Informationssicherheitsbeauftragter

Was macht ein Informationssicherheitsbeauftragter?

Er ist die benannte Stelle, an der die Informationssicherheit einer Organisation zusammenläuft. Die Aufgabe ist nicht, Systeme zu betreiben, sondern das Managementsystem zu führen: Leitlinie und Richtlinien pflegen, Schutzbedarf feststellen, Risiken bewerten und ihre Behandlung nachhalten, Maßnahmen planen, ihre Wirksamkeit prüfen und der Leitung berichten. Dazu kommen die Begleitung interner und externer Audits, die Bearbeitung von Vorfällen aus der Sicht der Organisation und die Beratung von Projekten, bevor sie beschlossen sind.

Die Rolle ist eine Stabsrolle. Sie stellt fest, empfiehlt und dokumentiert; entscheiden und umsetzen tun andere. Damit das funktioniert, braucht sie zwei Dinge: eine Berichtslinie zur Leitung und Unabhängigkeit von dem Bereich, den sie bewertet. Ein ISB, der der IT-Leitung untersteht, soll die Arbeit seines eigenen Vorgesetzten beurteilen – diese Konstruktion kommt vor und ist die häufigste Schwäche solcher Stellen.

Wie wird man Informationssicherheitsbeauftragter?

Über Erfahrung und einen Lehrgang, in dieser Reihenfolge. Die üblichen Herkünfte sind die IT – Administration, Netzwerk, Betrieb – und die Nachweisseite aus Qualitätsmanagement, Revision oder Risikomanagement. Verlangt wird meist ein Studium oder eine IT-Ausbildung mit mehreren Jahren Praxis; in kleineren Organisationen wird die Rolle oft zusätzlich zu einer bestehenden Stelle übertragen.

Bei den Nachweisen lohnt Genauigkeit. Die verbreiteten ISB-Lehrgänge sind Angebote privater Schulungsanbieter und keine staatliche Zulassung; sie vermitteln in wenigen Tagen die Struktur und ersetzen keine Praxis. Das BSI zertifiziert keine Informationssicherheitsbeauftragten, sondern Auditteamleiter für ISO-27001-Audits auf der Basis von IT-Grundschutz; daneben stehen die Lehrgänge zum IT-Grundschutz. Managementzertifikate wie CISM und CISSP verlangen fünf Jahre Berufserfahrung und wiegen entsprechend mehr. Für den deutschen Markt ist der T.I.S.P. ein verbreiteter Nachweis.

Eine Verwechslung gehört ausdrücklich geklärt: Der Datenschutzbeauftragte ist nicht der Informationssicherheitsbeauftragte. Der Datenschutzbeauftragte ist eine Rolle aus den Artikeln 37 bis 39 DSGVO, ergänzt um § 38 BDSG; er schützt die Rechte betroffener Personen, ist weisungsfrei, genießt Abberufungsschutz und darf nicht benachteiligt werden. Der ISB schützt die Informationen der Organisation – alle, nicht nur personenbezogene – und schuldet sein Ergebnis der Leitung. Weil der ISB Maßnahmen mitgestaltet, die der Datenschutzbeauftragte kontrollieren soll, sehen Aufsichtsbehörden die Doppelrolle kritisch. In der Praxis wird sie trotzdem häufig in einer Person zusammengelegt; wer eine solche Stelle annimmt, sollte den Konflikt kennen und schriftlich geklärt haben.

Was der Beruf verlangt

Hartnäckigkeit ohne Rechthaberei. Sie werden Widerstand erleben, weil Sicherheit Aufwand ist, und Sie können nichts erzwingen. Wer daraus einen Kleinkrieg macht, verliert die Zusammenarbeit; wer aufgibt, verliert die Rolle. Dazu kommen viel Schriftlichkeit, ein fester Jahreslauf aus Audits und Managementbewertungen und die Notwendigkeit, technische Sachverhalte für Nichtfachleute zu übersetzen. Die Arbeitszeiten sind regulär, im Vorfall aber nicht.

Aussichten

Der Bedarf wächst stark. NIS2 verpflichtet einen viel größeren Kreis von Unternehmen als die bisherige KRITIS-Regulierung und verlangt ausdrücklich, dass die Leitung die Maßnahmen billigt und überwacht – dafür braucht sie eine Stelle, die vorbereitet. Viele Organisationen besetzen sie zum ersten Mal. Weiterwege führen in die Leitung der Informationssicherheit, in die Beratung und in Audit- und Prüfrollen.