Externer Informationssicherheitsbeauftragter

Informationssicherheit ist kein Projekt mit Enddatum, sondern eine Daueraufgabe – und sie braucht jemanden, der sie verantwortet. Ein externer Informationssicherheitsbeauftragter übernimmt diese Rolle für kleine und mittlere Unternehmen: Er koordiniert die Maßnahmen, berät die Leitung und sorgt dafür, dass Ihre Sicherheitsvorkehrungen zum tatsächlichen Risiko passen.

Aufgaben des Informationssicherheitsbeauftragten

Der Beauftragte ist Schnittstelle zwischen Fachbereichen, IT und Geschäftsführung. Er berät die Leitung zur Gestaltung der IT-Sicherheit und begleitet IT-Projekte. Zu seinem Aufgabenkreis gehören:

• Beratung beim Aufbau des Informationssicherheits-Managementsystems
• Sicherheitsrichtlinien und Konzepte erstellen
• Bedrohungen erfassen und Risiken bewerten
• Audits durchführen und Penetrationstests veranlassen
• Sicherheitsvorfälle untersuchen
• sicherheitsrelevante Projekte begleiten
• die Belegschaft schulen
• Fachbereiche und Projektverantwortliche einbinden
• Geschäftsführung und Vorstand berichten

Unser Ansatz verkauft Ihnen keine Sicherheitsprodukte. Wir verändern die Organisation, damit der Prozess IT-Sicherheit dauerhaft funktioniert. Die Methodik orientiert sich an Ihren Geschäftsprozessen. Bei der Auswahl von Hard- und Softwarekomponenten unterstützen wir ebenso wie bei der Frage, welches Systemhaus oder welcher Rechenzentrumsbetreiber zu Ihnen passt.

Die Handlungsfelder verteilen sich auf vier Bereiche: Mensch mit Personal und Schulung, Technik mit Datensicherheit, Datensicherung, Servern und Clients, Netzwerk, Internetanbindung sowie Updates und Patches, Unternehmen mit Gebäude, Infrastruktur, Outsourcing, Compliance und Dokumentation, und Datenschutz in Abstimmung mit dem Datenschutzbeauftragten und den Auftragsverarbeitungen. Quer dazu liegen Notfall- und Sicherheitsmanagement sowie das Regelwerk aus IT-Sicherheitspolitik, Sicherheitsrichtlinien und Nutzungsregelungen.

Wann eine externe Besetzung die richtige Wahl ist

Die Anforderungen wachsen, die internen Ressourcen selten im gleichen Tempo. Für eine externe Lösung sprechen vor allem sechs Situationen:

• Fehlende Kapazität. Sie brauchen die Rolle, haben aber niemanden mit dem nötigen Spezialwissen frei.
• Bedarf an Unabhängigkeit. Ein Blick von außen erkennt Schwachstellen, die intern übersehen werden.
• Zeitdruck. Interne Einarbeitung kostet Monate. Externes Fachwissen ist sofort verfügbar.
• Regulatorische Vorgaben. Normen wie ISO 27001 oder der BSI IT-Grundschutz lassen sich mit Erfahrung schneller umsetzen.
• Wirtschaftlichkeit. Der Einsatz erfolgt bedarfsgerecht, ohne dauerhafte Personalkosten und ohne Schulungsaufwand.
• Branchenkenntnis. Sicherheitsanforderungen unterscheiden sich je nach Branche erheblich.

Rechtlicher Rahmen und Bestellpflicht

Eine allgemeine gesetzliche Pflicht zur Bestellung eines Informationssicherheitsbeauftragten besteht in Deutschland nicht. Ausgenommen sind Betreiber kritischer Infrastrukturen: Sie unterliegen dem BSI-Gesetz und müssen nach § 8a BSIG geeignete technische und organisatorische Sicherheitsmaßnahmen treffen.

Umgesetzt werden diese Anforderungen üblicherweise auf Grundlage etablierter Standards wie ISO/IEC 27001 oder dem BSI IT-Grundschutz. Da diese Standards die Bestellung eines Beauftragten regelmäßig vorsehen, entsteht für betroffene Unternehmen ein faktischer Bedarf, auch ohne ausdrückliche gesetzliche Anordnung.

