Erstgespräch
Erstgespräch buchen
Leistungen
Übersicht Audit Begleitung as a Service GAP-Analyse Implementierung Awareness & Schulungen
ISMS
Übersicht Externer ISB CISIS12 BSI IT-Grundschutz ISO 27001 Regulatorik Cyber Resilience Act DORA NIS-2 NIS-2 Betroffenheit NIS-2 Registrierung B3S KRITIS TISAX®
AIMS
Übersicht Externer KI-Beauftragter EU AI Act ISO 42001 ISO 42005
BCMS
Übersicht Externer BCM-Beauftragter BSI 200-4 ISO 22301 ITSCM Notfallmanagement
RMS
Übersicht Externer Risikomanager BSI 200-3 ISO 27005 MaRisk
Solutions
Übersicht Partner Patchmanagement Schwachstellenmanagement SIEM SOC
Wissen
Übersicht Insights KI-Security Briefing
Über uns
Übersicht Presse
+49 40-298 4553-0 [email protected]
Startseite› Glossar› Informationssicherheitsbeauftragter (ISB)
Glossar — ISMS / ISO 27001 / Rolle

Informationssicherheitsbeauftragter (ISB)

Englisch: Information Security Officer (ISO) / Chief Information Security Officer (CISO)

Zuletzt aktualisiert: Mai 2026
Lesedauer: ca. 5 Minuten

Informationssicherheitsbeauftragter (ISB), englisch Information Security Officer (ISO) oder Chief Information Security Officer (CISO), ist die zentrale operative Rolle für die Steuerung des Informationssicherheits-Managementsystems (ISMS) einer Organisation. ISO/IEC 27001:2022 Clause 5.3 verpflichtet das Top-Management, Verantwortlichkeiten und Befugnisse für das ISMS zuzuweisen und zu kommunizieren. BSI-Standard 200-1 Kapitel 4.3 konkretisiert: Der ISB steuert und koordiniert den Sicherheitsprozess, unterstützt die Leitung bei der Erstellung der Sicherheitsleitlinie, entwickelt Sicherheitskonzepte und Umsetzungspläne, bearbeitet Sicherheitsvorfälle und verantwortet Awareness-Maßnahmen.

Normative Grundlage: ISO/IEC 27001:2022 Clause 5.3; BSI-Standard 200-1 Kapitel 4.3

Hintergrund und normative Einordnung

Der Informationssicherheitsbeauftragte ist eine Rolle, deren normative Grundlage im deutschsprachigen Raum auf zwei miteinander verknüpften Pfeilern ruht: der internationalen Norm ISO/IEC 27001 und der BSI-Grundschutz-Methodik. ISO/IEC 27001:2022 Clause 5.3 verlangt, dass das Top-Management Verantwortlichkeiten und Befugnisse für Rollen, die für die Informationssicherheit relevant sind, zuweist, kommuniziert und sicherstellt, insbesondere die Verantwortung dafür, dass das ISMS den Normforderungen entspricht, und die Berichterstattung über die ISMS-Performance an das Top-Management. Der BSI-Standard 200-1 Kapitel 4.3 konkretisiert diese generischen Normforderungen zur eigenständigen Rolle des Informationssicherheitsbeauftragten mit ausformuliertem Aufgabenkatalog, Anforderungen an Qualifikation, Unabhängigkeit und Berichtslinie sowie einer Schnittstellen-Beschreibung zu Leitung, IT-Abteilung und Datenschutzbeauftragtem. ISO/IEC 27002:2022 Clause 5.2 (Information security roles and responsibilities) liefert Implementierungshinweise: Rollen müssen definiert, Aufgaben und Verantwortlichkeiten dokumentiert und die erforderliche Autorität sichergestellt sein. Das BSI IT-Grundschutz-Kompendium, Baustein ISMS.1 Sicherheitsmanagement, übersetzt diese Anforderungen in prüfbare Anforderungen (Basis-, Standard- und erhöhter Schutzbedarf) und benennt den ISB explizit als verantwortliche Rolle für die Erfüllung dieser Anforderungen.

