Informationssicherheitsbeauftragter: Aufgaben und Anforderungen

Der Informationssicherheitsbeauftragte sitzt bei der Geschäftsführung und berichtet über ein ernstes Problem. Eine wichtige Sicherheitsmaßnahme ist seit Monaten überfällig. Das Risiko ist bekannt, der zuständige Bereich vertröstet ihn und inzwischen wird es unangenehm.

Die Antwort der Geschäftsführung lautet sinngemäß: „Dann schreiben Sie in den Bericht bitte, dass wir auf einem guten Weg sind.“

Das ist ein guter Moment, um sich über die Rolle des Informationssicherheitsbeauftragten zu unterhalten. Denn ein ISB ist weder die Pressestelle für ein imaginäres ISMS noch der Mensch, der Informationssicherheit im Alleingang erledigt. Er soll dafür sorgen, dass die richtigen Informationen bei den richtigen Personen landen, dass Aufgaben nicht geräuschlos im Keller verschwinden und dass die Geschäftsführung auch dann ein realistisches Bild bekommt, wenn dieses Bild gerade keinen freundlichen Rahmen verdient.

Die kurze Antwort

Ein Informationssicherheitsbeauftragter koordiniert und hält Fäden zusammen. Die Rolle ist nach ISO 27001 nicht unter diesem Namen vorgeschrieben; Verantwortung der Geschäftsführung und der Fachbereiche lässt sich durch die Bestellung nicht wegdelegieren.

Was macht ein Informationssicherheitsbeauftragter?

Ein Informationssicherheitsbeauftragter – kurz ISB – koordiniert das Informationssicherheitsmanagementsystem. Er hält die Fäden zusammen, sorgt für Transparenz und erinnert Beteiligte freundlich, bestimmt oder schließlich mit dem verbalen Wagenheber daran, dass beschlossene Maßnahmen auch irgendwann umgesetzt werden müssen.

Seine konkreten Aufgaben hängen vom Unternehmen ab. Typischerweise sorgt er dafür, dass Risikomanagement, Maßnahmenverfolgung, Berichterstattung, interne Audits, Sicherheitsvorfälle und weitere Bestandteile des ISMS nicht als lose Word-Dateien in verschiedenen Abteilungen vor sich hin existieren, sondern als zusammenhängendes System funktionieren.

Der zugespitzte Leitsatz lautet:

Der ISB ist nicht derjenige, der Informationssicherheit höchstpersönlich erledigt. Er ist derjenige, der verhindert, dass jeder glaubt, ein anderer werde sie schon erledigen.

Ist ein Informationssicherheitsbeauftragter nach ISO 27001 Pflicht?

Nein. Die ISO 27001 verlangt keine Rolle mit der Bezeichnung „Informationssicherheitsbeauftragter“. Sie verlangt auch keine Bestellungsurkunde mit Goldrand und keinen Menschen, dessen E-Mail-Signatur allein schon ein halbes Organigramm füllt.

Abschnitt 5.3 verlangt aber, dass die für Informationssicherheit relevanten Rollen, Verantwortlichkeiten und Befugnisse zugewiesen und innerhalb der Organisation bekannt gemacht werden. Außerdem muss die Verantwortung dafür festgelegt sein,

• dass das ISMS die Anforderungen der ISO 27001 erfüllt und
• dass der obersten Leitung über die Leistung des ISMS berichtet wird.

Wie diese Verantwortung organisatorisch heißt, bleibt dem Unternehmen überlassen. Sie kann bei einem ISB liegen, bei einem CISO, bei einem Security Manager oder – in einem sehr kleinen Unternehmen – bei einer Geschäftsführerin mit mehreren Rollen. Entscheidend ist nicht der Titel. Entscheidend ist, dass klar ist, wer was tut, wer was entscheiden darf und wer wem berichtet. Mehr dazu steht in unserem Artikel über Rollen, Verantwortlichkeiten und Befugnisse nach ISO 27001.

Bestellungsurkunde: nicht vorgeschrieben, aber ausgesprochen vernünftig

Wenn Sie die Rolle „Informationssicherheitsbeauftragter“ einführen, sollten Sie ihre Aufgaben schriftlich festlegen. Das kann über eine Bestellungsurkunde, eine Rollenbeschreibung, eine Stellenbeschreibung oder einen Anhang zum Arbeitsvertrag geschehen.

