Der Informationssicherheitsbeauftragte ist eine der 18 Rollen dieses Portals und mit 20 Anzeigen eine der gefragteren. Sie ist zugleich die Rolle, in der die größten Unterschiede zwischen zwei Häusern liegen: In dem einen ist sie eine Stabsstelle mit Zugang zur Geschäftsführung, in dem anderen ein Zusatz in der Stellenbeschreibung eines Administrators. Dieser Text beschreibt, was die Rolle ausmacht, wie man hineinkommt und worauf man vorher bestehen sollte.
Was die Rolle ist
Der ISB verantwortet nicht die Sicherheit, sondern das Verfahren, mit dem die Organisation sie herstellt und nachweist. Die Verantwortung für die Informationssicherheit bleibt bei der Leitung; der ISB bereitet vor, prüft, berichtet und berät. Die Rolle ist im IT-Grundschutz des BSI beschrieben und findet sich in jedem Managementsystem nach ISO/IEC 27001 in ähnlicher Form wieder – siehe ISO 27001.
Die typischen Aufgaben:
- die Sicherheitsleitlinie und die nachgeordneten Vorgaben erstellen und aktuell halten,
- den Geltungsbereich und die Informationswerte erfassen,
- Risiken beurteilen und die Behandlung mit den Verantwortlichen abstimmen,
- Maßnahmen nachverfolgen und ihre Wirksamkeit prüfen,
- Sensibilisierung und Schulungen organisieren,
- bei Änderungen und Beschaffungen beteiligt werden,
- Sicherheitsvorfälle bearbeiten oder ihre Bearbeitung begleiten,
- interne und externe Audits vorbereiten und begleiten,
- der Leitung regelmäßig berichten.
Wer das liest, erkennt: Der Anteil an Technik ist geringer, als der Titel vermuten lässt. Die Arbeit ist Abstimmung, Nachverfolgung und Schriftverkehr. Wer das nicht mag, sollte in eine Engineering-Rolle gehen – die Unterschiede stehen unter Rollen in der IT-Sicherheit und auf der Seite zum Informationssicherheitsbeauftragten.
Die Bestellung und das Mandat
Anders als der Datenschutzbeauftragte hat der ISB keine allgemeine gesetzliche Grundlage mit eigenem Kündigungsschutz; was er darf, steht in seiner Bestellung. Der Unterschied ist erheblich und wird ständig verwechselt – die Einzelheiten stehen unter Datenschutzbeauftragter oder ISB.
Daraus folgt eine Liste von Punkten, auf denen Sie vor der Übernahme bestehen sollten. Schriftlich, nicht als Zusage im Gespräch:
Ein direkter Berichtsweg zur Leitung, mit einem festen Rhythmus. Ohne ihn hängt Ihre Arbeit an der Bereitschaft eines Zwischenvorgesetzten, unbequeme Dinge weiterzugeben.
Ein Beteiligungsrecht. Sie müssen bei Änderungen, Beschaffungen und Projekten gehört werden, und zwar bevor entschieden ist. Ein ISB, der Vorhaben erst in der Abnahme sieht, ist ein Korrekturleser.
Ein Zeitbudget. Wenn die Rolle neben einer anderen Stelle ausgeübt wird, muss der Anteil benannt sein – in Stunden oder Prozent, mit der Zusage, dass er auch genommen werden darf.
Unabhängigkeit vom Betrieb. Wer den IT-Betrieb verantwortet und zugleich als ISB prüft, kontrolliert sich selbst. In kleinen Häusern ist das schwer zu vermeiden; dann gehören eine ausdrückliche Regelung und eine externe Prüfung dazu.
Budget oder ein Weg dorthin. Sensibilisierung, Werkzeuge, externe Prüfungen kosten Geld. Ohne Zugang zum Budget bleibt die Rolle eine Empfehlungsstelle.
Fortbildung. Die Rolle veraltet schnell, weil sich die Regulierung bewegt – siehe NIS2.
Die Fachkunde
Verlangt wird in Anzeigen regelmäßig eine Kombination aus drei Dingen: Kenntnis eines Regelwerks, Erfahrung mit IT-Betrieb und die Fähigkeit, mit Fachbereichen und Leitung zu sprechen.
Für die Regelwerksseite gibt es zwei übliche Wege. Der erste führt über ISO/IEC 27001 mit den zugehörigen Personenzertifizierungen für den Aufbau und die Auditierung von Managementsystemen. Der zweite führt über den IT-Grundschutz des BSI mit gestuften Schulungen bei anerkannten Anbietern; in Behörden, bei Betreibern kritischer Infrastruktur und deren Dienstleistern ist er verbreiteter. Wer in diesem Umfeld arbeiten will, nimmt den zweiten – siehe KRITIS und Nachweispflichten und, zur Einordnung der Zertifikate, Zertifikate im Vergleich.
Für die Managementseite kommt CISM in Betracht, in großen Häusern auch CISSP – siehe CISM und CISA und CISSP. Notwendig ist keines davon: In vielen Häusern wird die Rolle von jemandem übernommen, der aus dem Betrieb kommt und die Schulung danach macht.
Der Weg in die Rolle
Drei Wege sind üblich.