In der deutschen Compliance-Landschaft hat die Funktion des ISB durch NIS-2 und das BSIG 2025 eine neue regulatorische Dimension erhalten. Die NIS-2-Richtlinie (EU) 2022/2555 Art. 20 verpflichtet Mitgliedstaaten sicherzustellen, dass Leitungsorgane wesentlicher und wichtiger Einrichtungen die Cybersicherheits-Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und bei Verstößen haftbar gemacht werden können. Das NIS-2-Umsetzungsgesetz (BSIG 2025) konkretisiert dies in § 38 als dreifache Pflicht der Geschäftsleitung: Umsetzung, Überwachung und Schulung (mindestens alle drei Jahre). Die Letztverantwortung verbleibt nicht delegierbar bei der Geschäftsleitung; die operative Umsetzung wird typischerweise an den ISB delegiert. Organisationen, die diese Pflichten mit einer unabhängigen und sofort verfügbaren ISB-Funktion erfüllen möchten, können auf den SECURAM Externen ISB & Interim CISO (ISBaaS) zurückgreifen. Branchenspezifisch gehen BAIT (Bankaufsichtliche Anforderungen an die IT), VAIT (Versicherungsaufsicht) und KAIT (Kapitalverwaltungsgesellschaften) noch weiter: Sie benennen einen IT-Sicherheitsbeauftragten explizit als Pflichtrolle und schreiben Mindestanforderungen an dessen Aufgaben, Befugnisse und Berichtswege vor.

Normative Bezüge:

ISO/IEC 27001:2022 Clause 5.1 (Leadership and commitment — Top-Management-Verantwortung) ISO/IEC 27001:2022 Clause 5.3 (Organizational roles, responsibilities and authorities — Zuweisung und Kommunikation von ISMS-Verantwortlichkeiten) BSI-Standard 200-1 Kapitel 4.3 (Aufgaben und Verantwortung des Informationssicherheitsbeauftragten)

Vorgehen in der Praxis

Die Einrichtung der ISB-Funktion folgt einem vierstufigen Vorgehen, das sich aus den Anforderungen von ISO/IEC 27001:2022 Clause 5.3, BSI-Standard 200-1 Kapitel 4.3 und dem BSI IT-Grundschutz-Baustein ISMS.1 ableitet. Ausgangspunkt ist immer die schriftliche Fixierung des Aufgabenkatalogs. Ohne dokumentierte Beauftragung fehlt die Grundlage für jede Prüfung durch interne und externe Auditoren.

