Rolle und Verantwortung

Informationssicherheitsbeauftragter

Der Informationssicherheitsbeauftragte steuert das Informationssicherheits-Managementsystem einer Organisation, entscheidet aber nicht selbst über die Annahme von Risiken.

Einschätzung anfragen Zum Inhalt

Bildschirmarbeitsplatz mit Übersicht technischer Sicherheitsmaßnahmen

Der Informationssicherheitsbeauftragte hält das Informationssicherheits-Managementsystem zusammen. Er sorgt dafür, dass Risiken erfasst und bewertet sind, dass beschlossene Maßnahmen umgesetzt werden und dass die Leitung erfährt, wo es klemmt. Über die Annahme eines Risikos entscheidet er nicht — diese Entscheidung gehört zur obersten Leitung.

Was die Aufgabe konkret umfasst

Die Arbeit folgt dem Aufbau der Norm. Werte und Prozesse im Geltungsbereich erfassen, Risiken identifizieren und bewerten, dazu passende Maßnahmen auswählen, deren Umsetzung nachhalten und die Wirksamkeit prüfen.

Der Anhang A von ISO 27001 in der Fassung von 2022 enthält 93 Maßnahmen, geordnet in vier Themenblöcke: organisatorisch, personenbezogen, physisch, technologisch. Der Beauftragte gleicht diese Liste gegen die eigene Risikolage ab und hält das Ergebnis in der Erklärung zur Anwendbarkeit fest. Begründungspflichtig ist dabei nicht nur, welche Maßnahme angewendet wird, sondern auch, welche nicht und warum. Diese Ausschlussbegründungen sind der Teil, der in der Praxis am schlechtesten gepflegt ist — und der im Audit zuerst gelesen wird.

Die Verwechslung mit dem Datenschutzbeauftragten

Beide Rollen arbeiten mit denselben Systemen und stützen sich auf ähnliche Maßnahmen. Ihr Auftrag ist aber verschieden. Der Datenschutzbeauftragte vertritt die Interessen betroffener Personen und ist gegenüber der Leitung ausdrücklich unabhängig gestellt. Der Informationssicherheitsbeauftragte vertritt das Sicherheitsinteresse der Organisation und arbeitet für die Leitung.

Praktisch treffen die Rollen dort aufeinander, wo Sicherheit Daten erzeugt: Protokollierung, Zugriffsauswertungen, Untersuchung von Vorfällen. Wer beide Hüte trägt, prüft irgendwann die eigene Maßnahme auf ihre datenschutzrechtliche Zulässigkeit. In sehr kleinen Organisationen ist das kaum vermeidbar, sollte aber bewusst entschieden und nicht stillschweigend zusammengelegt werden.

Wo die Rolle organisatorisch hängt, entscheidet über ihre Wirkung

Der häufigste Aufbaufehler ist die Einordnung unter die IT-Leitung. Ein großer Teil der Maßnahmen betrifft genau diesen Bereich: Berechtigungen, Patchstände, Backup, Protokollierung. Wer dort eingegliedert ist, meldet Schwächen an die Person, die sie zu verantworten hat.

Ein direkter Berichtsweg zur Leitung löst das. Die Rolle braucht außerdem ein Zeitbudget, das im Kalender steht. Ein Informationssicherheitsbeauftragter mit zehn Prozent nominaler Zuständigkeit und einer vollen Linienaufgabe erledigt im Zweifel die Linienaufgabe.

Woran es scheitert

Die Dokumentation ist aktuell, die Realität nicht. Richtlinien werden gepflegt, weil sie im Audit sichtbar sind. Ob die beschriebene Berechtigungsprüfung tatsächlich stattgefunden hat, prüft niemand. Eine Auditspur entsteht erst durch Nachweise, nicht durch Vorgabedokumente.

Kein funktionierender Meldeweg für Vorfälle. Wenn Beschäftigte nicht wissen, wohin sie einen verdächtigen Anhang melden sollen, gibt es keine Vorfälle — auf dem Papier. Die spätere Managementbewertung berichtet dann eine Sicherheitslage, die es so nicht gibt.

Die Rolle wird ohne Vertretung besetzt. Fällt die Person aus, steht das System still. Eine benannte Stellvertretung mit Zugriff auf die laufenden Themen kostet wenig und verhindert genau das.

Häufige Fragen

Schreibt ISO 27001 einen Informationssicherheitsbeauftragten vor?

Nein. Die Norm verlangt, dass Rollen, Verantwortungen und Befugnisse für die Informationssicherheit festgelegt und im Unternehmen bekannt sind. Wie diese Rolle heißt und ob sie auf eine oder mehrere Personen verteilt wird, bleibt der Organisation überlassen. Der Titel stammt aus der deutschen Behörden- und BSI-Praxis und hat sich eingebürgert, weil er die Zuständigkeit sichtbar macht.

Darf der Datenschutzbeauftragte zugleich Informationssicherheitsbeauftragter sein?

Beide Rollen überschneiden sich fachlich, verfolgen aber unterschiedliche Zwecke: Datenschutz schützt die Rechte betroffener Personen, Informationssicherheit schützt die Werte der Organisation. In einer Person führt das regelmäßig zu Interessenkonflikten, etwa bei Protokollierung und Auswertung von Zugriffen. In kleinen Unternehmen kommt die Doppelrolle vor, sollte aber dokumentiert begründet und im Konfliktfall aufgelöst werden.

Muss der Informationssicherheitsbeauftragte aus der IT kommen?

Technisches Verständnis hilft, ist aber nicht der Kern. Die Rolle steuert Risikoeinschätzung, Maßnahmenauswahl, Nachweisführung und Berichterstattung an die Leitung — das ist Organisationsarbeit. Kommt die Person aus der IT und berichtet an die IT-Leitung, bewertet sie Entscheidungen ihres eigenen Bereichs. Genau diese Konstellation fällt Auditoren regelmäßig auf.