Weitere Vorgaben wirken mittelbar: kaufmännische Sorgfaltspflichten, das BDSG, die DSGVO sowie Pflichten aus dem Gesetz zur Kontrolle und Transparenz im Unternehmensbereich. Über Art. 32 DSGVO kann ein zertifiziertes Managementsystem als Nachweis eines angemessenen Schutzniveaus dienen. Auch Aktiengesetz und IT-Sicherheitsgesetz verlangen bereits entsprechende Strukturen.

Abgrenzung zum Datenschutzbeauftragten

Beide Rollen schützen Informationen, verfolgen aber unterschiedliche Ziele und stehen auf unterschiedlicher rechtlicher Grundlage.

Informationssicherheit schützt alles, was für das Unternehmen einen Wert hat – geistiges Eigentum, Prozesse, allgemeine Betriebsinformationen. Ihre Ziele sind Vertraulichkeit, Integrität und Verfügbarkeit.

Datenschutz schützt personenbezogene Daten und damit die Person dahinter. Die Aufgaben des Datenschutzbeauftragten ergeben sich aus der DSGVO.

Auch die Stellung im Unternehmen unterscheidet sich. Der Informationssicherheitsbeauftragte ist typischerweise informationstechnisch ausgebildet und der Geschäftsführung unterstellt. Der Datenschutzbeauftragte kommt meist aus dem juristischen oder wirtschaftswissenschaftlichen Bereich und ist nicht weisungsgebunden, sondern der Verordnung verpflichtet.

Daraus folgt ein möglicher Konflikt: Der Informationssicherheitsbeauftragte setzt Sicherheit im Sinne der Unternehmenswerte durch und untersteht dabei der Leitung. Der Datenschutzbeauftragte handelt nach den Vorgaben der Verordnung zum Schutz der betroffenen Personen. Eine Personalunion ist theoretisch möglich, birgt aber genau dieses Spannungsverhältnis.

Der Beauftragte im Managementsystem

Aufbau, Betrieb und Weiterentwicklung des Informationssicherheits-Managementsystems liegen bei ihm. Strebt Ihr Unternehmen eine Zertifizierung an, richtet er das System nach den Vorgaben der ISO 27001 aus. Er prüft oder lässt prüfen, ob die technischen und organisatorischen Maßnahmen wirken, und nimmt damit eine qualitätssichernde Funktion ein. Zu seiner Verantwortung gehören außerdem die Steuerung des Sicherheitsprozesses, die Entwicklung und Einführung der Richtlinien, Risikobewertung und Risikomanagement, die laufende Aktualisierung der Maßnahmen sowie die Reaktion auf Vorfälle.

Der PDCA-Zyklus in der Praxis

Planen. Rahmenbedingungen gemeinsam mit der Leitung ermitteln, Sicherheitsziele festlegen, eine Strategie ausarbeiten, Risiken systematisch analysieren und bewerten, Konzepte und Richtlinien erstellen, Strategie und Ziele in der Leitlinie zur Informationssicherheit dokumentieren.

Umsetzen. Die geplanten Maßnahmen anstoßen und einführen, sicherheitsrelevante Projekte koordinieren, die korrekte Umsetzung überprüfen, Mitarbeitende schulen und sensibilisieren.

Prüfen. Regelmäßig kontrollieren, ob die Ziele erreicht werden, Einhaltung von Standards und rechtlichen Vorgaben überwachen, der Leitungsebene berichten, Sicherheitsvorfälle erkennen und behandeln, Audits durchführen.

Verbessern. Den Prozess anhand der Prüfergebnisse nachschärfen, Schwachstellen und Verbesserungsmöglichkeiten identifizieren, die Strategie anpassen, wenn sich Rahmenbedingungen oder Ziele ändern.

Sicherheit ist damit kein erreichter Zustand, sondern eine Funktion im laufenden Betrieb. Ohne aktives Management sinkt das erreichte Niveau wieder.

Dokumenten-Check als Einstieg

Technische Maßnahmen machen höchstens die Hälfte der Informationssicherheit aus. Den größeren Anteil tragen Organisation und Menschen. Neben der Auswahl geeigneter Technik geht es deshalb darum, ein Sicherheitsbewusstsein in der Belegschaft aufzubauen.

