Die Bedrohungslage im Cyberraum verschärft sich kontinuierlich. Gleichzeitig steigen die regulatorischen Anforderungen an Unternehmen – insbesondere durch das im Dezember 2025 in Kraft getretene NIS-2-Umsetzungsgesetz. In diesem Umfeld kommt dem Informationssicherheitsbeauftragten (ISB) eine Schlüsselrolle zu. Doch welche konkreten Aufgaben umfasst diese Position eigentlich? Dieser Beitrag beleuchtet das vollständige Tätigkeitsprofil eines externen ISB und zeigt, wie sich diese Rolle in der Praxis gestaltet.

Die Rolle des ISB im Unternehmen

Der Informationssicherheitsbeauftragte fungiert als zentrale Koordinationsinstanz für alle Belange der Informationssicherheit. Anders als häufig angenommen, beschränkt sich sein Aufgabengebiet nicht auf technische IT-Sicherheit. Vielmehr umfasst Informationssicherheit den Schutz aller Informationen eines Unternehmens – unabhängig davon, ob diese digital oder analog vorliegen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) definiert im Standard 200-2 die grundlegenden Aufgaben eines ISB. Diese Vorgaben bilden den Rahmen, innerhalb dessen ein externer ISB seine Tätigkeit ausübt. Die konkrete Ausgestaltung variiert dabei je nach Unternehmensgröße, Branche und spezifischen Anforderungen.

Hinweis zur organisatorischen Einordnung: Das BSI empfiehlt, den ISB direkt der obersten Leitung zuzuordnen. Eine Integration in die IT-Abteilung kann zu Rollenkonflikten führen, da der ISB seine Kontrollaufgaben dann nicht frei von Beeinflussung wahrnehmen kann.

Kernaufgaben im Bereich ISMS-Management

Entwicklung und Implementierung des Informationssicherheitsmanagementsystems

Die Entwicklung eines Informationssicherheitsmanagementsystems (ISMS) bildet das Fundament systematischer Sicherheitsarbeit. Ein externer ISB übernimmt dabei die Konzeption der Systemarchitektur, definiert Prozesse und Verantwortlichkeiten und sorgt für die Integration in bestehende Unternehmensstrukturen.

Die Implementierung erfolgt typischerweise in mehreren Phasen. Zunächst werden die relevanten Rahmenbedingungen analysiert, anschließend die Sicherheitsziele definiert und schließlich die notwendigen Maßnahmen abgeleitet. Dieser Prozess orientiert sich an anerkannten Standards wie ISO 27001 oder dem BSI IT-Grundschutz. Wie dabei Synergien mit dem Datenschutz genutzt werden können, erläutert der Beitrag DSGVO und ISO 27001: Synergien optimal nutzen.

Erstellung und Pflege der Sicherheitsdokumentation

Ein funktionsfähiges ISMS erfordert eine umfassende Dokumentation. Hierzu zählen die Informationssicherheitsleitlinie als übergeordnetes Grundsatzdokument, Sicherheitskonzepte für einzelne Bereiche, Richtlinien für spezifische Themenfelder sowie Verfahrensanweisungen für operative Tätigkeiten. Der externe ISB koordiniert die Erstellung dieser Dokumente, stimmt sie mit den Fachabteilungen ab und stellt ihre regelmäßige Aktualisierung sicher.

Kontinuierliche Verbesserung des Sicherheitsniveaus

Informationssicherheit ist kein statischer Zustand, sondern ein fortlaufender Prozess. Der ISB überwacht die Wirksamkeit implementierter Maßnahmen, identifiziert Verbesserungspotenziale und initiiert entsprechende Anpassungen. Dieser kontinuierliche Verbesserungsprozess folgt dem PDCA-Zyklus (Plan-Do-Check-Act) und stellt sicher, dass das Sicherheitsniveau dauerhaft den Anforderungen entspricht.

