ISB, CISO, Security Officer, DSB — wer macht eigentlich was?

In Stellenausschreibungen, Angeboten und Projektplänen werden vier Bezeichnungen weitgehend synonym verwendet: Informationssicherheitsbeauftragter, CISO, Security Officer und Datenschutzbeauftragter. Sie meinen unterschiedliche Dinge — und die Verwechslung führt regelmäßig zu zwei konkreten Fehlern: Eine Rolle wird doppelt besetzt, oder eine gesetzlich geforderte Funktion fehlt, weil man sie in einer anderen vermutet.

Diese Abgrenzung ordnet die vier Rollen nach dem, worauf es praktisch ankommt: Wofür sie zuständig sind, woher ihre Verpflichtung stammt und ob sie sich in einer Person vereinen lassen.

Der entscheidende Unterschied: Schutzgut

Die sauberste Trennung verläuft nicht zwischen Titeln, sondern zwischen dem, was geschützt wird.

Der Datenschutzbeauftragte schützt die Rechte betroffener Personen. Sein Maßstab ist die DSGVO, sein Bezugspunkt sind personenbezogene Daten — unabhängig davon, ob deren Verlust dem Unternehmen schadet.

Die Sicherheitsrollen schützen die Werte der Organisation: Verfügbarkeit, Integrität und Vertraulichkeit von Informationen und Systemen. Personenbezogene Daten sind darunter ein Fall von vielen.

Diese Blickrichtungen überschneiden sich, sind aber nicht deckungsgleich. Ein Ausfall der Produktionssteuerung ist ein massives Sicherheitsproblem und datenschutzrechtlich unauffällig. Eine E-Mail an den falschen Verteiler ist umgekehrt eine meldepflichtige Datenschutzverletzung, ohne dass ein System kompromittiert wurde.

Datenschutzbeauftragter (DSB)

Grundlage: Art. 37 ff. DSGVO, ergänzt durch § 38 BDSG. Die Benennung ist unter bestimmten Voraussetzungen verpflichtend — insbesondere, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung befasst sind.

Aufgabe: Unterrichten, beraten, überwachen. Der DSB setzt Datenschutz nicht um — er prüft, ob er umgesetzt ist, und berichtet an die höchste Leitungsebene.

Die Besonderheit: Die DSGVO schreibt ausdrücklich Weisungsfreiheit in der Ausübung dieser Aufgabe und einen besonderen Abberufungsschutz vor. Daraus folgt ein Interessenkonflikt, den die Aufsichtsbehörden regelmäßig beanstanden: Wer über Zwecke und Mittel der Verarbeitung entscheidet, darf sich nicht selbst kontrollieren. IT-Leitung und DSB in einer Person ist deshalb in aller Regel unzulässig.

Informationssicherheitsbeauftragter (ISB)

Grundlage: Keine allgemeine gesetzliche Benennungspflicht unter diesem Titel. Die Anforderung kommt indirekt — aus § 30 BSIG, der geeignete Konzepte und Verantwortlichkeiten verlangt, aus ISO/IEC 27001, die Rollen und Verantwortlichkeiten fordert, und aus dem BSI IT-Grundschutz, der die Rolle explizit vorsieht.

Aufgabe: Das Informationssicherheitsmanagementsystem steuern. Risiken erheben und bewerten, Maßnahmen ableiten, Richtlinien pflegen, interne Audits veranlassen, Wirksamkeit nachhalten und an die Leitung berichten.

Die Besonderheit: Der ISB ist die operative Steuerungsrolle. Er entscheidet nicht über das Restrisiko — das tut die Leitung. Er sorgt dafür, dass die Leitung weiß, worüber sie entscheidet. Auch hier gilt die Trennung von Betrieb und Kontrolle: Wer die Systeme administriert, sollte ihre Absicherung nicht selbst bewerten.

CISO

Grundlage: Kein Rechtsbegriff, sondern eine Organisationsbezeichnung.

Aufgabe: In der Praxis die strategische Führungsebene der Informationssicherheit — Budget, Personal, Sicherheitsstrategie, Berichtslinie in die Geschäftsführung oder den Vorstand. In größeren Organisationen ist der ISB dem CISO nachgeordnet oder ihm zugeordnet.

