Was ist ein ISB?

Ein Informationssicherheitsbeauftragter kümmert sich um alles, was mit der Informationssicherheit in einem Unternehmen oder einer Behörde zu tun hat. Er steuert den gesamten Sicherheitsprozess, koordiniert ihn und sorgt dafür, dass die Mitarbeiter für das Thema sensibilisiert und regelmäßig geschult werden.

Was macht ein ISB konkret?

Die Rolle ist breiter, als viele zunächst vermuten. Ein ISB steuert den Sicherheitsprozess und unterstützt die Leitung dabei, eine Sicherheitsleitlinie zu erstellen. Er bringt das Sicherheitskonzept samt der dazugehörigen Teilkonzepte und Richtlinien auf den Weg und behält dabei den Überblick.

Dazu kommt die praktische Seite. Er fertigt Pläne für einzelne Sicherheitsmaßnahmen an, stößt deren Umsetzung an und prüft hinterher, ob auch wirklich passiert ist, was geplant war. Er berichtet der Leitung und anderen Verantwortlichen regelmäßig über den Stand der Dinge, koordiniert sicherheitsrelevante Projekte und untersucht Vorfälle, wenn doch einmal etwas schiefgeht. Und nicht zuletzt liegt es an ihm, Schulungen anzustoßen, damit Sicherheit im Alltag der Belegschaft tatsächlich ankommt.

Wo gehört ein ISB im Unternehmen hin?

Hier liegt ein Punkt, den viele unterschätzen. Damit ein ISB wirklich unabhängig arbeiten kann, sollte er direkt der obersten Leitung unterstellt sein. Steckt man ihn in die IT-Abteilung, entsteht schnell ein Rollenkonflikt. Er müsste dann die Sicherheitsmaßnahmen kontrollieren, die seine eigene Abteilung umsetzt, und das geht selten frei von Beeinflussung.

Ähnlich heikel ist es, wenn dieselbe Person zugleich Datenschutzbeauftragter ist. Lässt sich das nicht vermeiden, müssen die Schnittstellen beider Rollen klar abgegrenzt werden, damit sich die Aufgaben nicht in die Quere kommen. Außerdem braucht ein ISB genug Zeit und Mittel für Fortbildungen sowie einen direkten Draht zur Leitung, um in Konfliktfällen schnell entscheiden zu können.

In größeren Unternehmen oder Behörden reicht ein einzelner ISB oft nicht aus. Dann gibt es weitere Beauftragte für einzelne Bereiche, Standorte oder umfangreiche Projekte.

Warum Sie einen ISB unbedingt brauchen

Informationssicherheit läuft nicht nebenbei mit. Ohne jemanden, der das Thema verantwortet, verteilt sich die Zuständigkeit auf alle und damit auf niemanden. Genau hier liegt das Risiko. Sicherheitslücken bleiben unentdeckt, niemand verfolgt, ob beschlossene Maßnahmen auch umgesetzt werden, und im Ernstfall fehlt der Ansprechpartner, der schnell reagiert.

Was das konkret bedeuten kann, zeigt sich oft erst, wenn es zu spät ist. Ein erfolgreicher Cyberangriff legt Systeme tagelang lahm, Kundendaten geraten in falsche Hände, und der Schaden geht schnell in fünf- oder sechsstellige Höhe. Dazu kommt der Vertrauensverlust bei Kunden und Partnern, der sich kaum beziffern lässt und noch lange nachwirkt.

Was das Gesetz inzwischen verlangt

Rechtlich ist die Sache nicht mehr verhandelbar. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz, und zwar ohne Übergangsfrist. Wer betroffen ist, muss die Pflichten seit dem Tag des Inkrafttretens erfüllen. Rund 29.500 Unternehmen in 18 Sektoren fallen darunter, darunter erstmals viele Mittelständler aus Maschinenbau, IT-Dienstleistung und Logistik. Die Schwellen sind gestaffelt: In den wesentlichen Sektoren greift das Gesetz ab 250 Mitarbeitern oder 50 Millionen Euro Umsatz, in den übrigen wichtigen Sektoren bereits ab 50 Mitarbeitern oder 10 Millionen Euro. Und auch wer selbst nicht direkt betroffen ist, gerät über die Lieferkette schnell in die Pflicht, weil betroffene Unternehmen die Sicherheit ihrer Zulieferer einfordern müssen.

Die Folgen bei Verstößen sind drastisch. Besonders wichtigen Einrichtungen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis zu 7 Millionen Euro, jeweils gilt der höhere Betrag. Hinzu kommt die eigentlich brisante Neuerung: Nach § 38 BSIG haften Geschäftsführer persönlich für Schäden aus der Verletzung ihrer Überwachungspflichten, und diese Haftung lässt sich nicht vertraglich ausschließen. Verantwortung lässt sich also nicht mehr nach unten wegdelegieren. Praktisch setzt die Erfüllung der Anforderungen ein funktionierendes Informationssicherheitsmanagement voraus, mit Risikoanalyse, Backup-Management, Lieferkettensicherheit, Multifaktor-Authentifizierung und festen Meldefristen bei Sicherheitsvorfällen. Genau das aufzubauen und am Laufen zu halten, ist die Kernaufgabe eines ISB.

Ihr Schutz, von Anfang an

Ein ISB sorgt dafür, dass es gar nicht erst zu Bußgeld oder Sicherheitsvorfall kommt. Er erkennt Schwachstellen, bevor andere sie ausnutzen, hält die Maßnahmen aktuell und ist im Notfall sofort handlungsfähig. Er bringt das nötige Fachwissen aus Informationssicherheit und IT mit, kennt aber zugleich Ihre Geschäftsprozesse, denn Sicherheit lässt sich nur sinnvoll gestalten, wenn man versteht, wie Ihr Betrieb tatsächlich läuft. So schützt er nicht nur Ihre Daten, sondern Ihre gesamte Geschäftsgrundlage und bewahrt Ihre Geschäftsführung vor persönlicher Haftung.