Risikomanagement und Risikoanalyse

Systematische Risikoidentifikation

Die Identifikation von Informationssicherheitsrisiken bildet die Grundlage für alle weiteren Sicherheitsmaßnahmen. Ein externer ISB führt regelmäßige Bestandsaufnahmen durch, bei denen potenzielle Bedrohungen und Schwachstellen systematisch erfasst werden. Diese Analysen berücksichtigen technische, organisatorische und personelle Aspekte gleichermaßen.

Risikobewertung und Priorisierung

Nach der Identifikation erfolgt die Bewertung der Risiken hinsichtlich ihrer Eintrittswahrscheinlichkeit und potenziellen Schadenshöhe. Diese Bewertung ermöglicht eine fundierte Priorisierung und damit eine wirtschaftlich sinnvolle Ressourcenallokation. Der ISB stellt sicher, dass begrenzte Mittel dort eingesetzt werden, wo sie den größten Sicherheitsgewinn erzielen.

Entwicklung von Behandlungsstrategien

Für jedes identifizierte Risiko wird eine angemessene Behandlungsstrategie entwickelt. Die Optionen umfassen Risikovermeidung durch Verzicht auf risikobehaftete Aktivitäten, Risikominderung durch implementierte Schutzmaßnahmen, Risikotransfer etwa durch Cyberversicherungen sowie bewusste Risikoakzeptanz bei vertretbarem Restrisiko. Der externe ISB berät die Geschäftsführung bei der Auswahl der jeweils geeigneten Strategie.

Beratung der Geschäftsführung

Strategische Sicherheitsberatung

Die Beratung der Unternehmensleitung zu allen Fragen der Informationssicherheit gehört zu den zentralen Aufgaben des ISB. Diese strategische Beratung umfasst die Einschätzung der aktuellen Bedrohungslage, Empfehlungen zu Sicherheitsinvestitionen, die Bewertung neuer Technologien aus Sicherheitsperspektive sowie die Unterstützung bei sicherheitsrelevanten Geschäftsentscheidungen. Eine detaillierte Aufschlüsselung der damit verbundenen Kosten finden Sie im Artikel Was kostet ein externer ISB?.

Berichterstattung an die Leitungsebene

Der ISB berichtet regelmäßig über den Status der Informationssicherheit im Unternehmen. Diese Berichte umfassen Kennzahlen zur Sicherheitslage, den Umsetzungsstand geplanter Maßnahmen, aufgetretene Sicherheitsvorfälle sowie Handlungsempfehlungen für identifizierte Defizite. Die Berichterstattung erfolgt in einer für die Leitungsebene verständlichen Form und fokussiert auf geschäftsrelevante Aspekte.

Unterstützung bei Compliance-Fragen

Mit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 sind zahlreiche Unternehmen erstmals mit konkreten gesetzlichen Anforderungen an die Informationssicherheit konfrontiert. Das BSI schätzt, dass rund 29.500 Unternehmen von der neuen Regulierung betroffen sind. Der externe ISB unterstützt bei der Erfüllung dieser Anforderungen und stellt sicher, dass das Unternehmen seinen gesetzlichen Pflichten nachkommt.

Schulung und Sensibilisierung

Entwicklung von Awareness-Programmen

Die Mitarbeiter eines Unternehmens sind ein wesentlicher Faktor für die Informationssicherheit. Ein externer ISB entwickelt Sensibilisierungsprogramme, die das Sicherheitsbewusstsein der Belegschaft nachhaltig stärken. Diese Programme berücksichtigen unterschiedliche Zielgruppen und Vorkenntnisse und werden regelmäßig an aktuelle Bedrohungsszenarien angepasst.

Durchführung von Schulungsmaßnahmen

Neben der Konzeption übernimmt der ISB häufig auch die Durchführung von Schulungen. Themen können dabei allgemeine Informationssicherheit, der sichere Umgang mit E-Mail und Internet, Erkennung von Social-Engineering-Angriffen oder spezifische Richtlinien des Unternehmens sein. Die Schulungen vermitteln nicht nur Wissen, sondern fördern auch die praktische Umsetzung im Arbeitsalltag. Wie raffiniert moderne Social-Engineering-Angriffe mittlerweile sind, zeigt exemplarisch der Beitrag Dating-Plattformen als Einfallstor für Social Engineering.