1
Rolle definieren und Aufgabenkatalog erstellen Im ersten Schritt wird die ISB-Funktion in der Sicherheitsorganisation formal beschrieben: Welche Aufgaben umfasst die Rolle? ISO/IEC 27001:2022 Clause 5.3 fordert, dass Verantwortlichkeiten und Befugnisse zugewiesen und kommuniziert werden, mindestens für die Sicherstellung der ISMS-Konformität und die Berichterstattung an das Top-Management. BSI-Standard 200-1 Kapitel 4.3 konkretisiert den Aufgabenkatalog: Sicherheitsprozess steuern und koordinieren; Sicherheitsleitlinie entwickeln und pflegen; Sicherheitskonzepte und Umsetzungspläne erstellen; Sicherheitsvorfälle koordinieren; Berichte an die Leitung erstellen; Awareness-Maßnahmen organisieren; Schnittstelle zu Aufsichtsbehörden wahrnehmen. Der Aufgabenkatalog wird schriftlich fixiert und ist Bestandteil der Bestellungsurkunde.
2
Person auswählen und formal bestellen Die Auswahl der Person orientiert sich an den Qualifikationsanforderungen aus ISO/IEC 27001:2022 Clause 7.2 (Competence) und BSI-Standard 200-1: Fachkenntnisse in Informationssicherheit und IT-Grundlagen, Methoden- und Prozesskompetenz, Kenntnisse der relevanten Normen und regulatorischen Anforderungen sowie Kommunikations- und Moderationsfähigkeit. Optional sind Zertifikate wie ISO 27001 Lead Implementer/Auditor, BSI Grundschutz-Praktiker, CISM (Certified Information Security Manager) oder CISSP anerkannt. Die formale Bestellung erfolgt schriftlich durch die Organisationsleitung, bei internen ISB als Änderung der Stellenbeschreibung, bei externen ISB als Dienstleistungsvertrag mit definiertem Aufgabenumfang, Zeitkontingent und SLA. Eine Vertretungsregelung für Abwesenheiten ist zwingend mitzuregeln.
3
Befugnisse, Berichtslinie und Ressourcen verankern Der ISB kann seine Funktion nur wirksam ausfüllen, wenn er die notwendigen Befugnisse hat, direkt an die Organisationsleitung berichtet und über ausreichende Ressourcen verfügt. BSI-Standard 200-1 Kapitel 4.3 und die BSI IT-Grundschutz-Lerneinheit 2.4 sind eindeutig: Der ISB sollte der obersten Leitung direkt zugeordnet sein. Eine Eingliederung in die IT-Abteilung kann zu Rollenkonflikten führen, da der ISB dann die Maßnahmen derselben Einheit prüft, der er angehört. Befugnisse umfassen mindestens das Recht, bei sicherheitsrelevanten Projekten und Beschaffungen konsultiert zu werden, Zugang zu allen sicherheitsrelevanten Informationen zu erhalten und Berichte direkt an die Leitung zu erstatten. Das Zeitkontingent für die ISB-Tätigkeit ist zu quantifizieren. Bei nach ISO 27001 zertifizierungspflichtigen Organisationen ist eine Vollzeit- oder substantielle Teilzeittätigkeit die Regel.
4
Operativen Betrieb aufnehmen und Weiterbildung sichern Mit der formalen Bestellung beginnt die operative ISB-Tätigkeit: Bestandsaufnahme der vorhandenen Sicherheitsmaßnahmen, Erstellung oder Aktualisierung der Sicherheitsleitlinie, Planung des ersten ISMS-Zyklus (Schutzbedarfsfeststellung, Risikoanalyse, Maßnahmenplanung, internes Audit, Management-Review nach ISO/IEC 27001:2022 Clause 9.3). ISO/IEC 27001:2022 Clause 7.2 verlangt, dass die Kompetenz der für das ISMS verantwortlichen Personen sichergestellt und bei Bedarf entwickelt wird. Der ISB muss die Möglichkeit haben, sich regelmäßig fortzubilden. Normative und regulatorische Änderungen (neue Normversionen, NIS-2-Konkretisierungen, branchenspezifische Vorgaben) sind laufend zu verfolgen. BSIG § 38 schreibt für Geschäftsleitungen von wesentlichen und wichtigen Einrichtungen explizit Schulungen vor. Operativ bedeutet dies, dass der ISB auch die Leitung in Awareness-Maßnahmen einbinden muss.

Die häufigste Ursache für das Scheitern von ISB-Funktionen ist nicht mangelndes Fachwissen, sondern fehlende organisatorische Verankerung: Ein ISB ohne direkte Berichtslinie zur Leitung, ohne definierte Befugnisse und ohne ausreichendes Zeitkontingent ist strukturell nicht in der Lage, sein Mandat zu erfüllen, unabhängig von seiner fachlichen Qualifikation.

