Externer ISB & vCISO
Den Informationssicherheitsbeauftragten dauerhaft besetzen, ohne eine Stelle zu schaffen — mit Fachtiefe, Unabhängigkeit von der IT und einer Vertretung, die auch im Urlaub trägt.
Was ein externes Mandat leistet
Verantwortung, die benannt, unabhängig und nachweisbar ist
Warum die Rolle intern selten funktioniert
Im Mittelstand wird die Verantwortung für Informationssicherheit meist nebenbei vergeben — an die IT-Leitung, die damit ihre eigene Arbeit bewerten soll, oder an jemanden ohne die nötige regulatorische Tiefe. Beides fällt spätestens im Audit auf, und beides entlastet die Geschäftsleitung nicht.
Hinzu kommt die Kontinuität. Informationssicherheit lebt von Wiederholung: Risiken fortschreiben, Maßnahmen nachhalten, Nachweise aktuell halten, Schulungen durchführen. Genau diese Routinearbeit bleibt liegen, wenn sie neben dem Tagesgeschäft läuft — und ein halbes Jahr später sind Nachweise abgelaufen, Verantwortliche gewechselt und zwei Rechtsänderungen nicht nachgezogen.
Ein externes Mandat löst beides: die fehlende Unabhängigkeit und den fehlenden Takt. Sie bekommen eine benannte Rolle mit definierter Erreichbarkeit, ohne eine Vollzeitstelle schaffen zu müssen, für die im Mittelstand oft weder Budget noch Auslastung da ist.
Was wir im Mandat übernehmen
Der Umfang wird schriftlich festgelegt — Sie wissen, was enthalten ist und was nicht.
ISMS-Betrieb
Pflege von Richtlinien, Scope, Rollen und Regelabläufen — das Managementsystem bleibt lebendig statt abgelegt.
Risikomanagement
Fortschreibung von Methodik und Risikoregister, Bewertung neuer Vorhaben, Nachhalten der Risikobehandlung.
Maßnahmensteuerung
Offene Maßnahmen und Feststellungen werden nachgehalten und eskaliert, statt in Protokollen zu versanden.
Vorfallunterstützung
Begleitung bei Sicherheitsvorfällen, Bewertung der Meldepflicht und Unterstützung bei der Kommunikation.
Lieferantensteuerung
Bewertung und Review von Dienstleistern und Cloud-Diensten entlang ihrer Kritikalität.
Awareness
Planung und Durchführung der Schulungen — rollenspezifisch und mit belastbarer Teilnahmedokumentation.
Audits & Reviews
Interne Audits, Management-Review und Vorbereitung externer Prüfungen.
Reporting
Regelmäßige Berichte an die Geschäftsleitung mit Kennzahlen, Risikolage und Entscheidungsbedarf.
Was wir liefern
- Formale Bestellung mit dokumentierter Rollen- und Aufgabenbeschreibung
- Definierte Erreichbarkeit und benannte Vertretung
- Gepflegtes Risikoregister mit nachvollziehbarer Bewertungslogik
- Laufend aktualisiertes Maßnahmen- und Findings-Register
- Evidenzregister mit Zuständigkeit und Gültigkeit je Nachweis
- Regelmäßiges Management-Reporting mit Kennzahlen
- Jährlicher Auditplan, Management-Review und Schulungsnachweise
- Dokumentierte Erfüllung der Leitungspflichten nach § 38 BSIG
So arbeiten wir
Übernahme
Bestandsaufnahme des vorhandenen Managementsystems, formale Bestellung, Abgrenzung der Verantwortung und Festlegung der Berichtslinie.
Standortbestimmung
Prüfung von Richtlinien, Nachweisen, Systemen und Risiken. Ergebnis ist eine priorisierte Liste dessen, was zuerst Aufmerksamkeit braucht.
Regelbetrieb
Feste Termine für Maßnahmen- und Risikoverfolgung, Bearbeitung laufender Anfragen, Pflege des Managementsystems.
Berichterstattung
Wiederkehrendes Reporting an die Geschäftsleitung — als Steuerungsinstrument und zugleich als Nachweis der Überwachungspflicht.
Jahreszyklus
Interne Audits, Management-Review, Schulungen, Übungen, Lieferantenreviews und die Fortschreibung der Risikobewertung.
Häufige Fragen
Was ist der Unterschied zwischen ISB und vCISO?
Der Informationssicherheitsbeauftragte verantwortet den operativen Betrieb: Managementsystem, Risikomanagement, Audits und Schulungen. Der vCISO übernimmt zusätzlich die strategische Steuerung — Roadmap, Berichterstattung auf Leitungsebene, Budgetempfehlung und Krisenmanagement. Welche Ausprägung passt, klären wir am tatsächlichen Bedarf, nicht am Titel.
Verlangt NIS2 einen benannten Informationssicherheitsbeauftragten?
Das BSIG schreibt keine bestimmte Rollenbezeichnung vor. Es verlangt aber, dass die Risikomanagement-Maßnahmen umgesetzt, überwacht und nachgewiesen werden — und dass die Geschäftsleitung dies billigt und überwacht. In der Praxis braucht das eine benannte, fachlich geeignete Verantwortung. ISO 27001 setzt sie ohnehin voraus.
Kann unsere IT-Leitung die Rolle nicht selbst übernehmen?
Möglich ist es, sinnvoll selten. Der ISB bewertet unter anderem Maßnahmen, welche die IT verantwortet — die Rolle würde also sich selbst prüfen. Spätestens im Audit fällt diese fehlende Funktionstrennung auf, und die Geschäftsleitung ist damit nicht entlastet.
Wie viel Präsenz vor Ort ist nötig?
Der Regelbetrieb läuft weitgehend remote, das spart Reisekosten und Zeit. Vor Ort sind wir für Erhebungen, Audits, Übungen, Schulungen und in Krisensituationen. Den Umfang legen wir im Mandat fest, statt ihn offen zu lassen.
Was kostet ein ISB-Mandat?
Das hängt von Größe, Reifegrad und Umfang ab. Wir arbeiten mit einem festen monatlichen Leistungsumfang statt offener Aufwandsabrechnung, damit die Investition planbar bleibt. Den Zuschnitt klären wir im Erstgespräch.
Was passiert, wenn wir das Mandat beenden?
Alle Artefakte gehören Ihnen: Richtlinien, Register, Nachweise und Reports liegen in Ihrer Umgebung, nicht bei uns. Zum Abschluss übergeben wir strukturiert an die Nachfolge — intern oder extern.
Lesetipp: Wie sich die Verantwortung der Geschäftsleitung nach § 38 BSIG konkret darstellt, erklärt unser Beitrag Geschäftsleiterhaftung unter NIS2. Welche Nachweise die Rolle im Alltag führen muss, zeigt die ÜbersichtNIS2 für ISB und Compliance.
Qualifikation für diese Rolle
Security OfficerISO/IEC 27001:2022
NIS2 ExpertISO/IEC 27001:2022
ISMS ProfessionalISO/IEC 27001:2022
Personenzertifikate, ausgestellt durch ICO-Cert.
Die Rolle besetzen — ohne Stellenausschreibung
Schildern Sie uns Ihre Ausgangslage. Wir sagen Ihnen, welcher Zuschnitt passt und was er umfasst.
Mandat anfragen