Messung der Awareness-Entwicklung

Die Wirksamkeit von Sensibilisierungsmaßnahmen muss überprüft werden. Der ISB implementiert Mechanismen zur Erfolgskontrolle, etwa durch Phishing-Simulationen, Wissenstests oder die Auswertung sicherheitsrelevanter Vorfälle. Diese Messungen liefern Erkenntnisse für die Weiterentwicklung des Awareness-Programms.

Vorfallmanagement und Incident Response

Aufbau von Meldeprozessen

Ein funktionsfähiges Vorfallmanagement erfordert klare Meldewege. Der externe ISB etabliert Prozesse, die sicherstellen, dass Sicherheitsvorfälle zeitnah erkannt und gemeldet werden. Diese Prozesse definieren Zuständigkeiten, Eskalationswege und Reaktionszeiten.

Koordination bei Sicherheitsvorfällen

Im Ernstfall koordiniert der ISB die Reaktion auf Sicherheitsvorfälle. Dies umfasst die Schadensbegrenzung, die forensische Analyse, die Kommunikation mit betroffenen Parteien sowie die Ableitung von Maßnahmen zur zukünftigen Vermeidung. Bei meldepflichtigen Vorfällen unterstützt der ISB zudem bei der fristgerechten Erfüllung der Meldepflichten gegenüber Aufsichtsbehörden. Welche konkreten Obliegenheiten Cyberversicherungen typischerweise fordern, beschreibt der Leitfaden Cyberversicherung Obliegenheiten: Der vollständige Leitfaden für KMU.

Nachbereitung und Lessons Learned

Nach der Bewältigung eines Vorfalls erfolgt eine systematische Nachbereitung. Der ISB analysiert, wie der Vorfall entstehen konnte, wie die Reaktion verlaufen ist und welche Verbesserungen für die Zukunft abzuleiten sind. Diese Erkenntnisse fließen in die Weiterentwicklung des Sicherheitskonzepts ein.

Schnittstellenmanagement

Zusammenarbeit mit der IT-Abteilung

Die IT-Abteilung ist ein zentraler Partner des ISB bei der Umsetzung von Sicherheitsmaßnahmen. Der externe ISB stimmt technische Anforderungen ab, begleitet Implementierungsprojekte und überprüft die Wirksamkeit umgesetzter Maßnahmen. Diese Zusammenarbeit erfordert sowohl fachliches Verständnis als auch kommunikatives Geschick.

Abstimmung mit dem Datenschutzbeauftragten

Informationssicherheit und Datenschutz weisen erhebliche Überschneidungen auf. Der ISB koordiniert seine Aktivitäten mit dem Datenschutzbeauftragten, um Synergien zu nutzen und Doppelarbeiten zu vermeiden. Dabei werden die unterschiedlichen Schwerpunkte beider Rollen – Datenschutz fokussiert auf personenbezogene Daten, Informationssicherheit auf alle Informationen – berücksichtigt.

Kommunikation mit externen Stakeholdern

Kunden, Lieferanten und Auditoren stellen zunehmend Anforderungen an die Informationssicherheit ihrer Geschäftspartner. Der externe ISB bearbeitet entsprechende Anfragen, koordiniert externe Audits und stellt die notwendigen Nachweise bereit. Diese externe Kommunikation trägt wesentlich zur Positionierung des Unternehmens als vertrauenswürdiger Partner bei.

Audit und Kontrolle

Planung und Durchführung interner Audits

Interne Audits dienen der Überprüfung, ob etablierte Sicherheitsmaßnahmen tatsächlich umgesetzt werden und wirksam sind. Der ISB plant das interne Auditprogramm, führt Audits durch oder koordiniert deren Durchführung und verfolgt die Umsetzung von Korrekturmaßnahmen.