Unser Dokumenten-Check bewertet, welche Betriebsvereinbarungen, Richtlinien und Dokumentationen bei Ihnen vorliegen und wo Lücken bestehen. Betrachtet werden unter anderem die Leitlinie zur Informationssicherheit, Anwenderhandbücher und Startpakete für neue Beschäftigte, die Auftragsdatenverarbeitung für externe Dienstleister, Vertraulichkeitsvereinbarungen, Sicherheitsrichtlinien und Notfallmeldungen. Grundlage der organisatorischen Bewertung ist die VdS 10000; berücksichtigt werden zusätzlich Ihre internen Vorgaben sowie BDSG und DSGVO.

Normen und Standards im Überblick

ISO 27001

Der international anerkannte Standard für ein systematisches Informationssicherheits-Managementsystem. Er folgt dem Plan-Do-Check-Act-Modell: Risiken analysieren und Ziele festlegen, Maßnahmen zur Risikominderung umsetzen, die Wirksamkeit regelmäßig bewerten, die Strategie anpassen. Ein Zertifikat belegt, dass Sie die Anforderungen der Norm erfüllen – nach innen wie nach außen ein belastbarer Nachweis. Über den IT-Grundschutz sagt es dagegen nichts aus; dafür gibt es ein eigenes Verfahren, siehe unten. Der Nutzen liegt in einer strukturierten Sicherheitsstrategie, in geringerem Risiko, im Vertrauen von Kunden, Partnern und Behörden sowie in der Unterstützung bei gesetzlichen Anforderungen.

VdS 10000

Der Standard des Verbands der Sachversicherer richtet sich ausdrücklich an kleine und mittlere Unternehmen sowie an Organisationen mit begrenzten IT-Ressourcen. Er baut auf ISO 27001 auf, ist aber einfacher umzusetzen. Der Ansatz ist risikobasiert und benennt konkrete Maßnahmen für einzelne Sicherheitsbereiche: organisatorische Vorgaben mit klaren Richtlinien und Verantwortlichkeiten, technische Vorkehrungen von der Verschlüsselung über Firewalls bis zum abgesicherten Netzwerk, ein Notfallmanagement für den Ernstfall und die Sensibilisierung der Belegschaft durch gezielte Schulungen. Unternehmen können sich nach VdS 10000 zertifizieren lassen.

BSI IT-Grundschutz

Die Methodik des Bundesamts für Sicherheit in der Informationstechnik bietet ein bewährtes Rahmenwerk, um IT-Risiken zu erkennen, zu bewerten und abzusichern. Sie beruht auf standardisierten Maßnahmen und ist modular aufgebaut: Sie wählen die Sicherheitsbausteine aus, die zu Ihrer Lage passen, ohne sich in unnötiger Komplexität zu verlieren. Wer ein Zertifikat anstrebt, geht den Weg über das BSI-Verfahren – Einzelheiten unter ISO 27001 und IT-Grundschutz.

Zur Selbsteinschätzung können Sie außerdem den veröffentlichten Fragebogen des Bayerischen Landesamts für Datenschutzaufsicht heranziehen. Er enthält zusätzlich eine Checkliste zu weiteren Anforderungen der Datenschutz-Grundverordnung, etwa zu Betroffenenrechten und Transparenzpflichten.

Qualifikation eines Informationssicherheitsbeauftragten

Die Rolle verlangt eine Mischung aus Technik, Management und Persönlichkeit. Im Zeitalter maschinellen Lernens kommt hinzu, neue Technologien und ihre Sicherheitsfolgen einordnen zu können.

Fachliche Voraussetzungen: Erfahrung in IT und Informationssicherheit, sicherer Umgang mit Risikomanagement, Verschlüsselung und Netzwerksicherheit, Vertrautheit mit ISO 27001 und dem IT-Grundschutz des BSI, Grundverständnis der Abläufe im eigenen Unternehmen, Erfahrung in Projektmanagement und Koordination, Erfahrung im Change Management, hohe Bereitschaft zur Fortbildung, idealerweise ein einschlägiges Studium sowie verhandlungssicheres Englisch.

