ISMS ohne Security-Team einführen: Rollen, Aufwand, Tools

Ein ISMS verlangt mindestens eine benannte Person, kein Security-Team: So steht es im BSI IT-Grundschutz, und ISO/IEC 27001 fordert zugewiesene Verantwortlichkeiten statt einer Planstelle. Was eine einzelne Person nicht halten darf, ist die Prüfung der eigenen Arbeit. Dieser Leitfaden von KaitoSec sortiert Rollen, Aufwand und Werkzeug entlang dieser Grenze. Wer noch beim „Ob“ steht, klärt die Betroffenheit unter ISMS im Mittelstand.

Welche Rollen muss ein ISMS mindestens besetzen?

BSI-Standard 200-1 verlangt in Kapitel 7.2 personell genau drei Dinge: Die Leitungsebene behält die Gesamtverantwortung, mindestens eine Person wird benannt, die den Informationssicherheitsprozess fördert und koordiniert, und alle Beschäftigten bleiben für den eigenen Arbeitsplatz mitverantwortlich. Ein Security-Team steht in keiner der drei Grundregeln, und ISO/IEC 27001 nennt überhaupt keine Stellenbezeichnung.

In den Gesprächen, die KaitoSec mit Mittelständlern und öffentlichen Auftraggebern führt, beginnt die Rollenfrage fast immer bei einer Stellenausschreibung. BSI-Standard 200-1 beginnt bei drei Grundregeln:

„1. Die Gesamtverantwortung für die Informationssicherheit verbleibt bei der Leitungsebene. 2. Es muss mindestens eine Person benannt werden, die den Informationssicherheitsprozess fördert und koordiniert, typischerweise als Informationssicherheitsbeauftragter (ISB). 3. Jeder Mitarbeiter ist gleichermaßen für seine originäre Aufgabe wie für die Aufrechterhaltung der Informationssicherheit an seinem Arbeitsplatz und in seiner Umgebung verantwortlich.“

Aus der zweiten Grundregel wird in der Praxis oft eine CISO-Planstelle. BSI-Standard 200-2 räumt das in Kapitel 4.4 selbst aus:

„Die Rolle des Verantwortlichen für Informationssicherheit wird je nach Art und Ausrichtung der Institution anders genannt. Häufige Titel sind neben dem Informationssicherheitsbeauftragten auch Chief Information Security Officer (CISO) oder Informationssicherheitsmanager (ISM).“

ISO/IEC 27001:2022 nennt an keiner Stelle einen CISO oder Informationssicherheitsbeauftragten. Klausel 5.3 „Rollen, Verantwortlichkeiten und Befugnisse in der Organisation“ verlangt von der obersten Leitung, Verantwortlichkeiten und Befugnisse für Rollen zuzuweisen und zu kommunizieren, und vergibt zwei konkrete Verantwortungen: die Konformität des ISMS sicherstellen und an die oberste Leitung berichten.

Auch kein Control in Anhang A benennt eine Funktionsbezeichnung. A.5.2 spricht von Rollen und Verantwortlichkeiten, nicht von Stellen. Die Pflicht zu einem Informationssicherheitsbeauftragten kommt, wo sie besteht, aus BSI IT-Grundschutz, aus branchenspezifischen Vorgaben oder aus Vertragsanforderungen, nicht aus ISO/IEC 27001.

Delegierbar ist die Aufgabe, nicht die Verantwortung: Nach BSI-Standard 200-2, Kapitel 2.3 verbleibt sie in jedem Fall bei der obersten Managementebene, während die Aufgabe an einen Beauftragten wandert. Wie KaitoSec diese Rolle im Alltag abbildet, zeigt die Rollensicht für ISB und CISO.

Welche Rollen fordern ISO 27001, BSI IT-Grundschutz und § 38 BSIG im Einzelnen?

