Was ein Informationssicherheitsbeauftragter wirklich tut
Die Norm nennt keinen Titel, sondern verlangt zugewiesene Verantwortung. Was daraus im Alltag wird, entscheidet sich an Risikoliste, Meldewegen und dem Draht zur Leitung.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Ohne klaren Zuschnitt wird die Rolle zum Papierjob
Viele Häuser besetzen die Rolle, weil ein Kunde oder eine Aufsicht danach fragt. Die Stellenbeschreibung entsteht aus einer Liste von Aufgaben, aber ohne Befugnisse, ohne Budget und ohne festen Berichtsweg. Dann sammelt jemand Richtlinien ein und pflegt eine Tabelle, während die Entscheidungen weiterhin in Projekten fallen, von denen die Rolle erst hinterher erfährt.
Der zweite verbreitete Zuschnitt ist genauso schwierig. Die Aufgabe wandert an die IT-Leitung, damit prüft dieselbe Person Maßnahmen, die ihre eigene Abteilung verantwortet, und muss im Zweifel gegen die eigenen Betriebsziele argumentieren.
Was das kostet, zeigt sich im Audit und im Vorfall. Fehlt der Nachweis, dass Risiken bewertet und Entscheidungen getroffen wurden, hilft auch ein dickes Richtlinienhandbuch nicht. Und wenn im Ernstfall niemand weiß, wer einstuft und wer meldet, vergehen Stunden mit Zuständigkeitsfragen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Aufbau im Detail
Der Aufbau
Informationssicherheitsbeauftragter = Risikoüberblick + Regelwerk + Sensibilisierung + Vorfallkoordination + Auditvorbereitung + Bericht an die Leitung - 01 Die Grundlage
RisikoüberblickOhne bekanntes Inventar und eine festgelegte Bewertungsmethode gibt es nichts zu steuern. Dieser Teil frisst am Anfang die meiste Zeit und trägt danach alles andere.
- 02 Richtlinien
RegelwerkGemeint sind nicht möglichst viele Dokumente, sondern wenige, die freigegeben, bekannt und tatsächlich anwendbar sind. Eine Regel ohne Nachweis der Kenntnisnahme zählt im Audit nur halb.
- 03 Menschen
SensibilisierungDas ist kein Jahrespflichttermin, sondern die Übersetzung der Regeln in Situationen, die im Haus wirklich vorkommen. Die Wirkung zeigt sich daran, ob aus der Belegschaft überhaupt Verdachtsmeldungen kommen.
- 04 Ernstfall
VorfallkoordinationDu hältst Meldeweg, Einstufung und Dokumentation zusammen, während andere technisch eingreifen. Die Auswertung danach ist der Teil, aus dem Korrekturmaßnahmen entstehen.
- 05 Nachweis
AuditvorbereitungInterne Audits planen, Unparteilichkeit sichern, Feststellungen nachverfolgen. Das externe Audit prüft anschließend genau diese Kette.
- 06 Rückkopplung
Bericht an die LeitungDie Managementbewertung ist der einzige Punkt, an dem Ressourcen entstehen. Wer dort nur Ampeln zeigt, bekommt keine Entscheidung.
Wenn es nicht funktioniert
Das siehst du
Die Risikoliste wird einmal im Jahr gefüllt und danach nicht mehr angefasst.
Warum
Die Beurteilung hängt an einem Kalendertermin statt an Auslösern wie neuen Systemen, neuen Dienstleistern oder Vorfällen.
Was hilft
Koppel die Beurteilung an den Änderungsprozess und an die Freigabe neuer Dienstleister, dann aktualisiert sie sich im laufenden Betrieb.
Das siehst du
Alle Richtlinien sind aktuell, trotzdem arbeitet niemand danach.
Warum
Es fehlt der Nachweis der Kenntnisnahme, und die Regeln sind für den konkreten Arbeitsplatz zu allgemein formuliert.
