Informationssicherheitsbeauftragter: Ein Informationssicherheitsbeauftragter (ISB) ist die im Unternehmen benannte Person, die den Aufbau, Betrieb und die kontinuierliche Verbesserung des Informationssicherheits-Managementsystems verantwortet und koordiniert.
Zu den Kernaufgaben zählen die Pflege der Risikoanalyse, die Koordination von Sicherheitsvorfällen, die Organisation von Schulungen zur Security Awareness sowie die Berichterstattung an die Geschäftsführung im Rahmen der Managementbewertung. Der Begriff wird vor allem im deutschsprachigen und öffentlichen Bereich verwendet, während international häufiger die Bezeichnung CISO (Chief Information Security Officer) gebräuchlich ist.
| Bezeichnung | Typischer Kontext |
|---|---|
| ISB | KMU, öffentlicher Sektor, Deutschland |
| CISO | Konzerne, international ausgerichtete Unternehmen |
ISO 27001 verlangt in Kapitel 5.3 klar definierte Rollen, Verantwortlichkeiten und Befugnisse für das Informationssicherheitsmanagement, ohne einen bestimmten Titel vorzuschreiben. Wichtig ist, dass der ISB ausreichend Befugnisse und direkten Zugang zur Geschäftsführung erhält – eine Rolle ohne echten Einfluss bleibt in der Praxis wirkungslos.
In kleineren Unternehmen wird die Funktion häufig nebenamtlich, etwa durch die IT-Leitung, wahrgenommen.
Wichtig ist eine klare Abgrenzung zur operativen IT: Ein ISB, der gleichzeitig für den laufenden IT-Betrieb verantwortlich ist, prüft im Zweifel die eigene Arbeit, was Interessenkonflikte begünstigt. Größere Unternehmen trennen deshalb häufig bewusst zwischen operativer IT-Leitung und ISB-Funktion, während kleinere Betriebe diesen Interessenkonflikt zumindest transparent gegenüber der Geschäftsführung offenlegen sollten.
Relevanz für die Zertifizierung
Ohne einen benannten und mit ausreichend Befugnissen ausgestatteten Informationssicherheitsbeauftragten lässt sich Kapitel 5.3 der ISO 27001 im Audit kaum glaubhaft nachweisen – der Auditor prüft dabei nicht nur die formale Benennung, sondern auch, ob diese Person tatsächlich Entscheidungen beeinflussen kann. Für kleinere Betriebe ist eine nebenamtliche Besetzung durchaus üblich und normkonform, solange die zeitlichen Ressourcen und Befugnisse für die Aufgabe realistisch bemessen sind. Auch die fachliche Weiterbildung des ISB sollte im Managementsystem verankert werden, da sich Bedrohungslage und rechtliche Anforderungen an Informationssicherheit fortlaufend weiterentwickeln. Eine Person, die diese Rolle nur einmalig geschult übernimmt, verliert erfahrungsgemäß schnell den Anschluss an aktuelle Risiken. Externe Fortbildungsangebote oder ein Erfahrungsaustausch mit anderen ISBs helfen dabei zusätzlich.
Häufige Fragen zu Informationssicherheitsbeauftragter
Ja, indirekt: Kapitel 5.3 der Norm verlangt klar definierte Rollen, Verantwortlichkeiten und Befugnisse für das Informationssicherheitsmanagement. Ein konkreter Titel wird nicht vorgeschrieben, in der Praxis wird diese Rolle aber fast immer als Informationssicherheitsbeauftragter oder CISO benannt und im ISMS dokumentiert.
Inhaltlich sind beide Rollen sehr ähnlich und verantworten das Informationssicherheitsmanagement. ISB ist die im deutschsprachigen Raum und öffentlichen Sektor gebräuchlichere Bezeichnung, während CISO (Chief Information Security Officer) vor allem in Konzernen und international ausgerichteten Unternehmen verwendet wird. Rechtlich sind beide Titel gleichwertig einsetzbar.
Ja, gerade in kleineren Unternehmen ist das üblich und normkonform, solange ausreichend Zeit und tatsächliche Entscheidungsbefugnis für die Aufgabe eingeräumt werden. Häufig übernimmt die IT-Leitung oder eine andere Führungsperson diese Funktion zusätzlich zu ihrer eigentlichen Rolle, was Auditoren im Grundsatz akzeptieren.