Die Rollenanforderungen stehen in vier Dokumenten und keines davon fordert eine Planstelle. BSI-Standard 200-1 verlangt mindestens eine benannte Person, ISO/IEC 27001 verlangt zugewiesene und kommunizierte Verantwortlichkeiten, § 38 BSIG adressiert ausschließlich die Geschäftsleitung. Die Verbindlichkeit ist dabei gestuft: das BSIG gilt als Gesetz, ISO/IEC 27001 bei angestrebter Zertifizierung, die BSI-Standards als Methodik mit „muss“ und „sollte“.

Die vier Dokumente sind die BSI-Standards 200-1 und 200-2 des IT-Grundschutzes, die Norm ISO/IEC 27001 und § 38 BSIG. In den BSI-Standards bedeutet „muss“ eine Anforderung und „sollte“ eine Empfehlung, von der begründet abgewichen werden kann; die Matrix übernimmt diese Abstufung überall dort, wo die Quelle sie ausdrücklich trifft. Die 26 Punkte sind in sieben Blöcke sortiert: Leitung und Haftung, die benannte Rolle, alle Beschäftigten, Unabhängigkeit der Prüfung, Personalunion, externe Besetzung sowie ISO-Klauseln und Controls.

1. Die Leitungsebene trägt die Gesamtverantwortung für Informationssicherheit und kann sie nicht delegieren (BSI-Standard 200-2, Kapitel 2.3).
2. Die Leitungsebene initiiert, steuert und kontrolliert den Sicherheitsprozess (BSI-Standard 200-2, Kapitel 2.2).
3. Geschäftsleitungen betroffener Einrichtungen müssen Risikomanagementmaßnahmen nach § 30 umsetzen und überwachen (§ 38 Absatz 1 BSIG).
4. Geschäftsleitungen haften ihrer Einrichtung für schuldhaft verursachte Schäden aus Pflichtverletzungen (§ 38 Absatz 2 BSIG).
5. Geschäftsleitungen müssen regelmäßig an Schulungen zu Risikoerkennung und Risikomanagementpraktiken teilnehmen (§ 38 Absatz 3 BSIG).
6. Die Leitungsebene muss ausreichende Ressourcen an Personal, Zeit und Finanzmitteln bereitstellen (BSI-Standard 200-2, Kapitel 3.1).
7. Mindestens eine Person ist zu benennen, die den Informationssicherheitsprozess fördert und koordiniert (BSI-Standard 200-1, Kapitel 7.2).
8. Die Rolle heißt ISB, CISO oder Informationssicherheitsmanager und meint dieselbe Aufgabe (BSI-Standard 200-2, Kapitel 4.4).
9. Auch der Informationssicherheitsbeauftragte benötigt einen qualifizierten Vertreter (BSI-Standard 200-2, Kapitel 4.4).
10. Der Informationssicherheitsbeauftragte muss direktes und jederzeitiges Vorspracherecht bei der Leitung haben (BSI-Standard 200-2, Kapitel 4.4).
11. Der Informationssicherheitsbeauftragte sollte als Stabsstelle sitzen, nicht in der IT-Abteilung (BSI-Standard 200-2, Kapitel 4.4).
12. Das kleinstmögliche IS-Management-Team besteht aus dem Informationssicherheitsbeauftragten und seinem Stellvertreter (BSI-Standard 200-2, Kapitel 4.5).
13. Alle Beschäftigten sind für Informationssicherheit am eigenen Arbeitsplatz mitverantwortlich (BSI-Standard 200-1, Kapitel 7.2).
14. Kontrollierende sollten nichts überprüfen, was sie selbst konzeptioniert haben (BSI-Standard 200-2, Kapitel 4.10 und 10.3).
15. Fehlen interne Ressourcen für Prüfungen, sollten externe Experten damit beauftragt werden (BSI-Standard 200-1, Kapitel 8.3).
16. Kleine Institutionen haben niedrigere Prüfanforderungen als große und können sie gut erfüllen (BSI-Standard 200-1, Kapitel 8.3).
17. Die Rolle des Notfallbeauftragten darf der Informationssicherheitsbeauftragte zusätzlich übernehmen (BSI-Standard 200-2, Kapitel 4.10).
18. Informationssicherheits- und Datenschutzbeauftragter schließen sich nicht grundsätzlich aus (BSI-Standard 200-2, Kapitel 4.4).
19. Wer aktiv administriert, sollte die ISB-Rolle wegen Interessenkonflikten nicht zusätzlich tragen (BSI-Standard 200-2, Kapitel 4.4).
20. Revisor und Auditor lassen sich nicht ohne Weiteres mit dem Sicherheitsmanagement kombinieren (BSI-Standard 200-2, Kapitel 4.10).
21. Kann die ISB-Rolle nicht intern besetzt werden, müssen qualifizierte Externe beauftragt werden (BSI-Standard 200-2, Kapitel 4.11).
22. ISO/IEC 27001 Klausel 5.3 verlangt zugewiesene und kommunizierte Verantwortlichkeiten, keine benannte Stelle.
23. Die oberste Leitung vergibt zwei Verantwortungen: ISMS-Konformität sichern und an sie berichten (ISO/IEC 27001, Klausel 5.3).
24. ISO/IEC 27001 Klausel 7.1 verlangt, die nötigen Ressourcen zu bestimmen und bereitzustellen.
25. Das Control A.5.2 regelt Rollen und Verantwortlichkeiten für Informationssicherheit (ISO/IEC 27001, Anhang A).
26. Das Control A.5.3 regelt die Trennung widerstreitender Aufgaben und Verantwortungsbereiche (ISO/IEC 27001, Anhang A).