Was hilft
Kürze auf das, was jemand tatsächlich tun soll, und verbinde die Veröffentlichung mit einer nachvollziehbaren Bestätigung.
Das siehst du
Im externen Audit gibt es Feststellungen zu Maßnahmen, die intern längst geprüft waren.
Warum
Die internen Audits waren nicht unparteiisch, weil dieselbe Stelle Umsetzung und Prüfung verantwortet hat.
Was hilft
Lass Bereiche über Kreuz prüfen, zieh Leute aus anderen Abteilungen hinzu oder vergib das interne Audit nach außen.
Das siehst du
Ein Verdacht auf einen Vorfall taucht erst Tage später im Ticketsystem auf.
Warum
Der Meldeweg führt nur per E-Mail an eine einzelne Person und ist außerhalb der Bürozeiten unbesetzt.
Was hilft
Definiere einen Weg mit Vertretung und Eingangsbestätigung, und übe ihn einmal mit einer angekündigten Testmeldung.
Das siehst du
Die Leitung fragt nach dem Stand und bekommt eine Maßnahmenliste.
Warum
Der Bericht ist auf Tätigkeiten ausgerichtet statt auf offene Entscheidungen und getragene Risiken.
Was hilft
Berichte in drei Blöcken: bewusst getragene Risiken, überfällige Behandlungen, benötigte Ressourcen.
Sechs Aufgaben, ein Kreislauf
- 01 Werte und Systeme im Geltungsbereich sind erfasst und haben Verantwortliche.
- 02 Risiken werden nach einer festen Methode bewertet, nicht nach Bauchgefühl.
- 03 Zu jedem Risiko gibt es eine Entscheidung mit Namen und Termin.
- 04 Richtlinien sind freigegeben, kommuniziert und nachweisbar bekannt.
- 05 Vorfälle laufen über einen Meldeweg, der auch nachts funktioniert.
- 06 Die Managementbewertung schließt den Kreis und löst Ressourcen aus.
Was du aus der Rolle machst
Die Aufgaben lassen sich auf wenige Kernbewegungen zurückführen. Wer die sauber trennt, kommt mit deutlich weniger Aufwand aus als jemand, der alles selbst erledigt.
Verantwortung schriftlich klären
Du lässt Befugnisse, Berichtsweg und Vertretung von der Leitung festhalten, bevor die erste Risikorunde startet.
Risiken moderieren statt entscheiden
Du führst durch die Bewertung, die Entscheidung über Akzeptanz bleibt bei der Leitung oder beim Prozessverantwortlichen.
Richtlinien am Leben halten
Du planst Freigabe, Kommunikation und Nachweis für jedes Dokument gleich mit ein, sonst ist die Wirkung im Audit dahin.
Meldewege belastbar machen
Du sorgst dafür, dass jede Person weiß, wohin ein Verdacht gemeldet wird, und dass die Meldung auch außerhalb der Bürozeiten ankommt.
Auditprogramm organisieren
Du planst interne Audits so, dass niemand den eigenen Bereich prüft, und behältst die Nachverfolgung der Feststellungen.
Der Leitung eine Lage liefern
Du berichtest offene Risiken, Vorfälle und Ressourcenbedarf in einer Form, aus der sich Entscheidungen ableiten lassen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Norm kennt keinen ISB, sondern zugewiesene Verantwortung
In ISO/IEC 27001 steht keine Stellenbezeichnung. Die Norm verlangt in Kapitel 5, dass die oberste Leitung Verantwortlichkeiten und Befugnisse für die Informationssicherheit zuweist und bekannt macht. Ob daraus eine eigene Stelle wird, eine Teilzeitrolle oder ein externes Mandat, entscheidet die Organisation selbst.
Im IT-Grundschutz des BSI ist die Rolle dagegen ausdrücklich vorgesehen und mit Aufgaben hinterlegt. Wer in einer Behörde oder bei einem Dienstleister der öffentlichen Hand arbeitet, trifft deshalb auf ein deutlich engeres Bild der Rolle als in einem Unternehmen, das ausschließlich nach ISO/IEC 27001 arbeitet.