Aus dem IT-Betrieb. Der häufigste. Sie kennen die Systeme und müssen die Regelwerksseite nacharbeiten. Siehe Quereinstieg aus der Administration.
Aus dem Qualitätsmanagement oder der Revision. Sie kennen Managementsysteme, Audits und Nachweisführung und müssen die Technik nacharbeiten. Dieser Weg wird unterschätzt und funktioniert gut, wenn die technische Lücke ehrlich benannt und geschlossen wird.
Aus der Beratung. Sie haben es mehrfach bei Kunden aufgebaut und wechseln in die Linie. Der Vorteil ist Erfahrung mit verschiedenen Häusern, der Nachteil, dass Beratung an einem Tag endet und eine Linienrolle nicht.
Die ersten hundert Tage
Wer die Rolle übernimmt, hat eine erwartbare Reihenfolge vor sich, und sie hilft auch im Vorstellungsgespräch als Antwort:
- Bestandsaufnahme. Was gibt es an Vorgaben, was ist gelebt, welche Nachweise existieren, welche Pflichten treffen das Haus.
- Die Leitung einbinden. Ein Termin, in dem Sie den Stand darstellen und das Mandat bestätigen lassen. Dieser Termin ist die wichtigste Stunde des ersten Jahres.
- Geltungsbereich und Informationswerte. Ohne diese Grundlage ist jede Risikobewertung geraten.
- Die zwei bis drei größten Lücken schließen, bevor Sie an der Vollständigkeit arbeiten. Ein ISB, der im ersten Jahr ein vollständiges Regelwerk schreibt und keine einzige Maßnahme umsetzt, hat verloren.
- Meldewege festlegen und üben. Wer meldet was an wen, innerhalb welcher Frist.
- Einen Berichtsrhythmus etablieren. Kurz, regelmäßig, mit Zahlen.
Verantwortung und Haftung
Eine Frage, die vor der Übernahme regelmäßig gestellt wird: Wofür hafte ich? Die Verantwortung für die Informationssicherheit liegt bei der Leitung; der ISB berät und prüft. Für Beschäftigte gelten außerdem die allgemeinen Grundsätze der Arbeitnehmerhaftung, die die Haftung nach dem Grad des Verschuldens abstuft. Wer seine Feststellungen dokumentiert und Risiken schriftlich an die Leitung meldet, hat damit zugleich das Wichtigste getan, was ihn schützt: Er hat die Entscheidung dorthin gelegt, wo sie hingehört.
Deshalb ein praktischer Rat, der von erfahrenen Amtsinhabern immer wieder genannt wird: Führen Sie ein Verzeichnis der gemeldeten Risiken mit Datum, Adressat und Entscheidung. Es ist kein Misstrauensinstrument, sondern die Grundlage Ihrer Berichte – und es beantwortet im Zweifel die Frage, wer wann was wusste.
Wenn die Rolle neben einer anderen Stelle läuft
Der häufigste Fall in kleinen und mittleren Häusern: Sie sind Administrator, Projektleiter oder IT-Leiter und übernehmen die Beauftragtenrolle zusätzlich. Das ist nicht grundsätzlich falsch – aber es funktioniert nur mit vier Festlegungen.
Ein benanntes Zeitbudget. In Stunden je Woche, und mit der Zusage, dass diese Zeit nicht die erste ist, die im Tagesgeschäft entfällt. Ohne Zahl bleibt die Rolle das, was übrig ist.
Eine Prioritätsregel. Wer entscheidet, wenn Betriebsstörung und Sicherheitsaufgabe zusammenfallen? Diese Frage wird sich stellen, und sie sollte vorher beantwortet sein.
Eine Lösung für die Selbstprüfung. Wenn Sie den Betrieb verantworten, können Sie ihn nicht prüfen. Üblich und akzeptiert ist, dass ein externer Dienstleister die Prüfung übernimmt oder dass ein Kollege aus einem anderen Bereich sie durchführt – siehe ISO 27001.
Eine Vertretung. Urlaub und Krankheit halten sich nicht an Meldefristen.
Und eine Erwartung, die man aussprechen sollte: Mit zehn Prozent einer Arbeitszeit lässt sich ein Managementsystem betreiben, aber nicht aufbauen. Wer den Aufbau übernehmen soll, braucht für das erste Jahr deutlich mehr – oder Hilfe von außen. Diese Rechnung gehört in das Gespräch, nicht in das zweite Jahr.
Was die Rolle nicht ist
Sie ist keine technische Leitung. Sie ist auch kein Ersatz für ein Team: Ein ISB ohne Betrieb, ohne Zuarbeit und ohne Budget kann Zustände beschreiben und nichts ändern. Und sie ist nicht die Vorstufe zur Leitung – manche gehen diesen Weg, viele bleiben, weil ihnen die Arbeit liegt. Was der andere Weg verlangt, steht unter Der Weg in die Leitung. Welche Häuser die Rolle gerade ausschreiben, zeigen die offenen Stellenangebote und der Bereich Steuerung und Nachweis.
Wenden Sie das direkt an: Im Stellenmarkt stehen Anzeigen aus ganz Deutschland, und zu jedem Beruf finden Sie die Aufgaben und die üblichen Gehälter daneben.