Was kostet ein externer Informationssicherheitsbeauftragter?

Der Preis hängt weniger an der Mitarbeiterzahl als an fünf anderen Größen: der Zahl der Standorte, Rechtseinheiten und unterschiedlichen IT-Umgebungen, dem Ausgangszustand — ein bestehendes ISMS zu betreuen ist etwas anderes, als eines aufzubauen —, der regulatorischen Lage, der zugesagten Reaktionszeit und dem Anteil an Vor-Ort-Präsenz. Die Reaktionszeit wirkt dabei am stärksten und wird am seltensten offen verhandelt. Angebote ohne Angabe zum Ausgangszustand sind grundsätzlich nicht vergleichbar.

Welche Modelle gibt es für ein externes ISB-Mandat?

Drei Varianten sind am Markt üblich. Ein Stundenkontingent ist günstig im Einstieg und transparent, führt im Vorfall aber zur Nachtragsdiskussion, wenn das Volumen aufgebraucht ist. Ein fester Leistungsumfang ist planbar und vergleichbar — entscheidend ist, dass die Aufgabenliste vollständig ist, denn was nicht darin steht, wird nicht getan. Ein Mandat mit Bereitschaft ergänzt den festen Umfang um eine zugesagte Reaktionszeit bei Sicherheitsvorfällen und ist für Unternehmen mit engen Meldefristen häufig die einzig sinnvolle Variante.

Woran erkennt man ein tragfähiges Angebot?

An fünf Antworten. Erstens: Wer ist die benannte Person und wer vertritt sie — die Rolle wird an einen Menschen delegiert, nicht an ein Unternehmen. Zweitens: Was passiert im Vorfall, konkret nach Erreichbarkeit, Zeit und Zuständigkeit für die BSI-Meldung. Drittens: Was ist ausdrücklich nicht enthalten. Viertens: Wie und wie oft wird an die Leitung berichtet, die nach § 38 BSIG die Verantwortung trägt. Fünftens: Was geschieht bei Mandatsende mit der Dokumentation — ein ISMS, dessen Nachweise beim Dienstleister bleiben, ist ein teurer Neuanfang.

Externer ISB: Kosten, Modelle und woran man ein tragfähiges Angebot erkennt

Q: Extern beauftragen oder intern besetzen?

Die ehrliche Rechnung stellt nicht Honorar gegen Gehalt. Intern kommen drei Posten hinzu: die Einarbeitungszeit bis zur Handlungsfähigkeit, die laufende Fortbildung, weil sich der Rechtsstand ändert, und die Vertretung bei Ausfall. Umgekehrt hat die interne Besetzung einen Vorteil, den kein Dienstleister ersetzt: Kenntnis der Organisation und ihrer informellen Wege. In der Praxis funktioniert deshalb häufig eine Kombination aus einer internen Person mit Teilzeitanteil und fachlicher Begleitung von außen.

Wer nach dem Preis für einen externen Informationssicherheitsbeauftragten sucht, findet Monatspauschalen — und dahinter sehr unterschiedliche Leistungen. Zwei Angebote mit derselben Zahl können bedeuten: acht Stunden im Monat mit Reaktionszeit von fünf Werktagen, oder eine benannte Person mit Bereitschaft im Vorfall.

Dieser Beitrag ordnet die gängigen Modelle ein, zeigt, welche Fragen den Preis tatsächlich bestimmen, und beschreibt, woran man ein Angebot erkennt, das im Ernstfall trägt.

Warum die Rolle überhaupt extern besetzt wird

Die Anforderung ist selten das Fachwissen allein, sondern die Unabhängigkeit. Wer die IT betreibt, kann sie nicht unbefangen prüfen. In kleineren Organisationen gibt es diese zweite Person schlicht nicht — die IT-Leitung ist zugleich Betreiber, Umsetzer und einzige Fachinstanz.

Dazu kommt die Verfügbarkeit auf dem Arbeitsmarkt: Eine interne Stelle zu besetzen dauert erfahrungsgemäß Monate, und die Aufgabe füllt in mittelständischen Unternehmen selten eine ganze Stelle aus.

Die drei Modelle am Markt

Stundenkontingent. Ein festes Volumen pro Monat oder Quartal, abrufbar nach Bedarf. Günstig im Einstieg und transparent. Die Schwäche zeigt sich im Vorfall: Ist das Kontingent aufgebraucht, beginnt die Diskussion über Nachträge — ausgerechnet in dem Moment, in dem niemand Zeit dafür hat.

Fester Leistungsumfang. Definierte Aufgaben zu einem festen Preis: Risikoanalyse fortschreiben, Richtlinien pflegen, internes Audit, Management-Review, Schulung, Berichterstattung an die Leitung. Planbar und vergleichbar. Entscheidend ist, dass die Liste vollständig ist — was nicht darin steht, wird nicht getan.

