ISB Pflicht

Informationssicherheitsbeauftragter Pflicht – Wann ist ein ISB gesetzlich vorgeschrieben?

Die Frage, ob ein Informationssicherheitsbeauftragter (ISB) Pflicht ist, beschäftigt zahlreiche Unternehmen und Organisationen in Deutschland. Während der Datenschutzbeauftragte bereits seit Jahren gesetzlich verankert ist, gewinnt der ISB durch neue EU-Regularien und steigende Cyberbedrohungen zunehmend an Bedeutung. Auf dieser Seite erfahren Sie, wann die Bestellung eines Informationssicherheitsbeauftragten verpflichtend ist, welche gesetzlichen Grundlagen gelten und welche Konsequenzen bei Nichtbestellung drohen.

Gesetzliche Grundlagen: Wann ist ein ISB Pflicht?

Anders als beim Datenschutzbeauftragten gibt es für den Informationssicherheitsbeauftragten keine einzelne, übergreifende gesetzliche Pflicht. Stattdessen ergibt sich die Verpflichtung aus verschiedenen Regelwerken und branchenspezifischen Anforderungen. Die wichtigsten Rechtsgrundlagen haben wir für Sie zusammengestellt:

1. KRITIS – Kritische Infrastrukturen

Betreiber kritischer Infrastrukturen sind nach dem BSI-Gesetz (BSIG) verpflichtet, angemessene organisatorische und technische Vorkehrungen zur Informationssicherheit zu treffen. Dies schließt in der Praxis die Bestellung eines ISB ein. KRITIS-Betreiber müssen zudem alle zwei Jahre einen Nachweis gegenüber dem BSI erbringen, dass ihre IT-Sicherheit dem Stand der Technik entspricht. Betroffen sind Unternehmen aus den folgenden Sektoren:

• Energie und Wasser
• Informationstechnik und Telekommunikation
• Gesundheit und Ernährung
• Transport und Verkehr
• Finanz- und Versicherungswesen
• Siedlungsabfallentsorgung
• Staat und Verwaltung

2. NIS2-Richtlinie – Neue EU-weite Pflichten

Die NIS2-Richtlinie erweitert den Kreis der betroffenen Unternehmen erheblich. Ab der nationalen Umsetzung sind nicht nur KRITIS-Betreiber, sondern auch mittlere und große Unternehmen aus 18 Sektoren verpflichtet, ein funktionierendes Informationssicherheits-Management nachzuweisen. Die Benennung eines ISB ist dabei eine zentrale Anforderung. Unternehmen ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz können betroffen sein. Besonders relevant: Die NIS2-Richtlinie sieht eine persönliche Haftung der Geschäftsführung vor, wenn die Anforderungen nicht umgesetzt werden.

3. ISO 27001 – Freiwillig, aber oft gefordert

Die ISO 27001 Zertifizierung verlangt ausdrücklich die Benennung eines Verantwortlichen für das Informationssicherheits-Managementsystem (ISMS). Unternehmen, die eine Zertifizierung anstreben oder aufrechterhalten möchten, benötigen zwingend einen ISB. Auch ohne formale Zertifizierungspflicht fordern immer mehr Auftraggeber – insbesondere in der öffentlichen Verwaltung und im Automotive-Bereich – ein ISMS nach ISO 27001 als Voraussetzung für die Zusammenarbeit.

4. Branchenspezifische Anforderungen

In zahlreichen Branchen ist die Bestellung eines ISB durch spezifische Regulierungen vorgeschrieben:

Aufgaben eines Informationssicherheitsbeauftragten

Der ISB übernimmt eine zentrale Rolle im Unternehmen und fungiert als Bindeglied zwischen Geschäftsleitung, IT-Abteilung und Fachbereichen. Zu seinen Kernaufgaben gehören:

