Eine IS-Organisation im Kleinbetrieb aufbauen
Anleitung für KMU: So bauen Sie eine einfache, aber wirksame IS-Organisation auf. Definieren Sie Rollen wie den ISB und schaffen Sie klare Verantwortlichkeiten.
Informationssicherheit ist keine Aufgabe, die sich von allein erledigt. Ohne klare Zuständigkeiten wird sie im Betriebsalltag oft vernachlässigt. Wenn Sie eine IS-Organisation aufbauen, schaffen Sie eine verbindliche Struktur und stellen sicher, dass sich jemand verantwortlich fühlt.
Ihr Nutzen: Eine klare Organisation verbessert die Sicherheit spürbar. Sie minimieren Risiken wie Datenverlust oder Betriebsausfälle und haben einen zentralen Ansprechpartner für alle Sicherheitsthemen.
Das Risiko: Ohne feste Rollen bleibt Informationssicherheit ein „Problem anderer Leute“. Sicherheitslücken werden nicht erkannt, Maßnahmen nicht umgesetzt und im Notfall weiß niemand, was zu tun ist. Dies kann zu erheblichen finanziellen und reputativen Schäden führen.
Nächster Schritt: Die Geschäftsleitung sollte eine Person zum Informationssicherheitsbeauftragten (ISB) ernennen. In kleinen Unternehmen kann dies ein IT-affiner Mitarbeiter in Teilzeit sein. Diese Person erhält den Auftrag, eine grundlegende Sicherheitsstruktur zu etablieren und den Prozess zu koordinieren. Die Ernennung muss offiziell erfolgen und mit den nötigen Befugnissen und Ressourcen ausgestattet sein.
Eine funktionierende Informationssicherheitsorganisation (IS-Organisation) ist das Fundament für ein wirksames Sicherheitsmanagement. Sie definiert, wer welche Aufgaben und Verantwortlichkeiten im Bereich der Informationssicherheit hat. Auch und gerade in kleinen und mittleren Unternehmen (KMU) ist eine solche Struktur unerlässlich, um Sicherheitsmaßnahmen systematisch zu planen, umzusetzen und zu kontrollieren. Der Aufbau muss dabei nicht komplex sein, sondern an die Größe und die Gegebenheiten des Unternehmens angepasst werden.
Die Gesamtverantwortung liegt bei der Leitung
Der Impuls und die grundlegende Verpflichtung zur Informationssicherheit müssen von der Unternehmensleitung ausgehen. Sie trägt die Gesamtverantwortung für den Schutz der Unternehmenswerte und einen sicheren Geschäftsbetrieb. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt klar, dass die Leitungsebene für die ordnungsgemäße und sichere Aufgabenerfüllung verantwortlich ist www.bsi.bund.de. Ihre Aufgabe ist es, den Sicherheitsprozess zu initiieren, die notwendigen Ressourcen (Personal, Budget, Zeit) bereitzustellen und die Aufbauorganisation formal in Kraft zu setzen.
Der Informationssicherheitsbeauftragte (ISB) als zentrale Rolle
Das Herzstück einer jeden IS-Organisation ist der Informationssicherheitsbeauftragte (ISB), manchmal auch Chief Information Security Officer (CISO) genannt. Er ist der zentrale Koordinator und Ansprechpartner für alle Belange der Informationssicherheit.
Zu seinen Hauptaufgaben gehören:
- Steuerung des Informationssicherheitsprozesses: Er plant, steuert und überwacht alle Aktivitäten.
- Beratung der Leitung: Er unterstützt die Geschäftsführung bei strategischen Sicherheitsentscheidungen.
- Erstellung von Sicherheitsdokumenten: Er koordiniert die Erstellung des Sicherheitskonzepts, von Richtlinien (z. B. zur Passwortvergabe oder zur Nutzung mobiler Geräte) und des Notfallvorsorgekonzepts.
- Beteiligung an Projekten: Der ISB muss frühzeitig in alle Projekte einbezogen werden, die die Informationsverarbeitung betreffen, etwa bei der Einführung neuer Software oder bei Outsourcing-Vorhaben.
In KMU ist der ISB selten eine Vollzeitstelle. Die Rolle wird oft von einem Mitarbeiter mit technischem Verständnis und Organisationstalent zusätzlich zu seinen eigentlichen Aufgaben übernommen. Wichtig ist, dass diese Person direkt an die Geschäftsleitung berichtet und über die notwendige Autorität verfügt. Zudem sollte ein qualifizierter Vertreter benannt werden.