Abgrenzung zu verwandten Begriffen

Begriff Fokus Verhältnis zu Informationssicherheitsbeauftragter (ISB)
Chief Information Security Officer (CISO) Strategische Informationssicherheits-Führungsrolle, typischerweise auf C-Level in Konzernstrukturen CISO und ISB beschreiben in der DACH-Praxis häufig dieselbe Person mit unterschiedlicher Bezeichnung. Der Unterschied liegt in der organisatorischen Ebene und dem Aufgabenzuschnitt: Der CISO agiert typischerweise auf C-Level in internationalen Konzernen, mit echter Entscheidungsbefugnis und Budget-Verantwortung, und verantwortet die strategische Ausrichtung der Informationssicherheit gegenüber Vorstand und Aufsichtsrat. Der ISB ist in der BSI-Terminologie die operative Umsetzungsrolle. Er steuert den Sicherheitsprozess, koordiniert Maßnahmen und berichtet an die Leitung. Im deutschen Mittelstand (100–5.000 Mitarbeiter) sind CISO und ISB funktional identisch; die Bezeichnung CISO ist nicht gesetzlich definiert, ISB hingegen ist der im BSIG, BSI-Standard 200-1 und IT-Grundschutz-Kompendium (ISMS.1) verwendete Normalbegriff.
Datenschutzbeauftragter (DSB) Rechtskonformität der Verarbeitung personenbezogener Daten nach DSGVO Art. 37–39 ISB und DSB sind verschiedene Rollen mit verschiedenen Rechtsgrundlagen und Aufgabenfeldern. Der DSB ist nach DSGVO Art. 37 zu benennen (bei bestimmten Verarbeitungsaktivitäten, öffentlichen Stellen und Kernverarbeitungen besonderer Kategorien) und hat nach Art. 39 definierte Aufgaben: Beratung, Überwachung der DSGVO-Konformität, Zusammenarbeit mit der Aufsichtsbehörde. Der ISB verantwortet das ISMS (ISO 27001, BSI Grundschutz) mit Fokus auf Vertraulichkeit, Integrität und Verfügbarkeit von Informationen, unabhängig davon, ob es sich um personenbezogene Daten handelt. Beide Rollen überschneiden sich bei technischen und organisatorischen Schutzmaßnahmen für personenbezogene Daten (DSGVO Art. 32), müssen aber getrennt gehalten werden: Der ISB darf Weisungen erteilen, der DSB darf keine Weisungen zu seiner Tätigkeit erhalten (Art. 38 Abs. 3 DSGVO). Eine Personalunion ISB/DSB ist in Kleinstorganisationen möglich, aber mit klarer Aufgabentrennung zu dokumentieren.
IT-Leitung (IT-Leiter, CIO) Betrieb, Planung und Weiterentwicklung der IT-Infrastruktur und IT-Services Die ISB-Rolle ist bewusst von der IT-Leitung zu trennen. Der IT-Leiter verantwortet den ordnungsgemäßen IT-Betrieb und trifft operationale Entscheidungen über Systeme, Budgets und Personal. Der ISB prüft und bewertet die sicherheitsrelevanten Aspekte dieser Entscheidungen und kann gegebenenfalls auch IT-Maßnahmen der IT-Abteilung kritisch hinterfragen. BSI-Standard 200-1 Kapitel 4.3 und die BSI IT-Grundschutz-Lerneinheit 2.4 betonen explizit: Eine Eingliederung des ISB in die IT-Abteilung kann zu Rollenkonflikten führen, da der ISB dann Maßnahmen der eigenen organisatorischen Einheit prüft. In der ISMS.1-Terminologie des BSI ist der IT-Leiter als Nutzer (Umsetzer) und der ISB als Verantwortlicher für die Anforderungserfüllung und deren Nachweis klar unterschieden.
KI-Beauftragter Einhaltung der Anforderungen des EU AI Act (Verordnung (EU) 2024/1689) auf Ebene der KI-Systeme Der KI-Beauftragte ist eine durch den EU AI Act eingeführte Rolle für Anbieter und Betreiber von KI-Systemen der Risikoklassen I–III. Sein Aufgabenfeld ist auf die Konformität des KI-System-Lebenszyklus ausgerichtet: Risikobewertung, technische Dokumentation, Registrierungspflichten, Post-Market-Monitoring. Der ISB verantwortet demgegenüber das organisationsweite ISMS, das auch KI-Systeme als Informationsassets einschließt. In Organisationen, die sowohl ISMS betreiben als auch KI-Systeme nach EU AI Act einsetzen, ergänzen sich ISB und KI-Beauftragter: Das ISMS liefert den Sicherheitsrahmen (Risikoanalyse, Zugangskontrolle, Incident Management), der KI-Beauftragte stellt die spezifische EU-AI-Act-Konformität sicher. Die Rollen können in einer Person liegen, müssen aber konzeptionell getrennt geführt werden.