Die Matrix beantwortet die Rollenfrage, nicht die Vorfragen. Ob § 38 BSIG eine Einrichtung überhaupt erfasst, entscheidet sich an Größe und Sektor. Und wie viele dieser Pflichten praktisch anfallen, hängt daran, welche Bereiche, Standorte und Prozesse das ISMS umfasst; wie Sie den Geltungsbereich abgrenzen, steht in ISMS-Scope richtig festlegen. KaitoSec führt diese Rollen- und Verantwortungszuordnung als Datensatz, damit sie im Audit nachweisbar ist.

Darf der IT-Leiter gleichzeitig Informationssicherheitsbeauftragter sein?

Ja, aber nicht, wenn er aktiv administriert. BSI-Standard 200-2 lässt Personalunion in Kapitel 4.10 ausdrücklich zu und nennt drei vorab zu klärende Aspekte: definierte Schnittstellen, eine benannte Instanz für Konfliktfälle und ausreichende Ressourcen für alle Rollen. Kapitel 4.4 nennt die Kombination aus aktiver Administration und ISB-Rolle dagegen problematisch, weil Interessenkonflikte absehbar sind.

Im Wortlaut sind das:

1. Die Schnittstellen zwischen ISB-Rolle und weiterer Rolle sollten klar definiert und dokumentiert werden.
2. Für konfliktträchtige Themen sollte eine klärende Instanz benannt sein, etwa die Innenrevision.
3. Personen mit mehreren Rollen müssen ausreichend qualifiziert sein und genügend Ressourcen haben.

Mit dem Notfallbeauftragten schließt sich die ISB-Rolle nach Kapitel 4.10 nicht grundsätzlich aus, mit dem Datenschutzbeauftragten nach Kapitel 4.4. Ob die Kombination trägt, entscheiden Größe und Ausrichtung der Institution, IT-Durchdringung der Geschäftsprozesse und Ausprägung des Sicherheitsmanagements.

