Externer Informationssicherheitsbeauftragter oder eigene Stelle?

Ein externer Informationssicherheitsbeauftragter ist für viele Mittelständler die pragmatischere Lösung als eine interne Vollzeitstelle. Denn die Pflicht, einen ISB zu benennen, ergibt sich aus ISO 27001:2022 (Abschnitt 5.3), aus der NIS-2-Richtlinie (Art. 21 Abs. 2) und aus branchenspezifischen Standards wie TISAX oder DORA. Die Frage ist nicht ob, sondern wer diese Rolle im Unternehmen ausfüllt.

Was ein Informationssicherheitsbeauftragter leisten muss

Das Aufgabenprofil eines ISB ist regulatorisch definiert und operativ anspruchsvoll. ISO 27001:2022 fordert in Abschnitt 5.3, dass die oberste Leitung Rollen und Verantwortlichkeiten für die Informationssicherheit zuweist. Konkret heißt das: Eine benannte Person muss sicherstellen, dass das ISMS den Anforderungen der Norm entspricht, und darüber regelmäßig an die Geschäftsführung berichten.

Die NIS-2-Richtlinie (EU 2022/2555, Art. 21 Abs. 2) verschärft diese Anforderung. Betroffene Unternehmen müssen technische, operative und organisatorische Maßnahmen zur Cybersicherheit umsetzen. Wer das verantworten soll, muss benannt sein. Für den Finanzsektor legt DORA (Kapitel II) zusätzlich fest, dass ein ICT Risk Manager mit klar definierten Befugnissen bestellt wird. TISAX verlangt einen ISB als Pflichtrolle bereits ab Prüfstufe AL 2.

Operativ umfasst die Rolle weit mehr als Dokumentenpflege. Risikoanalysen nach ISO 27005, interne Audits nach ISO 19011, Awareness-Programme, Vorfallmanagement, Lieferantenbewertung, Management-Reporting: Das ist ein Vollzeitjob. Oder zumindest ein halber. Und genau hier beginnt das Problem im Mittelstand.

Interner ISB: Vorteile, Grenzen und ein häufiger Interessenkonflikt

Die Argumente für eine interne Besetzung liegen auf der Hand. Ein interner ISB kennt die Unternehmenskultur, die informellen Entscheidungswege, die technische Infrastruktur aus dem Tagesgeschäft. Bei Sicherheitsvorfällen ist er sofort erreichbar, die Kommunikationswege sind kurz.

Allerdings stoßen viele Unternehmen zwischen 100 und 500 Mitarbeitenden an eine praktische Grenze: Es gibt schlicht keine Stelle, die ausschließlich für Informationssicherheit vorgesehen ist. In der Praxis übernimmt häufig der IT-Leiter die ISB-Rolle zusätzlich zu seinen bestehenden Aufgaben. Das erzeugt einen Interessenkonflikt, den Auditoren kennen und beanstanden. Wer IT-Systeme betreibt und gleichzeitig deren Sicherheit bewerten soll, kontrolliert sich selbst. ISO 27001 fordert in Abschnitt 5.3 ausdrücklich die Unabhängigkeit der Sicherheitsrolle von der operativen IT.

Dazu kommt die Qualifikationsfrage. Ein ISB braucht aktuelles Wissen zu Normen, Regulatorik und Bedrohungslagen. Fortbildungen, Konferenzbesuche, Fachlektüre: Das kostet Zeit, die im operativen IT-Betrieb fehlt. Wer den ISB nebenher macht, macht ihn durchaus oft nur auf dem Papier.

Und dann gibt es Übergangssituationen. Stellenwechsel, Elternzeit, Umstrukturierungen: Sobald die Person wegfällt, steht das ISMS still. Interne Audits werden verschoben, Risikobewertungen veralten, Maßnahmen bleiben ohne Nachverfolgung. Der nächste Auditor stellt das fest.

Externer Informationssicherheitsbeauftragter: Wann sich Outsourcing rechnet

Ein externer Informationssicherheitsbeauftragter löst mehrere dieser Probleme gleichzeitig. Das Modell ist freilich kein Allheilmittel, aber es hat spezifische Stärken, die gerade im Mittelstand zum Tragen kommen.