Mandat mit Bereitschaft. Fester Leistungsumfang plus zugesagte Reaktionszeit bei Sicherheitsvorfällen. Das teuerste Modell, und für Betreiber kritischer Anlagen oder Unternehmen mit engen Meldefristen häufig das einzig sinnvolle. Wer 24 Stunden Zeit für eine Erstmeldung hat, kann nicht fünf Werktage auf eine Rückmeldung warten.

Was den Preis wirklich bestimmt

Der Umfang der Organisation. Nicht die Mitarbeiterzahl, sondern die Zahl der Standorte, Rechtseinheiten und unterschiedlichen IT-Umgebungen. Ein Unternehmen mit Produktionsnetz, Cloud und Fernwartung erzeugt dreifachen Betrachtungsaufwand.

Der Ausgangszustand. Ein bestehendes ISMS zu betreuen ist etwas anderes, als eines aufzubauen. Beides kann „externer ISB" heißen — der Aufwand unterscheidet sich um ein Vielfaches. Angebote, die diesen Unterschied nicht machen, sind nicht vergleichbar.

Die regulatorische Lage. Eine wichtige Einrichtung nach NIS2 hat andere Nachweispflichten als ein Betreiber einer kritischen Anlage mit Nachweisführung nach § 39 BSIG alle drei Jahre. Kommt eine ISO-27001-Zertifizierung hinzu, steigt der Dokumentationsaufwand erneut.

Die Reaktionszeit. Der Posten, der am stärksten wirkt und am seltensten offen verhandelt wird. Bereitschaft außerhalb der Regelarbeitszeit kostet — sie ist aber der Unterschied zwischen einer eingehaltenen und einer versäumten Meldefrist.

Vor-Ort-Präsenz. Regelmäßige Termine im Haus erzeugen Reisezeit. Vieles lässt sich remote erledigen, Begehungen und Awareness-Termine sinnvollerweise nicht.

Woran man ein tragfähiges Angebot erkennt

Fünf Fragen trennen belastbare Angebote von Zahlen auf einem Blatt:

Wer ist die benannte Person? Die Rolle wird an einen Menschen delegiert, nicht an ein Unternehmen. Ein Angebot ohne Namen ist ein Angebot ohne Zusage. Fragen Sie zusätzlich nach der Vertretungsregelung — Urlaub und Krankheit gibt es auch hier.

Was passiert im Vorfall? Lassen Sie sich den Ablauf beschreiben: Wer ist wie erreichbar, in welcher Zeit, und wer erstellt die Meldung an das BSI. Wenn diese Frage vage beantwortet wird, ist sie nicht kalkuliert.

Was ist nicht enthalten? Die aufschlussreichere Frage. Technische Umsetzung, Penetrationstests, Zertifizierungsbegleitung und Schulungen sind häufig separat — was legitim ist, solange es ausgesprochen wird.

Wie wird berichtet? Die Leitung trägt die Verantwortung nach § 38 BSIG und muss dafür wissen, wo sie steht. Ein Bericht, der einmal im Jahr kommt und nur Erledigtes auflistet, erfüllt diesen Zweck nicht.

Wie endet das Mandat? Kündigungsfristen und vor allem: Was passiert mit der Dokumentation. Ein ISMS, dessen Nachweise beim Dienstleister liegen und beim Wechsel nicht vollständig übergeben werden, ist ein teurer Neuanfang.

Der Vergleich mit der internen Besetzung

Die ehrliche Rechnung stellt nicht Honorar gegen Gehalt, sondern berücksichtigt drei Punkte, die intern zusätzlich anfallen: die Einarbeitungszeit bis zur Handlungsfähigkeit, die laufende Fortbildung — der Rechtsstand ändert sich, das Wissen muss nachgezogen werden — und die Vertretung bei Ausfall.

Umgekehrt hat die interne Besetzung einen Vorteil, den kein Dienstleister vollständig ersetzt: Kenntnis der Organisation und ihrer informellen Wege. In der Praxis funktioniert deshalb häufig eine Kombination — eine interne Person mit Teilzeitanteil für die Verankerung im Haus, fachlich begleitet von außen.

Der häufigste Fehler

Nicht der zu hohe Preis, sondern der falsche Zuschnitt: ein Stundenkontingent für ein Unternehmen mit engen Meldefristen. Das fällt im Alltag nicht auf — es fällt genau einmal auf, und dann teuer.

Klären Sie deshalb zuerst, welche Fristen für Sie gelten und was im Vorfall tatsächlich passieren muss. Erst danach lohnt der Blick auf die Modelle. Was das für Ihre Konstellation bedeutet, lässt sich in einem Gespräch schneller klären als über einen Angebotsvergleich.