• Aufbau und Pflege des ISMS – Entwicklung und kontinuierliche Verbesserung des Informationssicherheits-Managementsystems
• Risikoanalyse und -bewertung – Systematische Identifikation von Bedrohungen und Schwachstellen
• Erstellung von Sicherheitsrichtlinien – Definition verbindlicher Regeln, Prozesse und Verfahrensanweisungen
• Sensibilisierung und Schulung – Regelmäßige Awareness-Trainings und Phishing-Simulationen für Mitarbeiter
• Incident Management – Koordination bei Sicherheitsvorfällen und Steuerung der Sofortmaßnahmen
• Berichterstattung an die Geschäftsleitung – Regelmäßige Statusberichte, Risikoübersichten und strategische Empfehlungen
• Überwachung der Maßnahmenumsetzung – Kontrolle, Nachverfolgung und Dokumentation beschlossener Sicherheitsmaßnahmen
• Zusammenarbeit mit dem Datenschutzbeauftragten – Abstimmung bei überschneidenden Themen wie Datenschutz und Datensicherheit

Mehr über die Abgrenzung zum IT-Sicherheitsbeauftragten erfahren Sie auf unserer Seite zum IT-Sicherheitsbeauftragten. Eine ausführliche Übersicht finden Sie zudem in unserem Artikel zu den Aufgaben eines Informationssicherheitsbeauftragten.

Qualifikationen: Was muss ein ISB mitbringen?

Ein qualifizierter Informationssicherheitsbeauftragter sollte über folgende Kompetenzen verfügen:

• Fundiertes Wissen in IT-Sicherheit und Informationssicherheitsmanagement
• Kenntnisse relevanter Normen und Standards (ISO 27001, BSI IT-Grundschutz, TISAX)
• Verständnis der aktuellen Bedrohungslage und gängiger Angriffsvektoren
• Erfahrung in Risikomanagement und Business Continuity Management
• Kommunikationsstärke und Durchsetzungsvermögen gegenüber allen Hierarchieebenen
• Unabhängigkeit – keine Interessenkonflikte mit IT-Betrieb oder Geschäftsleitung
• Rechtliche Grundkenntnisse (DSGVO, NIS2, branchenspezifische Regularien)

Anerkannte Zertifizierungen wie ISO 27001 Berater, CISM, CISSP oder BSI IT-Grundschutz-Praktiker belegen die fachliche Eignung und werden von Auditoren bei Zertifizierungsverfahren positiv bewertet.

Interner vs. externer Informationssicherheitsbeauftragter

Unternehmen haben grundsätzlich die Wahl zwischen einem internen und einem externen ISB. Beide Varianten haben spezifische Vor- und Nachteile, die sorgfältig abgewogen werden sollten:

Gerade für kleine und mittelständische Unternehmen in Sachsen ist ein externer ISB häufig die wirtschaftlichere und qualitativ bessere Lösung. Die monatlichen Kosten für einen externen ISB liegen in der Regel deutlich unter den Gesamtkosten einer internen Besetzung.

Konsequenzen bei Nichtbestellung eines ISB

Unternehmen, die trotz bestehender Pflicht keinen Informationssicherheitsbeauftragten bestellen, riskieren erhebliche Konsequenzen:

• Bußgelder – Insbesondere unter NIS2 drohen Strafen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes
• Persönliche Haftung der Geschäftsleitung – NIS2 sieht eine persönliche Verantwortung der Leitungsorgane vor, die nicht delegierbar ist
• Verlust von Zertifizierungen – Ohne ISB kann eine ISO 27001 oder TISAX Zertifizierung nicht aufrechterhalten werden
• Reputationsschäden – Sicherheitsvorfälle ohne etabliertes ISMS schädigen das Unternehmensimage nachhaltig
• Vertragliche Konsequenzen – Kunden und Geschäftspartner fordern zunehmend Nachweise zur Informationssicherheit
• Versicherungsprobleme – Cyber-Versicherungen setzen ein funktionierendes ISMS voraus und können im Schadensfall Leistungen kürzen
• Wettbewerbsnachteile – Unternehmen ohne Sicherheitsnachweise werden bei Ausschreibungen zunehmend ausgeschlossen

Häufig gestellte Fragen zur ISB-Pflicht

Muss jedes Unternehmen einen Informationssicherheitsbeauftragten haben?