Fünf Kriterien für die richtige Entscheidung

Die Frage „intern oder extern?" lässt sich nicht pauschal beantworten. Fünf Faktoren bestimmen, welches Modell für Ihr Unternehmen passt.

1. Unternehmensgröße und Organisationsstruktur. Ab etwa 500 Mitarbeitenden mit mehreren Standorten und einer gewachsenen IT-Landschaft kann eine interne Vollzeitstelle sinnvoll sein. Darunter übersteigt der Aufwand für Rekrutierung, Einarbeitung und laufende Qualifikation oft den Nutzen. Für Unternehmen zwischen 100 und 500 Mitarbeitenden ist das externe Modell in den meisten Fällen die wirtschaftlichere Lösung.
2. Regulatorischer Druck. NIS-2 betrifft über 30.000 Unternehmen in Deutschland. Das NIS2UmsuCG sieht in Paragraph 38 eine persönliche Haftung der Geschäftsführung vor, wenn Cybersicherheitsmaßnahmen nicht umgesetzt werden. Wer unter NIS-2 fällt, braucht einen nachweislich qualifizierten ISB. Ob intern oder extern, ist regulatorisch gleichgültig. Dass er existiert und arbeitet, ist entscheidend.
3. Branchenanforderungen. Automotive-Zulieferer benötigen TISAX (VDA ISA, Prüfstufe AL 2 oder AL 3). Finanzunternehmen unterliegen DORA (Kapitel II). Gesundheitswesen und Energie fallen unter KRITIS. Jede Branche hat eigene Anforderungen an die ISB-Rolle. Ein externer Informationssicherheitsbeauftragter mit Branchenexpertise deckt diese ab, ohne dass das Unternehmen selbst das Spezialwissen vorhalten muss.
4. Reifegrad des bestehenden ISMS. Unternehmen, die noch kein ISMS aufgebaut haben, profitieren besonders vom externen Modell. Der Aufbau erfordert Methodenwissen, das sich nicht nebenbei aneignen lässt. Ist das ISMS bereits zertifiziert und eingespielt, kann eine interne Übernahme der ISB-Rolle gewiss sinnvoll sein, sofern die Unabhängigkeit gewährleistet ist.
5. Budget und Ressourcen. Eine ehrliche Kalkulation hilft. Die Frage ist nicht nur: Was kostet der externe ISB? Sondern: Was kostet es, keinen qualifizierten ISB zu haben? Die Haftungsrisiken nach Paragraph 38 NIS2UmsuCG, die Verzögerung einer Zertifizierung, der Reputationsschaden nach einem Vorfall: Diese Kosten übersteigen das Honorar eines externen Dienstleisters um ein Vielfaches.

Make or Buy: Die Kernfrage richtig stellen

Die Entscheidung zwischen internem und externem ISB ist keine Glaubensfrage. Sie ist eine betriebswirtschaftliche Abwägung mit regulatorischen Leitplanken.

Für Unternehmen unter 500 Mitarbeitenden ohne eigene Sicherheitsabteilung ist der externe Informationssicherheitsbeauftragte in der Regel das passendere Modell. Er bringt Unabhängigkeit, Fachwissen und sofortige Einsatzbereitschaft mit. Er kostet weniger als eine Vollzeitstelle und mehr als eine Doppelrolle, die nicht funktioniert.

Die Geschäftsführung haftet persönlich (Paragraph 38 NIS2UmsuCG). Diese Haftung lässt sich nicht delegieren, wohl aber das operative Sicherheitsmanagement. Wer einen qualifizierten ISB bestellt, der tatsächlich arbeitet, reduziert das eigene Risiko. Wer die Rolle unbesetzt lässt oder zum Nebenjob erklärt, erhöht es.

Sie wollen wissen, welches Modell für Ihre Organisation passt? Vereinbaren Sie ein kostenfreies Erstgespräch und lassen Sie uns die Optionen gemeinsam durchgehen.

---

Weiterführend