Persönliche Voraussetzungen: selbstständiges Arbeiten und Arbeitsdisziplin, interdisziplinäres und prozessorientiertes Denken, analytisches Vorgehen, Kommunikationsgeschick und Überzeugungskraft, Kooperations- und Teamfähigkeit, Durchsetzungsvermögen, die Fähigkeit, Beziehungen und Netzwerke aufzubauen, Zielorientierung, Anpassungsfähigkeit und ein waches Bewusstsein für Risiken und ihre Tragweite.

Zeitaufwand und Personalbedarf

Wie viel Kapazität die Rolle bindet, hängt von mehreren Faktoren ab:

• Grundbedarf. Ein mittelständisches Unternehmen benötigt in der Regel ein bis zwei Tage pro Woche, also etwa 20 bis 40 Prozent einer Vollzeitstelle.
• Region. In Ballungsräumen wie Berlin ist wegen höherer Komplexität und Regulierungsdichte häufig eine volle Stelle erforderlich, in Regionen wie Schleswig-Holstein genügt oft eine 25-Prozent-Stelle.
• Branche. Im stark regulierten Bereich der Metallindustrie werden typischerweise eine Vollzeitkraft und ein bis zwei unterstützende Personen gebraucht, im Gesundheitswesen meist eine 50- bis 75-Prozent-Stelle.
• Unternehmensgröße. Ab 10.000 Beschäftigten ist in der Regel ein Team aus drei bis fünf Vollzeitkräften nötig. Bei 51 bis 250 Beschäftigten reichen meist 30 bis 40 Prozent einer Stelle, also anderthalb bis zwei Tage pro Woche.
• Komplexität der Anforderungen. Internationale Geschäftstätigkeit oder kritische Infrastruktur erhöhen den Aufwand deutlich; besonders anspruchsvolle Umgebungen erfordern ein eigenes Team.

In größeren Organisationen kann ein Managementteam für Informationssicherheit den Beauftragten unterstützen. Es koordiniert, berät und kontrolliert die übergreifenden Analysen, Konzepte und Richtlinien. Der Markt bietet entsprechend unterschiedliche Modelle – von der dauerhaften Betreuung bis zum projektbezogenen Einsatz.

Kosten

Die Betreuung beginnt bei 257 € im Monat. Enthalten sind:

• Stellung des Beauftragten als zertifizierter ISO-27001-Auditor
• Informationssicherheitsplattform
• E-Learning für Ihre Mitarbeitenden
• Vorlagenbibliothek
• digitales Audit mit Editor
• feste Regeltermine und ein persönlicher Ansprechpartner

Ihren individuellen Preis ermitteln Sie im Kostenrechner.

Häufige Fragen zum Informationssicherheitsbeauftragten

Muss jedes Unternehmen einen Beauftragten bestellen? Nein, eine allgemeine gesetzliche Vorgabe existiert nicht. Sinnvoll ist sie dennoch für viele Organisationen – vor allem dort, wo sensible oder personenbezogene Daten verarbeitet werden. Wer eine kritische Infrastruktur betreibt, ist über das IT-Sicherheitsgesetz ohnehin verpflichtet, Schutzvorkehrungen zu treffen.

Kann eine Person zugleich Informationssicherheits- und Datenschutzbeauftragte sein? Theoretisch ja, die Kompetenzprofile ähneln sich. Praktisch besteht ein Konflikt: Wer der Geschäftsleitung untersteht, könnte den Datenschutz hinter unternehmerische Ziele zurückstellen. Ein Datenschutzbeauftragter darf keine Aufgaben übernehmen, die seine Kontrollfunktion beeinträchtigen.

Welche Rolle spielt der Beauftragte bei einem Sicherheitsvorfall? Er ist die zentrale Anlaufstelle. Er verantwortet die Reaktion, veranlasst Maßnahmen zur Behebung und stellt sicher, dass Meldepflichten eingehalten werden.

Welche Themen kommen künftig auf die Rolle zu? Zero-Trust-Modelle, Quantencomputer, Cloud-Sicherheit sowie künstliche Intelligenz und maschinelles Lernen verändern die Anforderungen. Wer die Rolle ausfüllt, muss sich fortlaufend weiterbilden.

Kontakt

Sie möchten wissen, welcher Standard zu Ihrem Unternehmen passt und was die Betreuung kostet? Sprechen Sie uns an.

• Telefon: +49 6188 99 04 36
• E-Mail: office@dsb-datenschutz.de
• Angebot berechnen