Aufgaben des Informationssicherheitsbeauftragten

Aufgaben nach BSI-Standard 200-2

Der BSI-Standard 200-2 nennt als Hauptaufgabe des ISB, die Leitung bei ihrer Aufgabenwahrnehmung in Sachen Informationssicherheit zu beraten und bei der Umsetzung zu unterstützen. Im Einzelnen gehören dazu unter anderem:

• den Informationssicherheitsprozess zu steuern und an allen damit zusammenhängenden Aufgaben mitzuwirken,
• die Leitungsebene bei der Erstellung der Leitlinie zur Informationssicherheit zu unterstützen,
• die Erstellung des Sicherheitskonzepts, des Notfallvorsorgekonzepts und weiterer Teilkonzepte und System-Sicherheitsrichtlinien zu koordinieren sowie weitere Richtlinien und Regelungen zu erlassen,
• die Realisierung von Sicherheitsmaßnahmen zu initiieren und zu überprüfen,
• der Leitungsebene und dem IS-Management-Team über den Status quo zu berichten,
• sicherheitsrelevante Projekte zu koordinieren,
• Sicherheitsvorfälle zu untersuchen,
• Sensibilisierungs- und Schulungsmaßnahmen zu initiieren und zu koordinieren.

Zusätzlich ist der ISB bei allen größeren Projekten mit deutlichen Auswirkungen auf die Informationsverarbeitung zu beteiligen, etwa bei neuen Anwendungen, IT-Systemen oder wesentlichen Änderungen der Infrastruktur. Der Baustein ISMS.1 macht daraus in A4 eine Basis-Anforderung.

Die Aufgaben im Detail

Sicherheitsprozess steuern

Der ISB hält den Kreislauf aus Planen, Umsetzen, Prüfen und Verbessern in Gang. Dazu gehören ein Maßnahmenplan mit Verantwortlichen und Terminen, die Nachverfolgung offener Punkte und die Pflege der zentralen Dokumente. In kleinen Betrieben reicht dafür oft eine gut gepflegte Tabelle.

Konzepte und Richtlinien koordinieren

Der ISB muss nicht jedes Dokument selbst schreiben. Er sorgt aber dafür, dass Leitlinie, Sicherheitskonzept, Notfallplanung und Richtlinien für Mitarbeitende existieren, zueinander passen und aktuell bleiben. Fachliche Inhalte kommen von den Zuständigen, etwa vom IT-Dienstleister zur Datensicherung oder von der Personalabteilung zum Ein- und Austritt.

Maßnahmen anstoßen und prüfen

Eine wesentliche Aufgabe ist die Kontrolle: Sind die Zwei-Faktor-Authentifizierung wirklich aktiv, die Updates eingespielt, die Datensicherungen wiederherstellbar, die Konten ausgeschiedener Mitarbeitender gesperrt? Diese Prüfungen sollten nachvollziehbar dokumentiert werden. Größere oder unabhängige Prüfungen laufen als internes Audit.

Berichten

Nach 200-2 muss die Leitung vom ISB regelmäßig in angemessener Form über die Ergebnisse der Überprüfungen und den Status des Sicherheitsprozesses informiert werden. Der Standard nennt als Inhalte von Managementberichten unter anderem den Umsetzungsgrad des Sicherheitskonzepts, Ergebnisse von Audits, Berichte über Sicherheitsvorfälle, Erfolge und Probleme sowie den Abbau von Umsetzungsdefiziten. ISMS.1.A12 ergänzt, dass Berichte klar priorisierte Maßnahmenvorschläge mit realistischen Aufwandsschätzungen enthalten sollen. Die Entscheidungen der Leitung, etwa zur Akzeptanz von Restrisiken, werden dokumentiert.

Sicherheitsvorfälle untersuchen

Der ISB ist an der Behandlung von Sicherheitsvorfällen beteiligt, bewertet sie und sorgt dafür, dass Ursachen beseitigt werden. Bei meldepflichtigen Vorfällen, etwa nach DSGVO oder NIS-2, stimmt er sich mit Datenschutz und Geschäftsführung ab. Die eigentliche technische Bearbeitung übernimmt meist die IT oder ein spezialisierter Dienstleister.

Sensibilisieren und schulen

Der ISB stößt Schulungen an, sorgt dafür, dass neue Mitarbeitende eingewiesen werden, und wertet aus, ob die Maßnahmen wirken. Im Baustein ORP.3 ist dazu vorgesehen, dass er sich regelmäßig mit der Personalabteilung und anderen Beteiligten über die Wirksamkeit der Aus- und Weiterbildung austauscht.

Ein Jahresplan für kleine Betriebe

Als Orientierung, nicht als Vorgabe des BSI:

• Laufend: Ansprechperson bei Fragen, Beteiligung bei neuen Systemen und Dienstleistern, Vorfälle aufnehmen.
• Monatlich: offene Maßnahmen nachhalten, kurze Abstimmung mit dem IT-Dienstleister.
• Vierteljährlich: Stichproben zu Updates, Datensicherung, Berechtigungen und Konten ausgeschiedener Mitarbeitender.
• Halbjährlich: Kurzbericht an die Geschäftsführung, ein Sensibilisierungsthema für alle.
• Jährlich: Leitlinie und Sicherheitskonzept überprüfen, Notfallübung, internes Audit oder Selbstbewertung, Jahresbericht.

Inhalte, die sich für den Bericht bewährt haben

Ein Bericht an die Geschäftsführung muss nicht lang sein. Bewährt haben sich wenige, gleichbleibende Punkte, damit sich die Entwicklung über die Zeit vergleichen lässt:

• Stand des Maßnahmenplans: erledigt, in Arbeit, überfällig,
• Sicherheitsvorfälle und Beinahe-Vorfälle seit dem letzten Bericht und was daraus folgt,
• Ergebnis der letzten Wiederherstellungsprobe der Datensicherung,
• Anteil der Konten mit Zwei-Faktor-Authentifizierung und Stand der Updates,
• Teilnahme an Schulungen,
• neue Risiken, etwa durch neue Dienstleister, Systeme oder Vorgaben,
• Entscheidungen, die die Geschäftsführung treffen muss, mit Aufwand und Empfehlung.

Abgrenzung zu anderen Rollen

• Geschäftsführung: trägt die Gesamtverantwortung, entscheidet über Ziele, Budget und Restrisiken.
• IT-Betrieb oder IT-Dienstleister: setzt technische Maßnahmen um und betreibt die Systeme.
• Datenschutzbeauftragter: überwacht die Einhaltung des Datenschutzrechts. Die Rollen überschneiden sich, sind aber nicht identisch.
• Fachverantwortliche: sind für ihre Anwendungen und Daten verantwortlich und entscheiden etwa über deren Schutzbedarf mit.

Zeitbedarf

Wie viel Zeit ein ISB benötigt, hängt von Größe, Branche, Schutzbedarf und Reifegrad ab. Das BSI nennt dafür keine feste Zahl. Wichtig ist, den Zeitanteil ausdrücklich festzulegen und nach dem ersten Jahr anhand der tatsächlichen Arbeit zu überprüfen. Im Aufbaujahr ist der Aufwand meist deutlich höher als im laufenden Betrieb, weil Bestandsaufnahme, Leitlinie und erste Regelungen erst entstehen. Reicht die Zeit dauerhaft nicht, sollte die Geschäftsführung entscheiden, ob Aufgaben verteilt, Prioritäten verschoben oder externe Unterstützung hinzugezogen wird.