Vorbereitung externer Zertifizierungsaudits

Strebt ein Unternehmen eine Zertifizierung nach ISO 27001 oder einem vergleichbaren Standard an, begleitet der externe ISB den gesamten Vorbereitungsprozess. Er stellt sicher, dass alle Anforderungen erfüllt sind, bereitet die Dokumentation vor und steht während des Audits als Ansprechpartner zur Verfügung. Die Implementierung eines zertifizierungsfähigen ISMS erfordert dabei einen realistischen Zeitrahmen – warum Schnelllösungen hier nicht funktionieren, erläutert der Beitrag ISMS implementieren: Warum ISO 27001 in drei Tagen nicht funktionieren kann.

Überwachung der Maßnahmenumsetzung

Identifizierte Sicherheitsmaßnahmen müssen auch tatsächlich umgesetzt werden. Der ISB überwacht den Fortschritt von Umsetzungsprojekten, eskaliert bei Verzögerungen und berichtet der Leitungsebene über den aktuellen Stand. Diese Kontrollfunktion stellt sicher, dass beschlossene Maßnahmen nicht im operativen Tagesgeschäft untergehen.

Regulatorische Anforderungen und Compliance

NIS-2-Umsetzung

Das NIS-2-Umsetzungsgesetz verpflichtet betroffene Unternehmen zu umfassenden Maßnahmen der Informationssicherheit. Der externe ISB unterstützt bei der Prüfung der Betroffenheit, der Implementierung geforderter Risikomanagementmaßnahmen, der Einrichtung von Meldeprozessen sowie der Erfüllung von Registrierungspflichten. Dabei ist zu beachten, dass das Gesetz die Geschäftsleitung ausdrücklich zur Überwachung der Sicherheitsmaßnahmen und zur eigenen Schulung verpflichtet – die Details erläutert der Beitrag NIS-2-Schulungspflicht nach § 38 BSIG: Warum die Geschäftsführerschulung nur der erste Schritt ist.

Branchenspezifische Anforderungen

Je nach Branche gelten zusätzliche Anforderungen an die Informationssicherheit. Betreiber kritischer Infrastrukturen unterliegen besonderen Vorgaben des BSI-Gesetzes, Finanzdienstleister müssen DORA-Anforderungen erfüllen. Der ISB berücksichtigt diese branchenspezifischen Anforderungen bei der Konzeption des Sicherheitsmanagements. Einen Überblick über das Zusammenspiel verschiedener Regulierungen bietet der Artikel Zero-Trust-Architektur: Eine Möglichkeit für NIS2- und DORA-Compliance.

Anforderungen von Geschäftspartnern und Versicherungen

Zunehmend stellen auch Geschäftspartner und Cyberversicherungen konkrete Anforderungen an die Informationssicherheit. Der externe ISB unterstützt bei der Erfüllung dieser Anforderungen und stellt die notwendigen Nachweise bereit. Die systematische Dokumentation des Sicherheitsniveaus erleichtert dabei die Kommunikation mit externen Stakeholdern.

Qualifikationsanforderungen an einen externen ISB

Fachliche Kompetenzen

Ein qualifizierter ISB verfügt über fundierte Kenntnisse in Informationssicherheitsstandards wie ISO 27001 und BSI IT-Grundschutz, technisches Verständnis für IT-Systeme und -Prozesse, Erfahrung im Aufbau und Betrieb von Managementsystemen sowie Kenntnisse relevanter rechtlicher Rahmenbedingungen. Zertifizierungen wie die zum ISO 27001 Lead Implementer oder zum IT-Grundschutz-Praktiker belegen die entsprechende Qualifikation.

Methodische Fähigkeiten

Neben Fachwissen erfordert die Rolle ausgeprägte methodische Fähigkeiten. Hierzu zählen Kompetenzen in der Risikoanalyse, Erfahrung in der Projektsteuerung, die Fähigkeit zur systematischen Dokumentation sowie Kenntnisse in Audit- und Prüfungstechniken.