Eine einfache IS-Organisation aufbauen: Ein praktisches Modell
Für kleine Unternehmen empfiehlt das BSI eine schlanke Struktur, die die wichtigsten Rollen abbildet. Diese Struktur sollte dokumentiert und allen Mitarbeitenden bekannt gemacht werden.
Aufbau einer IS-Organisation in einem KMU
- Unternehmensleitung: Trägt die Gesamtverantwortung, trifft strategische Entscheidungen und stellt Ressourcen bereit.
- Informationssicherheitsbeauftragter (ISB): Ist der Leitung direkt unterstellt. Er koordiniert den Sicherheitsprozess und fungiert als Schnittstelle zwischen allen Beteiligten.
- IT-Betrieb / IT-Verantwortlicher: Ist für die technische Umsetzung der Sicherheitsvorgaben zuständig (z. B. Konfiguration von Firewalls, Einspielen von Updates). Eine enge Zusammenarbeit mit dem ISB ist entscheidend.
- Fachverantwortliche: Leiter von Abteilungen oder Prozessen sind für die Informationssicherheit in ihrem jeweiligen Bereich verantwortlich. Sie unterstützen den ISB bei der Umsetzung von Maßnahmen.
- Alle Mitarbeitenden: Jeder Einzelne ist für die Einhaltung der Sicherheitsvorgaben an seinem Arbeitsplatz verantwortlich. Dies umfasst den sicheren Umgang mit Passwörtern ebenso wie das Melden von verdächtigen Vorkommnissen.
Schnittstellen zu anderen Bereichen definieren
Informationssicherheit ist eine Querschnittsaufgabe. Daher müssen die Schnittstellen zu anderen Managementdisziplinen klar geregelt sein.
- Datenschutz: Die Zusammenarbeit mit dem Datenschutzbeauftragten (DSB) ist besonders eng. Während der ISB alle Informationen schützt, fokussiert sich der DSB auf personenbezogene Daten. Eine Personalunion ist zwar möglich, das BSI empfiehlt jedoch getrennte Rollen, um Interessenkonflikte zu vermeiden und sicherzustellen, dass für beide wichtigen Themen genügend Ressourcen zur Verfügung stehen.
- Personalwesen: Prozesse wie die Einstellung neuer Mitarbeiter (Onboarding) und das Ausscheiden von Personal (Offboarding) haben hohe Sicherheitsrelevanz, etwa bei der Rechtevergabe und -entziehung.
- Physische Sicherheit: Der Schutz von Gebäuden und Räumen muss mit der IT-Sicherheit abgestimmt sein.
Umsetzung nach IT-Grundschutz
Der IT-Grundschutz des BSI fordert eine klare Organisationsstruktur. Der Baustein ORP.1 Organisation (Edition 2023) ist hierfür die zentrale Anlaufstelle. Die Anforderung ORP.1.A2 Zuweisung der Zuständigkeiten verlangt explizit, dass die Zuständigkeiten für die Informationssicherheit klar geregelt und allen Mitarbeitenden bekannt gemacht werden müssen. Die hier beschriebene Struktur dient als Grundlage, um diese und weitere Anforderungen aus dem IT-Grundschutz-Kompendium systematisch zu erfüllen.
Häufige Fragen
Braucht unser Kleinbetrieb wirklich eine IS-Organisation?
Ja. Auch in kleinen Unternehmen müssen die Verantwortlichkeiten für Informationssicherheit klar geregelt sein, damit das Thema nicht vernachlässigt wird. Die Organisation muss nicht komplex sein, aber sie muss existieren und gelebt werden.
Muss der Informationssicherheitsbeauftragte (ISB) eine Vollzeitstelle sein?
Nein, in kleinen und mittleren Unternehmen ist dies meist nicht erforderlich. Die Rolle kann von einem geeigneten Mitarbeiter, zum Beispiel aus der IT, in Teilzeit wahrgenommen werden. Wichtig ist, dass die Person dafür ausreichend Zeit und die Unterstützung der Leitung erhält.
Kann der Datenschutzbeauftragte auch gleichzeitig ISB sein?
Eine Personalunion ist rechtlich nicht ausgeschlossen, birgt aber Risiken wie Interessenkonflikte und Ressourcenengpässe. Das BSI empfiehlt, die Rollen zu trennen. Wenn sie dennoch kombiniert werden, müssen die Aufgaben klar abgegrenzt und ausreichend Ressourcen für beide Bereiche eingeplant werden.
Wer ist letztendlich für die Informationssicherheit verantwortlich?
Die Gesamtverantwortung für die Informationssicherheit liegt immer bei der Geschäftsleitung. Der ISB und andere Rollen unterstützen die Leitung bei der Wahrnehmung dieser Verantwortung.