Typische Fehler und wie ihr sie vermeidet

  • ISB-Rolle durch den IT-Leiter wahrgenommen, struktureller Interessenkonflikt: In kleinen und mittleren Unternehmen wird die ISB-Funktion häufig dem IT-Leiter oder einem Mitarbeiter der IT-Abteilung übertragen. BSI-Standard 200-1 Kapitel 4.3 und die BSI IT-Grundschutz-Lerneinheit 2.4 warnen explizit vor diesem Arrangement: Der ISB soll unabhängig agieren und auch IT-Maßnahmen der IT-Abteilung kritisch bewerten können. Ist der ISB gleichzeitig IT-Leiter, prüft er im Wesentlichen seine eigenen Maßnahmen, ein Interessenkonflikt, der in ISO 27001-Audits als systematisches Konformitätsproblem gewertet wird. ISO/IEC 27001:2022 Clause 5.3 verlangt keine strenge Funktionstrennung per Wortlaut, aber das Prinzip der unabhängigen Kontrolle zieht sich durch die gesamte Norm und wird von Zertifizierungsstellen geprüft.
  • Keine direkte Berichtslinie zur Geschäftsleitung, ISB ohne Eskalationsweg: Ein ISB, der in der Hierarchie unter dem IT-Leiter oder dem CFO positioniert ist, kann kritische Sicherheitsentscheidungen nicht unabhängig eskalieren. BSI-Standard 200-1 Kapitel 4.3 fordert eine direkte Zuordnung zur obersten Leitung sowie einen direkten Berichtsweg, um in Konfliktfällen schnell entscheiden zu können. Fehlt dieser Kanal, werden sicherheitsrelevante Erkenntnisse des ISB in der Linienorganisation gefiltert, mit der Folge, dass die Geschäftsleitung relevante Risiken nicht kennt und ihrer NIS-2-Pflicht nach BSIG § 38 (Umsetzung, Überwachung, Schulung) faktisch nicht nachkommen kann. Im Zertifizierungsaudit (ISO 27001 Clause 5.1) ist die Evidenz für Leadership-Commitment über dokumentierte Berichte und Management-Reviews zu erbringen.
  • Aufgaben und Befugnisse nicht schriftlich fixiert, keine auditierbare Beauftragung: Ohne schriftliche Beauftragung, entweder als Bestellungsurkunde, Stellenbeschreibung oder Dienstleistungsvertrag bei externen ISB, hat die ISB-Funktion im ISO 27001-Audit und im NIS-2-Compliance-Nachweis keine Substanz. ISO/IEC 27001:2022 Clause 5.3 verlangt, dass die Zuweisung von Rollen und Verantwortlichkeiten dokumentiert und kommuniziert wird. Ohne Dokumentation kann ein Auditor weder prüfen, ob die Anforderungen erfüllt sind, noch kann die Organisation nachweisen, dass das ISMS den Normanforderungen entspricht. Gleiches gilt für externe ISB: Ein mündliches Mandat ist weder ISO-konform noch NIS-2-compliant.
  • Kein ausreichendes Zeitkontingent für die ISB-Funktion, Nebentätigkeit ohne Wirkung: Die ISB-Funktion als formale Nebentätigkeit mit wenigen Stunden pro Monat zu besetzen ist ein verbreitetes Muster in Organisationen, die eine ISMS-Zertifizierung anstreben, ohne die operativen Konsequenzen vollständig zu tragen. BSI-Standard 200-1 Kapitel 4.3 betont, dass dem ISB ausreichend Zeit und Ressourcen für notwendige Fortbildungen zur Verfügung stehen müssen. ISO/IEC 27001:2022 Clause 7.1 (Resources) und Clause 7.2 (Competence) verlangen, dass die Organisation sicherstellt, dass die für das ISMS notwendigen Ressourcen vorhanden sind. Ein ISB mit zu geringem Zeitkontingent kann die Kernanforderungen (kontinuierliche Risikoüberwachung, Incident Management, interne Audits, Vorbereitung des Management-Reviews) nicht erfüllen.