Soziale Kompetenzen

Die Tätigkeit als ISB erfordert intensive Kommunikation mit unterschiedlichen Stakeholdern. Entsprechend wichtig sind Kommunikationsfähigkeit auf verschiedenen Hierarchieebenen, Durchsetzungsvermögen bei der Umsetzung von Sicherheitsanforderungen, diplomatisches Geschick bei der Vermittlung zwischen unterschiedlichen Interessen sowie die Fähigkeit, komplexe Sachverhalte verständlich zu erklären.

Abgrenzung zu verwandten Rollen

ISB und IT-Sicherheitsbeauftragter

Während der IT-Sicherheitsbeauftragte primär technische Aspekte der Sicherheit verantwortet, umfasst die Rolle des ISB auch organisatorische, personelle und physische Sicherheitsaspekte. Der Fokus liegt auf dem Schutz von Informationen als Werten des Unternehmens, nicht primär auf dem Schutz der IT-Infrastruktur.

ISB und Datenschutzbeauftragter

Der Datenschutzbeauftragte konzentriert sich auf den Schutz personenbezogener Daten und die Einhaltung datenschutzrechtlicher Vorgaben. Der ISB hingegen betrachtet alle Informationen unabhängig von ihrem Personenbezug. Eine Personalunion beider Rollen ist möglich, erfordert jedoch eine klare Definition der Schnittstellen. Das Zusammenspiel beider Regelwerke beleuchtet der Artikel DSGVO und NIS-2: Wo sich Datenschutz und Cybersicherheit überschneiden. Einen vertiefenden Blick auf die Rolle des Datenschutzbeauftragten bietet zudem der Beitrag Externe Datenschutzbeauftragte: Aufgaben, Anforderungen und Qualitätsmerkmale.

ISB und CISO

In größeren Organisationen existiert häufig die Rolle des Chief Information Security Officer (CISO) als Teil der Geschäftsleitung. Der ISB nimmt dann eine operative Rolle ein und berichtet an den CISO. In kleineren Unternehmen werden beide Funktionen oft in einer Person vereint. Eine ausführliche Betrachtung dieser strategischen Führungsrolle bietet der Artikel Der externe CISO: Strategische Informationssicherheitsführung für Ihr Unternehmen.

Zeitlicher Aufwand und Kosten

Die Frage, wie viel Zeit ein ISB benötigt, hängt von Unternehmensgröße und Komplexität ab. Für mittelständische Unternehmen ist typischerweise ein Aufwand von 8–12 Stunden pro Monat realistisch, um ein ISMS wirksam zu betreiben und weiterzuentwickeln.

Dieser Aufwand rechtfertigt in vielen Fällen keine interne Vollzeitstelle. Ob ein interner oder externer ISB die bessere Wahl ist, hängt von verschiedenen Faktoren ab. Eine detaillierte Kostenbetrachtung – einschließlich der Frage, warum seriöse ISB-Betreuung nicht für 150 Euro im Monat zu haben ist – finden Sie im Artikel Was kostet ein externer ISB?.

Zusammengefasst

Die Aufgaben eines externen Informationssicherheitsbeauftragten sind vielfältig und anspruchsvoll. Sie reichen von der strategischen Beratung der Geschäftsführung über den Aufbau eines Informationssicherheitsmanagementsystems bis zur operativen Begleitung von Sicherheitsvorfällen. Ein qualifizierter externer ISB bringt dabei nicht nur Fachwissen mit, sondern auch die Erfahrung aus verschiedenen Projekten und Branchen.

Für mittelständische Unternehmen bietet die externe Besetzung dieser Rolle eine wirtschaftlich attraktive Möglichkeit, professionelle Informationssicherheit zu gewährleisten, ohne eine Vollzeitstelle einrichten zu müssen. Insbesondere vor dem Hintergrund steigender regulatorischer Anforderungen durch das NIS-2-Umsetzungsgesetz wird die Bedeutung dieser Funktion weiter zunehmen.