Der häufigste Vorschlag im Mittelstand ist zugleich der schwierigste: Der IT-Leiter administriert selbst und soll die ISB-Rolle mitnehmen. BSI-Standard 200-2 hält dazu fest:

„Es ist z. B. problematisch, wenn ein ‚aktiver‘ Administrator die Rolle des Informationssicherheitsbeauftragten zusätzlich zu seinen normalen Aufgaben wahrnimmt, da es mit hoher Wahrscheinlichkeit zu Interessenkonflikten kommen wird.“

Der Konflikt ist alltäglich: Wer Patchstände, Berechtigungen und Firewall-Regeln selbst verantwortet, bewertet als Informationssicherheitsbeauftragter die eigene Arbeit und meldet eigene Versäumnisse an die Leitung. Dieselbe Person entscheidet dann, ob der Betrieb weiterläuft oder der Sicherheitsbefund gewinnt. Deshalb gilt nach Kapitel 4.4 auch:

„Der Informationssicherheitsbeauftragte sollte nicht organisatorisch der IT-Abteilung zugeordnet sein.“

„Problematisch“ und „sollte nicht“ sind keine Verbote. BSI-Standard 200-2 lässt eine Abweichung zu, verlangt aber, dass sie sorgfältig abgewogen und stichhaltig begründet wird.

Vor jeder Personalunion steht ohnehin eine andere Pflicht: Auch der Informationssicherheitsbeauftragte braucht nach Kapitel 4.4 einen qualifizierten Vertreter. In einer Ein-Personen-Lösung ist das der erste echte Engpass, nicht die ISB-Rolle selbst.

Wer darf das interne Audit durchführen, wenn nur eine Person das ISMS betreut?

Prüfen darf, wer die geprüften Konzepte nicht selbst erstellt hat. BSI-Standard 200-2 verlangt in Kapitel 10.3 Kompetenz und Unabhängigkeit der prüfenden Personen und empfiehlt, dass Kontrollierende nichts überprüfen, was sie selbst konzeptioniert haben. In einem Ein-Personen-ISMS bleiben damit drei Wege: der qualifizierte Vertreter, eine andere interne Person oder externe Prüfung.

BSI-Standard 200-2 formuliert in Kapitel 10.3:

„Die Überprüfungen zu den einzelnen Themen müssen von geeigneten Personen durchgeführt werden, die die notwendige Kompetenz und Unabhängigkeit gewährleisten können. Vollständigkeits- und Plausibilitätskontrollen sollten nicht durch die Ersteller der Konzepte vollzogen werden.“

„Sollten nicht“ ist eine Empfehlung und lässt eine begründete Abweichung zu. Gangbar sind drei Wege:

1. Der qualifizierte Vertreter des Informationssicherheitsbeauftragten prüft die Konzepte, an denen er nicht mitgeschrieben hat.
2. Eine andere interne Person ohne Konzepturheberschaft übernimmt Vollständigkeits- und Plausibilitätskontrollen für den geprüften Bereich.
3. Für Bereiche, die eine Person allein konzipiert hat, übernimmt eine externe Prüfung die Kontrolle.

ISO/IEC 27001:2022 regelt das interne Audit in Klausel 9.2 und verlangt ein Auditprogramm, das Objektivität und Unparteilichkeit sicherstellt. Ein festes Intervall nennt die Norm nicht, sondern geplante Abstände.

Der Prüfaufwand skaliert mit der Größe des Informationsverbunds. BSI-Standard 200-1 nennt in Kapitel 8.3 ein Minimalpaket, das in kleinen Institutionen genügen kann:

„Ein jährlicher technischer Check von IT-Systemen, eine Durchsicht vorhandener Dokumentationen, um die Aktualität zu prüfen, und ein Workshop, bei dem Probleme und Erfahrungen mit dem Sicherheitskonzept besprochen werden, können unter Umständen in kleinen Institutionen schon ausreichend sein.“

„Jährlich“ gilt dabei für den technischen Check, nicht für das gesamte interne Audit. KaitoSec bietet das interne Audit als Beratungsleistung an, die Detailtiefe liefert das interne Audit nach ISO 27001.

Welche Pflichten der Geschäftsleitung lassen sich nicht delegieren?

§ 38 BSIG verpflichtet Geschäftsleitungen persönlich zu drei Dingen: Risikomanagementmaßnahmen nach § 30 umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzung haften sie der eigenen Einrichtung nach dem anwendbaren Gesellschaftsrecht. Die Pflicht trifft ausschließlich besonders wichtige und wichtige Einrichtungen im Sinne des BSIG, nicht jedes mittelständische Unternehmen.