Relevanz im regulatorischen Kontext

Der Informationssicherheitsbeauftragte ist in mehreren Regelwerken als Pflichtrolle oder faktisch notwendige Funktion verankert. ISO/IEC 27001:2022 Clause 5.3 bildet die normative Grundlage: Das Top-Management weist Verantwortlichkeiten und Befugnisse für das ISMS zu. Ohne benannte verantwortliche Person ist diese Anforderung nicht erfüllbar. Praktisch äquivalent dazu ist die ISB-Funktion im BSI IT-Grundschutz Baustein ISMS.1 als namentlich genannte verantwortliche Rolle definiert, deren Nicht-Besetzung zu Mängeln im Grundschutz-Audit führt. Die NIS-2-Richtlinie (EU) 2022/2555 Art. 20 und das BSIG 2025 § 38 schärfen den Verantwortungsrahmen erheblich: Die Geschäftsleitung wesentlicher und wichtiger Einrichtungen (ab 50 Mitarbeiter oder 10 Mio. EUR Jahresumsatz in betroffenen Sektoren) muss Cybersicherheits-Risikomanagementmaßnahmen persönlich billigen, deren Umsetzung überwachen und sich regelmäßig schulen lassen. Die operativen Aufgaben werden typischerweise an den ISB delegiert. Die Letztverantwortung der Geschäftsleitung ist jedoch nicht delegierbar. Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro bzw. 2 Prozent des weltweiten Jahresumsatzes sowie die persönliche Haftung der Geschäftsleitung gegenüber der Organisation.

Branchenspezifisch gehen die Anforderungen an die ISB-Funktion noch weiter. BAIT (Bankaufsichtliche Anforderungen an die IT der BaFin), VAIT (Versicherungsaufsichtliche Anforderungen an die IT) und KAIT (Kapitalverwaltungsgesellschaften) benennen einen IT-Sicherheitsbeauftragten explizit als Pflichtrolle mit definierten Aufgaben, Befugnissen und Berichtswegen, unabhängig davon, ob die Organisation nach ISO 27001 zertifiziert ist. DORA (Digital Operational Resilience Act, Verordnung (EU) 2022/2554) verpflichtet Finanzunternehmen ab Geltungsdatum (17. Januar 2025) zu einer Informationssicherheits-Funktion, die in der Praxis durch einen ISB oder CISO besetzt wird. Für KRITIS-Betreiber verlangt das BSI KRITIS-Dachgesetz (KrisDG), das parallel zur NIS-2-Umsetzung verabschiedet wurde, ebenfalls eine benannte Sicherheitsverantwortlichkeit. Sektorale Branchenstandards (B3S) können darüber hinaus spezifische Anforderungen an Qualifikation und Berichtsweg des ISB stellen.