Die ISO 27001 schreibt die klassische Bestellungsurkunde nicht ausdrücklich vor. Sie ist trotzdem oft eine gute Idee, weil sie einige Fragen beantwortet, bevor sie im Alltag hässlich werden:

• Welche Aufgaben übernimmt der ISB?
• Welche Befugnisse und Informationsrechte hat er?
• An wen berichtet er?
• Wann darf oder muss er direkt eskalieren?
• Welche Zeit und welche weiteren Ressourcen stehen ihm zur Verfügung?
• Welche Aufgaben bleiben ausdrücklich bei Geschäftsführung, IT, HR, Risikoeigentümern und Prozessverantwortlichen?

Eine Unterschrift allein erzeugt allerdings noch keinen funktionierenden ISB. Wer am Montag eine Bestellungsurkunde unterschreibt und am Dienstag erklärt, für das ISMS seien leider keine zwei Stunden im Monat frei, hat keine Rolle geschaffen. Er hat ein Blatt Papier beschäftigt.

Welche Aufgaben hat ein Informationssicherheitsbeauftragter in der Praxis?

Der ISB ist normalerweise die organisatorische Schaltstelle des ISMS. Je nach Größe, Branche und Aufbau des Unternehmens gehören insbesondere die folgenden Aufgaben dazu.

Risikomanagement koordinieren

Der ISB sorgt dafür, dass Informationssicherheitsrisiken regelmäßig ermittelt, bewertet und behandelt werden. Er bereitet Methoden und Termine vor, bringt die richtigen Personen zusammen und achtet darauf, dass Entscheidungen nachvollziehbar festgehalten werden.

Er muss Risiken aber nicht im stillen Kämmerlein für alle anderen erraten. Fachbereiche und Risikoeigentümer müssen erklären, was tatsächlich passieren kann und welche Folgen das für das Unternehmen hätte. Ebenso wenig entscheidet der ISB automatisch allein, welche Risiken akzeptiert werden.

Maßnahmen verfolgen

Aus Risikobehandlungen, Audits, Vorfällen, Zielen und Verbesserungen entstehen Maßnahmen. Der ISB behält im Blick, wer sie übernommen hat, wann sie fällig sind und ob sie wirklich abgeschlossen wurden. Er ist damit häufig der professionelle Hinterherläufer des Unternehmens – allerdings mit Liste, Eskalationsweg und der berechtigten Frage, warum „Ende März“ inzwischen das dritte Ende März meint.

Das Management Review vorbereiten

Der ISB sammelt die Informationen, die die Geschäftsführung für ihre Bewertung des ISMS benötigt: Ergebnisse aus Audits, Entwicklungen bei Risiken, Zielerreichung, Vorfälle, Ressourcenbedarf, Rückmeldungen und Verbesserungspotenziale. Er bereitet das Management Review vor und liefert ein belastbares Bild.

Die Bewertung selbst ist Aufgabe der obersten Leitung. Der ISB kann die Unterlagen vorbereiten. Er kann der Geschäftsführung aber nicht deren Führungsentscheidung abnehmen und anschließend in beiden Unterschriftsfeldern mit verschiedenfarbigen Stiften unterschreiben.

Interne Audits organisieren

Der ISB plant häufig das Auditprogramm, koordiniert Termine und sorgt dafür, dass Feststellungen und Nichtkonformitäten bearbeitet werden. Er kann auch selbst auditieren, soweit Kompetenz, Objektivität und Unparteilichkeit gewährleistet sind.

Genau dort liegt eine wichtige Grenze: Der ISB sollte nicht unkritisch seine eigene Arbeit auditieren. Wer eine Regel selbst entworfen, umgesetzt und über Monate überwacht hat, ist nicht unbedingt die überzeugendste Person, um ihre Wirksamkeit unabhängig zu beurteilen. Was ein gutes Internes Audit leisten muss, haben wir separat erklärt.

Threat Intelligence und relevante Entwicklungen koordinieren

Die Maßnahme A.5.7 in Anhang A behandelt Threat Intelligence. Das Unternehmen soll Informationen über Bedrohungen sammeln und auswerten, damit daraus nutzbares Wissen entsteht. Der ISB kann diese Arbeit koordinieren und Informationen aus IT, Datenschutz, Lieferantenmanagement, Fachbereichen und externen Quellen zusammenführen.

Das bedeutet nicht, dass er jeden Morgen persönlich sämtliche Sicherheitsmeldungen des Internets lesen muss. Er muss dafür sorgen, dass Quellen, Verantwortlichkeiten, Bewertung und Weitergabe sinnvoll organisiert sind. Übrigens: A.5.8 ist ein anderes Thema – nämlich Informationssicherheit im Projektmanagement.