Der Alltag hängt an der Risikobeurteilung
Der größte Teil der Arbeit dreht sich um den Weg von einem erkannten Risiko zu einer dokumentierten Entscheidung. Dazu gehört, dass Werte und Systeme überhaupt bekannt sind, dass Risiken nach einer festgelegten Methode bewertet werden und dass jede Behandlung einen Verantwortlichen mit Termin hat.
Wenn du die Rolle übernimmst, moderierst du diese Bewertung, entscheidest aber selten selbst. Die Entscheidung, ein Risiko zu tragen, gehört der Leitung oder der Person, die für den betroffenen Prozess verantwortlich ist. Diese Trennung schriftlich festzuhalten, erspart später die Diskussion, wer eine Ausnahme genehmigt hat.
Richtlinien, Sensibilisierung und Vorfälle
Richtlinien schreiben ist der sichtbare Teil, Richtlinien am Leben halten der aufwendige. Zu jedem Dokument gehören eine Freigabe, ein Gültigkeitszeitraum und ein Nachweis, dass die betroffenen Personen es kennen. Ohne diesen Nachweis zählt die Richtlinie im Audit nur halb.
Bei einem Sicherheitsvorfall bist du in der Regel nicht der technische Einsatzleiter. Deine Aufgabe besteht darin, die Meldewege offen zu halten, die Einstufung mitzutragen, die Dokumentation zu sichern und danach die Auswertung anzustoßen, aus der Korrekturmaßnahmen entstehen. Wer beide Rollen gleichzeitig übernimmt, verliert im Ernstfall entweder den Überblick oder die Dokumentation.
Audit, Bericht und die Grenze zum Datenschutz
Interne Audits müssen unparteiisch sein. Wer eine Maßnahme selbst gebaut hat, darf sie nicht prüfen. Deshalb wird das Auditprogramm aus der Rolle heraus organisiert, die einzelnen Audits übernehmen aber andere. Für die Managementbewertung kommt die Lage auf einen Tisch: offene Risiken, Ergebnisse aus Audits, Vorfälle, Kennzahlen und Ressourcenbedarf.
Die Aufgabe ist nicht dasselbe wie die des Datenschutzbeauftragten nach DSGVO. Diese Rolle hat eine eigene Rechtsgrundlage, eine geschützte Stellung und darf nicht in einen Interessenkonflikt geraten. In kleinen Häusern werden beide Rollen gern zusammengelegt, was funktionieren kann, solange die Person weder die IT leitet noch über die Zwecke der Verarbeitung entscheidet.
Dazu passende Kurse
Wenn du die Rolle neu übernimmst und die Normensprache noch fremd wirkt, kannst du Trainings für Sicherheitsverantwortliche ansehen .
Weil Sicherheit selten allein steht, sondern an Qualität, Service und KI angrenzt, lohnt daneben ein Blick auf die Bandbreite der Normenkurse .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Katharina war eine super Dozentin mit sehr viel Wissen. Sie ist auf alle Fragen eingegangen und konnte alle klären.
Ein sehr anspruchsvolles Training welches von einer sehr kompetente Trainerin geleitet wurde.
Alles in allem bin ich sehr zufrieden, da der Trainer sich viel Mühe gegeben hat und alles sehr gut erklären konnte.
Häufige Fragen
Muss die Rolle in der IT angesiedelt sein?
Kann man die Aufgabe extern vergeben?
Braucht die Rolle ein Zertifikat?
Wie viel Zeit kostet die Aufgabe?
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem ITIL & PRINCE2-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Von der Rollenbeschreibung zur belastbaren Praxis
Am schnellsten wird die Rolle greifbar, wenn du die eigene Aufgabenliste Zeile für Zeile gegen die Kapitel der Norm hältst.