Nein, eine allgemeine gesetzliche Pflicht besteht nicht. Die Verpflichtung ergibt sich aus branchenspezifischen Regelungen, der Unternehmensgröße oder vertraglichen Anforderungen. Mit der NIS2-Richtlinie wird der Kreis der verpflichteten Unternehmen jedoch erheblich erweitert.

Kann der Datenschutzbeauftragte gleichzeitig ISB sein?

Grundsätzlich ja, allerdings kann es zu Interessenkonflikten kommen. Die Rollen haben unterschiedliche Schwerpunkte und sollten idealerweise getrennt besetzt werden, um eine unabhängige Aufgabenwahrnehmung sicherzustellen.

Was kostet ein externer Informationssicherheitsbeauftragter?

Die Kosten hängen von der Unternehmensgröße und dem erforderlichen Aufwand ab. Für KMU beginnen die monatlichen Pauschalen in der Regel ab einigen Hundert Euro. Kontaktieren Sie uns für ein individuelles Angebot.

DATUREX GmbH als Ihr externer Informationssicherheitsbeauftragter

Die DATUREX GmbH aus Dresden unterstützt Unternehmen sachsenweit als externer Informationssicherheitsbeauftragter. Unsere Leistungen umfassen:

• Übernahme der Funktion als externer ISB gemäß allen relevanten Regularien
• Aufbau und Betreuung Ihres ISMS nach ISO 27001 oder BSI IT-Grundschutz
• Unterstützung bei der Umsetzung von NIS2-Anforderungen
• Regelmäßige Sicherheitsaudits und Risikoanalysen
• Mitarbeiterschulungen und Awareness-Kampagnen
• Incident Response und Notfallmanagement

Profitieren Sie von unserer langjährigen Erfahrung und branchenübergreifenden Expertise.

Kontaktieren Sie die DATUREX GmbH für eine kostenlose Erstberatung und erfahren Sie, ob für Ihr Unternehmen die Pflicht zur Bestellung eines Informationssicherheitsbeauftragten besteht – und wie wir Sie dabei unterstützen können.

Häufig gestellte Fragen zum ISB

Wann ist ein ISB Pflicht?

Ein Informationssicherheitsbeauftragter ist gesetzlich verpflichtend für Betreiber kritischer Infrastrukturen (KRITIS), Bundesbehörden sowie Unternehmen, die unter die NIS2-Richtlinie fallen. Außerdem schreiben branchenspezifische Regelwerke wie BAIT (Banken) oder VAIT (Versicherungen) die Bestellung eines ISB vor. Unser externer ISB erfüllt diese Anforderungen rechtskonform und kostengünstig.

Wer kann ISB werden?

ISB kann jede Person werden, die fundierte Kenntnisse in Informationssicherheit, IT-Risikomanagement und relevanten Normen wie ISO 27001 oder BSI IT-Grundschutz nachweist. Anerkannte Zertifizierungen wie CISM, CISSP oder ISO 27001 Lead Implementer sind empfehlenswert. Der ISB muss nicht zwingend angestellt sein – ein externer Dienstleister ist vollständig anerkannt.

Was kostet ein externer ISB?

Die Kosten für einen externen ISB hängen vom Leistungsumfang und der Unternehmensgröße ab. Typischerweise liegen monatliche Pauschalen zwischen 300 und 1.500 Euro – deutlich günstiger als eine Vollzeitstelle. Fordern Sie jetzt ein individuelles Angebot an.

Muss der ISB im Unternehmen angestellt sein?

Nein, ein ISB muss nicht als Mitarbeiter angestellt sein. Die Bestellung eines externen Informationssicherheitsbeauftragten ist gesetzlich ausdrücklich zulässig und wird insbesondere für KMU empfohlen, da so spezialisiertes Know-how ohne Vollzeit-Personalkosten verfügbar ist.

Welche Qualifikation braucht ein ISB?

Ein ISB sollte fundierte Kenntnisse in Informationssicherheits-Management, IT-Risiken und Normen wie ISO 27001 oder BSI IT-Grundschutz mitbringen. Zertifizierungen wie CISM, CISSP oder ISO 27001 Berater sind anerkannte Nachweise der Kompetenz. Zusätzlich sind Kommunikationsstärke und unternehmerisches Denken wichtige Voraussetzungen.