Sicherheitsvorfälle und weitere ISMS-Themen zusammenhalten

Der ISB koordiniert häufig die organisatorische Behandlung von Informationssicherheitsvorfällen, sorgt für geregelte Meldewege und achtet auf die anschließende Auswertung. Er begleitet außerdem die Pflege der Anwendbarkeitserklärung, verfolgt relevante rechtliche und vertragliche Anforderungen und unterstützt bei Sensibilisierung und Kommunikation.

Auch hier gilt: Koordinieren ist nicht dasselbe wie alles selbst erledigen. Der ISB muss einen kompromittierten Server nicht eigenhändig bereinigen, nur weil das Wort „Sicherheit“ vorkommt. Für technische Maßnahmen bleibt die IT zuständig; für arbeitsrechtliche Fragen HR; für Verträge und Rechtsfragen die jeweils kompetente Stelle. Wie Unternehmen ihre rechtlichen und vertraglichen Anforderungen in den Griff bekommen, ist ein eigenes Thema.

Der ISB koordiniert – die Verantwortung bleibt verteilt

Ein häufiger Organisationsfehler sieht so aus: Das Unternehmen benennt einen ISB und betrachtet damit alles, was entfernt mit Informationssicherheit zu tun hat, als dessen persönliches Problem.

Das funktioniert ungefähr so gut, wie einen Brandschutzbeauftragten einzustellen und anschließend allen anderen zu erlauben, Kerzen unter Papiergirlanden aufzustellen.

Die Geschäftsführung bleibt für Führung, Prioritäten und Ressourcen verantwortlich. Risikoeigentümer müssen Entscheidungen über ihre Risiken tragen. Prozessverantwortliche müssen Sicherheitsanforderungen in ihren Prozessen umsetzen. Die IT muss technische Maßnahmen betreiben. Mitarbeiter müssen Regeln einhalten. Der ISB sorgt dafür, dass dieses Zusammenspiel organisiert, sichtbar und überprüfbar wird.

Gerade beim Aufbau eines ISMS ist diese Rollenklärung wichtig. ISO 27001 ist kein Päckchen, das man beim ISB abgibt und kurz vor dem Zertifizierungsaudit wieder abholt. Es ist ein Projekt des Unternehmens – und danach ein Managementsystem des Unternehmens.

Stabsstelle, Bericht an die Geschäftsführung und Weisungsfreiheit

Eine Stabsstelle mit direktem Berichtsweg zur Geschäftsführung ist für einen ISB häufig sinnvoll. Die ISO 27001 schreibt kein bestimmtes Organigramm vor. Sie verlangt aber, dass über die Leistung des ISMS an die oberste Leitung berichtet wird. Dafür muss der Weg nach oben praktisch funktionieren und nicht nur in einer Prozessgrafik existieren.

Der ISB sollte fachlich unabhängig berichten können. Wenn er ein wesentliches Risiko, eine nicht umgesetzte Maßnahme oder eine unangenehme Entwicklung erkennt, darf die Antwort nicht lauten: „Das lassen wir aus dem Bericht. Das macht schlechte Stimmung.“

Ein ISB, der nur berichten darf, was die Geschäftsführung gerne hören möchte, ist kein Informationssicherheitsbeauftragter. Er ist die Pressestelle für ein imaginäres ISMS.

„Weisungsfrei“ sollte man dabei nicht gedankenlos als absoluten Rechtsbegriff verwenden. Ein angestellter ISB bleibt grundsätzlich in eine Organisation eingebunden. Sinnvoll sind jedoch eine klar geregelte fachliche Unabhängigkeit, ein unmittelbares Vortrags- und Eskalationsrecht sowie Schutz davor, dass berechtigte Berichte über Sicherheitsprobleme unterdrückt werden.

Ohne Ressourcen wird aus dem ISB ein dekorativer Titel

Abschnitt 7.1 der ISO 27001 verlangt, dass die notwendigen Ressourcen für Aufbau, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung des ISMS bestimmt und bereitgestellt werden. Abschnitt 7.2 verlangt Kompetenz für Personen, deren Arbeit die Informationssicherheitsleistung beeinflusst.

Für den ISB bedeutet das ganz praktisch:

• Er braucht ausreichend Zeit.
• Er braucht Zugang zu den notwendigen Informationen und Personen.
• Er braucht passende Fach- und Methodenkompetenz.
• Er braucht Werkzeuge und gegebenenfalls Budget.
• Er braucht einen funktionierenden Eskalationsweg.

„Sie machen das zusätzlich zu Ihrem eigentlichen Job, aber bitte ohne dass dort etwas liegen bleibt“ ist keine Ressourcenplanung. Es ist die höfliche Ankündigung, dass Informationssicherheit immer dann stattfinden soll, wenn zufällig nichts anderes zu tun ist. In den meisten Unternehmen tritt dieser Zustand ungefähr gleichzeitig mit einem Einhorn im Serverraum auf.