Häufige Fragen

Was unterscheidet den ISB vom CISO?
ISB (Informationssicherheitsbeauftragter) und CISO (Chief Information Security Officer) beschreiben in der deutschen Praxis häufig dieselbe Person mit unterschiedlicher Bezeichnung. Der Unterschied liegt in der historischen und organisatorischen Herkunft der Begriffe: ISB ist der in BSI-Standard 200-1, BSI IT-Grundschutz-Kompendium (ISMS.1) und BSIG verwendete Normalbegriff im deutschen Kontext. Er betont die operative Koordinationsfunktion innerhalb des ISMS. CISO ist der internationale, auf C-Level-Strukturen ausgerichtete Begriff. Er impliziert strategische Entscheidungsbefugnis, Budget-Verantwortung und direkte Boardroom-Anbindung, wie sie in Konzernen mit eigenständiger Sicherheitsorganisation üblich ist. Im deutschen Mittelstand (100–5.000 Mitarbeiter) ist der ISB in der Regel das Äquivalent zum CISO; die Bezeichnung CISO ist nicht gesetzlich definiert und begründet keine rechtlichen Pflichten, während der Begriff ISB in mehreren Rechtsakten und Normen als Pflichtfunktion verankert ist.
Muss der ISB intern bestellt werden oder kann er extern bestellt werden?
ISO/IEC 27001:2022 Clause 5.3 und BSI-Standard 200-1 Kapitel 4.3 schreiben nicht vor, dass der ISB intern beschäftigt sein muss. Ein externer ISB (auch Externer ISB, ISBaaS, also ISB as a Service, oder Interim CISO) ist normkonform, sofern er die gleichen Anforderungen an Aufgabenerfüllung, Befugnisse und Berichtslinie erfüllt wie ein interner ISB. Der externe ISB bietet gerade für kleine und mittlere Unternehmen strukturelle Vorteile: Er ist organisatorisch unabhängig von der IT-Abteilung (kein Interessenkonflikt), bringt Branchenerfahrung und Normenkenntnis aus anderen Mandaten mit, ist sofort verfügbar und skalierbar. Das Mandat ist vertraglich zu regeln: Aufgabenumfang, Zeitkontingent, Berichtslinie zur Geschäftsleitung, SLA für Reaktionszeiten und Vertretungsregelung. Die Verantwortlichkeit des externen ISB muss für interne Auditoren und Zertifizierungsstellen durch einen schriftlichen Vertrag und eine formale Bestellungsurkunde nachgewiesen werden.
Welche Qualifikationen braucht ein ISB?
ISO/IEC 27001:2022 Clause 7.2 verlangt, dass die für das ISMS verantwortlichen Personen über die notwendige Kompetenz verfügen. Ausbildung, Schulung oder Erfahrung sind gleichwertige Grundlagen. BSI-Standard 200-1 konkretisiert: Der ISB sollte Kenntnisse in Informationssicherheit und IT sowie Kenntnis der Geschäftsprozesse der Organisation besitzen. In der Praxis sind die relevanten Kompetenzfelder: Kenntnisse der einschlägigen Normen (ISO 27001, BSI Grundschutz), Verständnis von IT-Architekturen und Sicherheitstechnologien, Methoden- und Prozesskompetenz (Risikoanalyse, Audit, Incident Management), regulatorisches Grundwissen (NIS-2, BSIG, branchenspezifische Anforderungen) sowie Kommunikations- und Moderationsfähigkeit. Anerkannte Zertifikate sind ISO 27001 Lead Implementer oder Lead Auditor, BSI IT-Grundschutz-Praktiker oder -Berater, CISM (Certified Information Security Manager, ISACA) und CISSP (Certified Information Systems Security Professional, ISC²). Eine Pflicht-Zertifizierung schreiben weder ISO 27001 noch BSIG vor. Die Kompetenz muss nachgewiesen, nicht zwingend durch ein spezifisches Zertifikat belegt sein.

Quellen & weiterführende Literatur

  1. ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — Requirements (Clause 5.1 Leadership, Clause 5.3 Organizational roles responsibilities authorities, Clause 7.2 Competence)
  2. ISO/IEC 27002:2022 — Information security, cybersecurity and privacy protection — Information security controls (Clause 5.2 Information security roles and responsibilities — Implementierungshinweise)
  3. BSI-Standard 200-1 — Managementsysteme für Informationssicherheit (ISMS) — Kapitel 4.3: Aufgaben und Verantwortung des Informationssicherheitsbeauftragten (Steuerung, Koordination, Sicherheitsleitlinie, Berichtslinie, Unabhängigkeit)
  4. BSI-Standard 200-2 — IT-Grundschutz-Methodik — Kapitel 4: Organisation des Sicherheitsprozesses (Rollen, Verantwortlichkeiten, IS-Management-Team)
  5. BSI IT-Grundschutz-Kompendium Baustein ISMS.1 Sicherheitsmanagement — Edition 2023 (ISB als verantwortliche Rolle; Anforderungen an ISMS-Betrieb; Einbindung in strategische Entscheidungen)
  6. BSI IT-Grundschutz Online-Kurs — Lerneinheit 2.4: Der Informationssicherheitsbeauftragte (Aufgaben, Qualifikationen, Unabhängigkeit, Berichtslinie, Rollenkonflikte bei IT-Eingliederung)
  7. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) — Artikel 20 Governance (Billigung von Risikomanagementmaßnahmen durch Leitungsorgane, Schulungspflichten, persönliche Haftung)
  8. BSIG 2025 — BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes (in Kraft ab 06.12.2025) — § 38 Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen
  9. Verordnung (EU) 2016/679 (DSGVO) — Artikel 37–39 (Benennung, Stellung und Aufgaben des Datenschutzbeauftragten — Abgrenzung zum ISB; Art. 38 Abs. 3: DSB darf keine Weisungen erhalten)