Die Besonderheit: Im deutschen Mittelstand fallen CISO und ISB fast immer zusammen, und die Wahl des Titels ist eine Frage der Außenwirkung. Wichtig ist nur: Wer die Bezeichnung CISO führt, sollte auch die Mittel haben, die sie suggeriert. Ein CISO ohne Budget und ohne direkten Zugang zur Leitung ist ein ISB mit größerem Briefkopf.

Security Officer

Grundlage: Ebenfalls kein Rechtsbegriff. Der Titel stammt aus dem angelsächsischen Sprachraum und wird zusätzlich von Zertifizierungsstellen als Qualifikationsbezeichnung vergeben — etwa als „ISMS Security Officer" nach ISO/IEC 27001.

Aufgabe: Je nach Haus operativ sehr unterschiedlich. Häufig die Person, die Sicherheitsmaßnahmen umsetzt und überwacht, ohne die Gesamtsteuerung zu verantworten.

Die Besonderheit: Hier ist Nachfragen zwingend. „Security Officer" kann eine Personenzertifizierung meinen, eine Stellenbezeichnung im Betrieb oder eine Steuerungsrolle. Ohne Klärung reden zwei Seiten aneinander vorbei.

Was sich kombinieren lässt — und was nicht

| Kombination | Bewertung | |---|---| | ISB + CISO | Im Mittelstand der Regelfall, unproblematisch | | ISB + Security Officer | Unproblematisch, häufig dieselbe Person | | ISB + DSB | Möglich, aber begründungsbedürftig — bei kleiner Organisation vertretbar, ab einer gewissen Größe kritisch | | IT-Leitung + DSB | In aller Regel unzulässig — klassischer Interessenkonflikt | | IT-Leitung + ISB | Nicht empfehlenswert — wer betreibt, prüft sich sonst selbst |

Die Kombination von ISB und DSB verdient eine eigene Betrachtung. Sie ist nicht verboten, und in kleinen Organisationen oft die einzige praktikable Lösung. Kritisch wird sie, wenn der ISB Maßnahmen mitentscheidet, die der DSB anschließend datenschutzrechtlich bewerten soll. Wer beides zusammenlegt, sollte die Abwägung schriftlich festhalten — genau danach fragt eine Aufsichtsbehörde.

Was NIS2 daran ändert

Das BSIG benennt keine dieser Rollen namentlich. Es verlagert die Verantwortung ausdrücklich nach oben: § 38 BSIG verpflichtet die Leitungsorgane, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und sich regelmäßig zu schulen. Diese Pflicht ist nicht delegierbar.

Für die Rollenverteilung heißt das: Ein ISB kann die Arbeit machen, die Verantwortung bleibt bei der Geschäftsführung. Wer einen ISB benennt und die Sache damit für erledigt hält, hat § 38 nicht gelesen. Umgekehrt kann die Leitung ihre Überwachungspflicht nur erfüllen, wenn jemand ihr regelmäßig und verständlich berichtet — das ist der eigentliche Grund, warum die Rolle gebraucht wird.

Die praktische Reihenfolge

1. Prüfen Sie zuerst die Pflichtrolle. Ist ein DSB nach Art. 37 DSGVO zu benennen? Diese Frage hat eine eindeutige Antwort und ist unabhängig von allem anderen.
2. Klären Sie die Sicherheitssteuerung. Wer erhebt Risiken, wer pflegt Nachweise, wer berichtet an die Leitung? Der Titel ist zweitrangig, die Zuständigkeit nicht.
3. Prüfen Sie die Unabhängigkeit. Kann die vorgesehene Person das prüfen, was sie selbst verantwortet? Wenn ja, brauchen Sie eine zweite Person — intern, interkommunal geteilt oder extern.
4. Halten Sie die Entscheidung schriftlich fest, einschließlich der Begründung bei Doppelbesetzungen.

Der häufigste Fehler ist nicht die falsche Wahl zwischen den Titeln. Es ist die stillschweigende Annahme, jemand sei bereits zuständig — bis im Vorfall auffällt, dass niemand es war.