Kann ein externer Informationssicherheitsbeauftragter eingesetzt werden?

Ja. Die ISO 27001 verlangt keinen internen Stelleninhaber. Ein externer ISB kann insbesondere für kleinere Unternehmen sinnvoll sein, wenn intern Zeit oder Erfahrung fehlen.

Auch ein externer ISB benötigt aber klare Aufgaben, Ansprechpartner, Informationszugänge, vereinbarte Berichtswege und ausreichend Zeit. Ein Vertrag über zwei Stunden im Quartal verwandelt niemanden in einen allwissenden Sicherheitsgeist. Zudem muss im Unternehmen weiterhin feststehen, wer Entscheidungen trifft und Maßnahmen tatsächlich umsetzt.

Hilfreich ist außerdem die Abgrenzung zum eher technisch ausgerichteten IT-Sicherheitsbeauftragten. In manchen Unternehmen liegen beide Rollen bei derselben Person, in anderen bewusst nicht. Entscheidend sind Aufgaben, Kompetenz und mögliche Interessenkonflikte – nicht die kreative Vielfalt der Visitenkarten.

Was schaut sich ein Auditor beim ISB an?

Ein Auditor prüft nicht, ob irgendwo eine hübsche Bestellungsurkunde hängt. Er möchte erkennen, ob die Rolle tatsächlich funktioniert. Typische Fragen sind:

• Welche Aufgaben, Verantwortlichkeiten und Befugnisse hat der ISB?
• Wie wurden diese im Unternehmen bekannt gemacht?
• Welche Zeit und welche Ressourcen stehen ihm zur Verfügung?
• Wie berichtet er an die Geschäftsführung?
• Welche Risiken, Maßnahmen, Vorfälle und Verbesserungen verfolgt er gerade?
• Kann er auch schlechte Nachrichten ungefiltert adressieren?
• Wie wird seine Kompetenz nachgewiesen und weiterentwickelt?
• Wo bestehen Interessenkonflikte – etwa wenn er seine eigene Arbeit auditieren soll?

Besonders aufschlussreich ist der Vergleich zwischen Rollenbeschreibung und Wirklichkeit. Auf dem Papier koordiniert der ISB vielleicht das gesamte ISMS. Im Gespräch stellt sich dann heraus, dass er weder Zugriff auf das Maßnahmenboard hat noch zu Managemententscheidungen eingeladen wird und den letzten Risikobericht nur aus Erzählungen kennt. Dann ist nicht die Rollenbeschreibung besonders ambitioniert. Dann ist die Rolle unwirksam.

Typische Fehler bei der ISB-Rolle

• Der ISB soll alles selbst machen: Damit verschwinden die Verantwortlichkeiten der Fachbereiche und der Geschäftsführung in einem sehr praktischen schwarzen Loch.
• Der ISB hat keine Zeit: Die Rolle wird zusätzlich vergeben, aber die bisherigen Aufgaben bleiben vollständig bestehen.
• Der ISB darf nur gute Nachrichten berichten: Das Management erhält ein freundliches, aber wertloses Lagebild.
• Der ISB soll seine eigene Arbeit unabhängig prüfen: Objektivität wird behauptet, statt organisatorisch ermöglicht.
• Die Rolle ist unklar: Niemand weiß, ob der ISB entscheidet, berät, koordiniert oder nur Protokolle schreibt.
• Der Titel wird mit Kompetenz verwechselt: Eine Bestellungsurkunde ist kein Lehrgang und ersetzt keine praktische Erfahrung.

Der eigentliche Zweck der Rolle

Ein guter Informationssicherheitsbeauftragter macht Informationssicherheit nicht komplizierter. Er sorgt dafür, dass das Unternehmen weiß, wo es steht, was es entschieden hat, wer etwas tun muss und wann die Geschäftsführung gefragt ist.

Er muss dafür nicht jedes Passwort kennen, jeden Server konfigurieren und jede Richtlinie persönlich schreiben. Er muss das ISMS als Ganzes verstehen, Zusammenhänge sichtbar machen und notfalls der obersten Leitung sagen können: „Nein, wir sind hier gerade nicht auf einem guten Weg.“

Genau deshalb braucht die Rolle mehr als einen wohlklingenden Titel. Sie braucht einen klaren Auftrag, Kompetenz, Zeit, Zugang und einen Berichtsweg, der auch dann offen bleibt, wenn am anderen Ende niemand die Nachricht hören wollte.

Interesse geweckt?

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.