Informationssicherheitsbeauftragter (ISB)

Die Rolle nach BSI-Standard 200-2

Der BSI-Standard 200-2 empfiehlt, einen Hauptansprechpartner für alle Aspekte der Informationssicherheit zu ernennen, der die Aufgabe koordiniert und innerhalb der Institution vorantreibt: den Informationssicherheitsbeauftragten. Andere gebräuchliche Bezeichnungen sind Chief Information Security Officer (CISO) oder Informationssicherheitsmanager (ISM). Frühere IT-Grundschutz-Dokumente sprachen vom IT-Sicherheitsbeauftragten. Der neue Begriff soll deutlich machen, dass es um den Schutz aller Informationen geht, nicht nur um IT, also auch um Papier, Gespräche und Abläufe.

Im IT-Grundschutz-Kompendium ist die Benennung eine Basis-Anforderung: Nach ISMS.1.A4 muss die Institutionsleitung einen ISB benennen, ihn mit angemessenen Ressourcen ausstatten und ihm die Möglichkeit geben, bei Bedarf direkt an sie zu berichten. Der ISB ist bei allen größeren Projekten sowie bei der Einführung neuer Anwendungen und IT-Systeme frühzeitig zu beteiligen.

Organisatorische Einordnung

200-2 empfiehlt, die Position als Stabsstelle direkt der Leitungsebene zuzuordnen, ohne Weisungen von anderen Stellen. In jedem Fall muss der ISB ein direktes und jederzeitiges Vorspracherecht bei der Geschäftsführung haben, um über Sicherheitsvorfälle, Risiken und Maßnahmen zu informieren. Umgekehrt muss er frühzeitig über Vorgänge informiert werden, die seine Aufgabe berühren.

Davon abgeraten wird, den ISB in der IT-Abteilung anzusiedeln. Das BSI nennt zwei Gründe: Erstens wird Informationssicherheit dort häufig auf IT-Absicherung verkürzt, und der Schutz von Informationen außerhalb der IT gerät aus dem Blick. Zweitens entsteht ein Interessenkonflikt, wenn ein aktiver Administrator zugleich ISB ist. Er müsste dann Einspruch gegen Entscheidungen erheben, die ihm die eigene Arbeit erleichtern oder von seinem Vorgesetzten gewünscht werden.

Und im kleinen Betrieb?

In sehr kleinen Unternehmen lässt sich eine reine Stabsstelle selten einrichten. Praktikable Lösungen sind:

• eine Person aus Verwaltung, Organisation oder Qualitätsmanagement mit festem Zeitanteil,
• die Geschäftsführung selbst, wenn sie die Zeit dafür einplant, mit der Gefahr, dass die Aufgabe im Tagesgeschäft untergeht,
• ein externer ISB, der regelmäßig und bei Bedarf unterstützt.

Wichtig ist, dass Kontrolle und Ausführung möglichst getrennt bleiben. Wenn der Dienstleister, der die IT betreut, zugleich den ISB stellt, sollte diese Doppelrolle bewusst entschieden und dokumentiert werden.

Anforderungsprofil

Nach 200-2 ist es wünschenswert, dass der ISB über Wissen und Erfahrung in Informationssicherheit und IT verfügt und die Geschäftsprozesse der Institution kennt. Genannt werden unter anderem:

• Identifikation mit den Zielen der Informationssicherheit und Überblick über die Aufgaben der Institution,
• Kooperations- und Teamfähigkeit, aber auch Durchsetzungsvermögen,
• Erfahrung im Projektmanagement und Kenntnisse über Methoden der Risikoanalyse,
• Grundkenntnisse über Prozesse und Fachaufgaben sowie in IT,
• Bereitschaft zur laufenden Fort- und Weiterbildung.

Besonders betont der Standard die Kommunikation: Der ISB muss Mitarbeitende von manchmal lästigen Maßnahmen überzeugen, Vorfälle aufklären, ohne dass Mitarbeitende für ehrliche Antworten Nachteile befürchten müssen, und seine Meinung auch gegenüber der Leitung vertreten, notfalls mit Einspruch gegen Entscheidungen, die den Sicherheitszielen widersprechen.

Eine bestimmte Zertifizierung schreibt der IT-Grundschutz für den ISB nicht vor. Qualifizierungen wie die Schulungen zum IT-Grundschutz-Praktiker können helfen, die Methodik zu beherrschen.

ISB und Datenschutzbeauftragter

Häufig wird gefragt, ob eine Person beide Rollen übernehmen kann. 200-2 hält das grundsätzlich für möglich, nennt aber Bedingungen: Die Schnittstellen zwischen beiden Rollen sollen klar definiert und dokumentiert sein, beide brauchen direkte Berichtswege zur Leitung, und die Person muss ausreichend Zeit für beide Aufgaben haben. Bei Konflikten zwischen Datenschutz und Informationssicherheit sollte geprüft werden, ob konfliktträchtige Themen zusätzlich an eine weitere Stelle gemeldet werden.

Wann ein ISB vorgeschrieben ist

Eine allgemeine gesetzliche Pflicht zur Benennung eines ISB gibt es für Unternehmen nicht. Pflichten oder faktische Erwartungen ergeben sich aus anderen Quellen:

• IT-Grundschutz und ISO 27001: Wer nach diesen Standards arbeitet oder sich zertifizieren lässt, braucht eine benannte Verantwortung für Informationssicherheit.
• NIS-2: Das BSI-Gesetz verpflichtet besonders wichtige und wichtige Einrichtungen zu Risikomanagementmaßnahmen und die Geschäftsleitung zur Umsetzung und Überwachung. Ein ISB ist dafür der übliche organisatorische Weg, auch wenn das Gesetz die Rolle nicht in dieser Form vorschreibt.
• Verträge und Lieferketten: Auftraggeber, insbesondere aus regulierten Branchen, fordern häufig eine benannte Ansprechperson für Informationssicherheit.

Für Behörden und regulierte Branchen können eigene Vorgaben gelten. Diese sollten im Einzelfall geprüft werden.

Die Benennung praktisch umsetzen

Eine Benennung sollte schriftlich erfolgen und mindestens enthalten:

• Name der Person und ihrer Vertretung,
• Aufgaben und Befugnisse, etwa Einsichts- und Prüfrechte,
• Berichtsweg direkt zur Geschäftsführung,
• Zeitanteil oder Stundenkontingent sowie Budget für Fortbildung,
• Pflicht zur Beteiligung bei neuen Systemen, Projekten und Dienstleistern.

Die Benennung sollte im Betrieb bekannt gemacht werden, zum Beispiel in der Leitlinie und im Aushang oder Intranet, damit alle wissen, an wen sie sich bei Fragen und Vorfällen wenden. Nach ORP.1 muss es für Fragen zur Informationssicherheit eine Ansprechperson geben.

Häufige Fehler bei der Benennung

• Benennung ohne Zeitbudget, die Rolle existiert nur auf dem Papier.
• Keine direkte Berichtslinie zur Geschäftsführung.
• Erwartung, dass der ISB allein für Sicherheit verantwortlich ist und die Geschäftsführung sich zurückziehen kann.
• Keine Vertretung, sodass bei Urlaub oder Krankheit niemand zuständig ist.