, die keine Kleinstunternehmen sind |
| § 38 BSIG | die Geschäftsleitung setzt die Maßnahmen nach § 30 BSIG um, überwacht sie und nimmt regelmäßig an Schulungen teil | besonders wichtige und wichtige Einrichtungen |
§ 38 BSIG adressiert die Geschäftsleitung, nicht den ISB. Eine Benennung nimmt ihr die Pflicht nicht ab, sie liefert die Zuarbeit, ohne die sie die Pflicht kaum wahrnehmen kann. Verletzt die Geschäftsleitung die Pflicht aus Absatz 1, haftet sie nach Absatz 2 ihrer Einrichtung für schuldhaft verursachten Schaden nach Gesellschaftsrecht und nur hilfsweise nach dem BSIG. § 38 BSIG gilt nach § 28 Abs. 6 BSIG nicht für Finanzunternehmen nach DORA und nach § 28 Abs. 5 grundsätzlich nicht für Betreiber öffentlicher Telekommunikationsnetze und regulierte Energieunternehmen.
Unabhängigkeit und Berichtsweg
Lassen Sie den ISB direkt an die Geschäftsleitung berichten; ISMS.1 verlangt, dass er dies bei Bedarf kann. Führen Sie ihn unterhalb der IT-Leitung, bewertet er die Ergebnisse der Einheit, deren Weisungen er unterliegt. Dasselbe gilt, wenn der IT-Leiter die Rolle selbst übernimmt: Er beurteilt dann die Sicherheit der Systeme, die er verantwortet.
Lässt sich die Trennung in einem kleinen Unternehmen nicht herstellen, dokumentieren Sie den Konflikt. Geben Sie dem ISB ein direktes Vortragsrecht bei der Geschäftsleitung und lassen Sie seine Bewertungen in festen Abständen von einer unabhängigen Stelle gegenprüfen, etwa von der internen Revision oder einem externen Auditor.
Beispiel: die Bestellung schriftlich festhalten
Beispiel (fiktiv); Unternehmen, Personen und Werte sind frei gewählt. So kann die Bestellung in einem Unternehmen mit 250 Beschäftigten aussehen, in dem die Rolle eine Teilzeitfunktion ist.
| Punkt | Festlegung |
|---|---|
| Rolle und Geltungsbereich | ISB für alle Standorte und Gesellschaften der Gruppe |
| Zeitbudget | 50 % der Arbeitszeit, im Stellenplan ausgewiesen |
| Berichtsweg | direkt an die Geschäftsführung; schriftlicher Bericht jedes Quartal, ad hoc bei erheblichen Sicherheitsvorfällen |
| Befugnisse | Einsicht in alle Systeme, Verträge und Auditberichte; Eskalation an die Geschäftsführung ohne Umweg über die IT-Leitung |
| Einbindung | Beteiligung an Projekten mit neuen IT-Systemen ab der Planungsphase |
| Vertretung | benannte Vertreterin aus dem Risikomanagement |
| Interessenkonflikt | kein ISB aus der IT-Leitung; Vortragsrecht bei der Geschäftsführung |
| Abgrenzung | entscheidet keine Restrisiken; legt sie den Risikoeigentümern und der Geschäftsführung vor |
| Überprüfung | jährlich mit der Managementbewertung |
Prüfen Sie die Bestellung an drei Stellen:
- Das Zeitbudget steht im Stellenplan, nicht nur im Bestellungsschreiben.
- Quartalsberichte liegen mit Datum und Empfänger vor.
- Die Vertretung ist in den Eskalationswegen eingetragen.
Fehlt eines davon, ergänzen Sie Stellenplan, Berichtsablage oder Eskalationsweg, bevor Sie die Bestellung als umgesetzt führen.
Intern, extern oder in Teilzeit
Eine Teilzeitfunktion trägt, solange Zeitbudget und Befugnisse festgelegt sind. Ein externer ISB bringt Methodik und Vergleiche aus anderen Organisationen mit. Er braucht einen internen Ansprechpartner mit Zugang zu Entscheidungen und geregelten Zugriff auf Informationen, Systeme und Gremien.
Der Bericht des ISB: Werte aus Rizzqo
Für den Bericht an die Geschäftsleitung rechnet Rizzqo den Erfüllungsgrad aus den abgeschlossenen Antworten zu den Anforderungen, die an den Assets hängen; jede Antwort trägt Name und Zeitstempel. Ein Verantwortlicher kann je Asset zugeordnet werden und beantwortet die Anforderungen. Tägliche Snapshots zeigen, wie sich der Erfüllungsgrad seit dem letzten Quartalsbericht verändert hat.
Für die Vorlage von Restrisiken führt jede Risikobewertung das inhärente, das aktuelle und das verbleibende Risiko als getrennte Werte, jeweils aus Eintrittswahrscheinlichkeit in Prozent und Schadenshöhe in Euro. Maßnahmen laufen als Aufgaben, die sich in beide Richtungen mit Jira synchronisieren lassen; ihre geplante Minderung senkt bis zum Abschluss nur das verbleibende Risiko.