Informationssicherheitsbeauftragter
Definition
Der Informationssicherheitsbeauftragte (ISB) ist die interne Ansprechperson für alle operativen Fragen der Informationssicherheit und die zentrale Koordinationskraft des Informationssicherheits-Managementsystems. Im Unterschied zum strategisch agierenden CISO konzentriert sich der ISB auf die tägliche Koordination von Sicherheitsmaßnahmen, die Erstbearbeitung von Sicherheitsvorfällen, die Pflege der Sicherheitsdokumentation und die Durchführung sowie Koordination von Mitarbeiterschulungen. In vielen mittelständischen Unternehmen werden ISB und CISO in Personalunion von einer qualifizierten Fachkraft geführt. Der ISB ist zugleich erster Ansprechpartner für das BSI und koordiniert alle behördlichen Anfragen und Meldungen.
Rechtsgrundlage
Die Funktion des ISB ist in ISO 27001 (Abschnitt 5.3) als Rollenpflicht definiert und wird vom BSI im IT-Grundschutz-Kompendium als essenziell für ein funktionierendes Informationssicherheitsmanagement eingestuft. Im NIS2UmsuCG findet sich keine direkte Erwähnung des ISB, jedoch ergibt sich aus § 30 Abs. 1 BSIG die klare Notwendigkeit, verantwortliche Personen für Sicherheitsmaßnahmen zu benennen und in der Organisation zu verankern. Bei der BSI-Registrierung gemäß § 33 BSIG müssen betroffene Einrichtungen einen qualifizierten Sicherheitsansprechpartner mit vollständigen Kontaktdaten angeben. Änderungen der ISB-Funktion, etwa durch Personalwechsel, müssen dem BSI unverzüglich gemeldet und im Meldeportal aktualisiert werden.
Praktische Implikation
Die Benennung eines ISB sollte frühzeitig erfolgen, da diese Person die BSI-Registrierung koordiniert, bei Vorfällen als erste Eskalationsstufe agiert und alle Nachweisdokumente pflegt. Für kleinere Unternehmen bietet sich eine Teilzeitzuweisung einer IT-affinen Fachkraft an, unterstützt durch externe Schulungen wie CISM oder die BSI-ISB-Zertifizierung. Die funktionale Unabhängigkeit des ISB von der IT-Linie ist empfehlenswert, um Interessenkonflikte bei der objektiven Bewertung von Sicherheitsrisiken zu vermeiden. Klare schriftliche Stellenbeschreibungen und Vertretungsregelungen für Abwesenheitszeiten sind unerlässlich. Die Position des ISB sollte im Organigramm verankert, in der BSI-Registrierung hinterlegt und bei Personalwechseln unverzüglich aktualisiert werden.
Verwandte Begriffe
Verwandte Inhalte
Fachbegriffe geklärt — und jetzt?
Wir helfen Ihnen, NIS2-Anforderungen in konkrete Maßnahmen umzusetzen.
Beratung anfragen