Externer Informationssicherheitsbeauftragter

Grundlage im IT-Grundschutz

Der BSI-Standard 200-2 hält fest: Wenn wesentliche Rollen wie der ISB nicht durch interne Mitarbeitende wahrgenommen werden können, müssen qualifizierte Externe beauftragt werden. Gerade in kleinen Unternehmen könne es zweckmäßig sein, die Rolle nicht mit eigenem Personal zu besetzen, sondern einen externen ISB zu nutzen. Die Qualifikationsanforderungen sind dieselben wie für einen internen ISB.

Der Baustein ISMS.1 Sicherheitsmanagement regelt die Vertragsgestaltung als Basis-Anforderung (ISMS.1.A5). Danach muss

• die Institutionsleitung einen externen ISB bestellen, wenn die Rolle nicht intern besetzt werden kann,
• der Vertrag alle Aufgaben des ISB sowie die damit verbundenen Rechte und Pflichten umfassen,
• der Vertrag eine geeignete Vertraulichkeitsvereinbarung enthalten,
• der Vertrag eine kontrollierte Beendigung einschließlich der Übergabe der Aufgaben an den Auftraggeber gewährleisten.

Daneben gelten die übrigen Anforderungen an den ISB unverändert, etwa das direkte Berichtsrecht an die Leitung und die frühzeitige Beteiligung bei neuen Anwendungen und IT-Systemen (ISMS.1.A4).

Vertragsinhalte im Detail

Über die Mindestanforderungen hinaus haben sich folgende Punkte bewährt:

Leistungsumfang

• Aufgabenliste in Anlehnung an BSI-Standard 200-2: Sicherheitsprozess steuern, Leitlinie und Konzepte koordinieren, Maßnahmen initiieren und prüfen, berichten, Vorfälle untersuchen, Schulungen anstoßen,
• Abgrenzung: Was übernimmt der externe ISB selbst, was bereitet er nur vor, was bleibt beim Betrieb oder beim IT-Dienstleister,
• Umfang in Stunden oder Tagen pro Zeitraum und Umgang mit Mehrbedarf, zum Beispiel bei einem Sicherheitsvorfall.

Erreichbarkeit und Termine

• feste Termine für Berichte an die Geschäftsführung,
• Reaktionszeiten bei Anfragen und im Notfall,
• Vertretung bei Urlaub oder Krankheit des externen ISB.

Rechte

• Zugang zu relevanten Informationen, Dokumenten und Ansprechpartnern,
• Recht, Prüfungen durchzuführen oder zu veranlassen,
• direktes Vortragsrecht bei der Geschäftsführung.

Vertraulichkeit und Datenschutz

Der externe ISB erhält tiefe Einblicke in Schwachstellen und Abläufe. Neben der Vertraulichkeitsvereinbarung ist zu prüfen, ob eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO nötig ist, etwa wenn der ISB personenbezogene Daten verarbeitet. Das hängt von der konkreten Tätigkeit ab und sollte im Einzelfall geklärt werden.

Beendigung

• Herausgabe aller Unterlagen, Arbeitsstände und Zugangsdaten,
• Übergabe an einen Nachfolger oder an interne Personen,
• Entzug aller Zugänge zum Vertragsende.

Die interne Seite

Ein externer ISB kann nur so gut arbeiten, wie er eingebunden ist. Bewährt hat sich eine interne Koordinationsperson, die

• als erste Anlaufstelle für Mitarbeitende dient und Fragen weitergibt,
• Informationen über Änderungen im Betrieb liefert, etwa neue Mitarbeitende, Systeme oder Dienstleister,
• Maßnahmen intern nachhält,
• Wissen aufbaut, damit der Betrieb nicht vollständig vom Dienstleister abhängt.

Nach ORP.1 muss es Ansprechpersonen für Sicherheitsfragen geben, die allen Mitarbeitenden bekannt sind. Bei einem externen ISB sollte klar kommuniziert werden, wie diese Person erreichbar ist und wann zunächst die interne Koordination zuständig ist.

Interessenkonflikte

Der BSI-Standard 200-2 rät davon ab, den ISB in der IT-Abteilung anzusiedeln oder einen aktiven Administrator zum ISB zu machen, weil er dann seine eigene Arbeit kontrollieren müsste. Dasselbe Problem entsteht, wenn der IT-Dienstleister, der die Systeme betreut, auch den externen ISB stellt. Ganz ausgeschlossen ist das nicht, es sollte aber bewusst entschieden werden. Mögliche Gegenmaßnahmen sind eine personelle Trennung innerhalb des Dienstleisters, ergänzende unabhängige Prüfungen und eine transparente Berichterstattung an die Geschäftsführung.

Auswahl eines Anbieters

Es gibt keine gesetzlich geschützte Qualifikation für externe ISB. Bei der Auswahl helfen folgende Fragen:

• Welche Erfahrung besteht mit Betrieben vergleichbarer Größe und Branche?
• Welche Methodik wird genutzt, etwa IT-Grundschutz, ISO 27001, WiBA oder DIN SPEC 27076?
• Welche Qualifikationen liegen vor, zum Beispiel als IT-Grundschutz-Praktiker oder ISO-27001-Auditor?
• Wie sieht ein typischer Jahresablauf aus, und wie wird berichtet?
• Wie wird im Sicherheitsvorfall unterstützt?
• Wie wird Wissen im Betrieb aufgebaut und dokumentiert?

Ablauf der Zusammenarbeit im ersten Jahr

Ein typischer Verlauf, der sich in der Praxis bewährt hat:

1. Auftaktgespräch: Ziele, Geltungsbereich, vorhandene Dokumente, Dienstleister und bekannte Schwachstellen klären.
2. Bestandsaufnahme: Gespräche mit Geschäftsführung, IT und Fachbereichen, strukturierter Check, etwa nach WiBA oder DIN SPEC 27076.
3. Grundlagen: Leitlinie, Rollenbeschreibung, erste Richtlinie für Mitarbeitende, Maßnahmenplan.
4. Umsetzungsbegleitung: regelmäßige Termine, in denen offene Maßnahmen nachgehalten und neue Themen bewertet werden.
5. Sensibilisierung: erste Schulung für alle Mitarbeitenden und eine gesonderte Einweisung der Geschäftsführung.
6. Jahresbericht: Stand, Risiken, Empfehlungen und Entscheidungen der Geschäftsführung, Planung für das Folgejahr.

Danach geht die Zusammenarbeit in einen ruhigeren Rhythmus über, mit festen Prüfterminen und Unterstützung bei Änderungen oder Vorfällen.

Wann ein interner ISB die bessere Wahl ist

Mit wachsender Größe, steigendem Schutzbedarf oder regulatorischen Pflichten nimmt der Koordinationsaufwand zu. Dann kann eine interne Stelle, gegebenenfalls ergänzt durch externe Unterstützung für Spezialthemen und unabhängige Prüfungen, sinnvoller sein. Viele Betriebe starten mit einem externen ISB und bauen intern schrittweise Kompetenz auf.