Amtlich trägt die Vorschrift die Überschrift „Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen“. Der Wortlaut:

„(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. (2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. […] (3) Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen […]“

Weder die Schulungsteilnahme aus Absatz 3 noch die Überwachungspflicht aus Absatz 1 lässt sich an die benannte Rolle weiterreichen. Gesetz und BSI-Standards kommen damit am selben Punkt heraus: Die operative Aufgabe wandert zur benannten Rolle, die Verantwortung bleibt an der Spitze.

§ 38 Absatz 1 BSIG verweist auf § 30 Absatz 2 BSIG, und dort stehen zehn Maßnahmenkategorien, darunter die Bewältigung von Sicherheitsvorfällen und die Sicherheit in der Lieferkette. Betroffen sind nach dem Gesetzentwurf der Bundesregierung rund 8.250 besonders wichtige und 21.600 wichtige Einrichtungen aus der Wirtschaft (BT-Drucksache 21/1501, S. 109 ff.). Ob eine einzelne Einrichtung dazugehört, klären der NIS2-Checker und Brauche ich ein ISMS für NIS2?.

Wie viel Arbeitszeit verlangt ein ISMS pro Jahr?

Der Gesetzentwurf der Bundesregierung schätzt den jährlichen Erfüllungsaufwand einer wichtigen Einrichtung auf rund 1.100 Arbeitsstunden plus 24.300 Euro Sachkosten. Das ist eine Schätzung für alle Risikomanagementmaßnahmen nach § 30 BSIG, nicht nur für den ISMS-Betrieb, und es ist die einzige amtliche Größenordnung, die es gibt.

Die BT-Drucksache 21/1501 rechnet daneben mit 2.752 Arbeitsstunden jährlich je besonders wichtiger Einrichtung, einem mittleren Lohnsatz von 56,08 Euro pro Stunde und Sachkosten von 60.700 beziehungsweise 24.300 Euro je Fall. Die Zahl gilt für NIS2-betroffene Einrichtungen unabhängig davon, ob dort ein Security-Team arbeitet. Eine Umrechnung auf Stellenanteile gibt das Dokument nicht her.

Wiederkehrend ist ein Jahreszyklus, den auch ein Werkzeug nicht abschafft:

1. Das interne Audit prüft in geplanten Abständen, ob die festgelegten Maßnahmen wirksam sind.
2. Die Managementbewertung legt der Leitungsebene Ergebnisse, Abweichungen und Entscheidungsbedarf zur Freigabe vor.
3. Die Risikobewertung wird aktualisiert, sobald sich Prozesse, Systeme oder Bedrohungslage verändern.
4. Schulung und Sensibilisierung erreichen alle Beschäftigten und werden nachweisbar dokumentiert.

Davon zu trennen ist der einmalige Aufbau. Er läuft als Abfolge, in der jeder Schritt auf dem Ergebnis des vorherigen aufsetzt:

1. Die Bestandsaufnahme vergleicht den Ist-Zustand mit den Anforderungen der Zielnorm.
2. Die Scope-Festlegung bestimmt, welche Bereiche, Standorte und Systeme das ISMS umfasst.
3. Die Risikobewertung erfasst die Risiken im festgelegten Geltungsbereich und priorisiert den Handlungsbedarf.
4. Maßnahmen und Nachweise werden umgesetzt, dokumentiert und den jeweiligen Anforderungen zugeordnet.
5. Internes Audit und Managementbewertung überführen den Aufbau anschließend in den Jahreszyklus.

Den größten Hebel nennt BSI-Standard 200-2 selbst: die Basis-Absicherung, ein Einstieg für Institutionen, „die noch am Anfang ihres Sicherheitsprozesses stehen“. Kapitel 3.3.5 stellt Vor- und Nachteile gegenüber:

„Der Aufwand ist verhältnismäßig niedrig. Dadurch ist ein schneller Einstieg in die Informationssicherheit möglich. […] Eine Zertifizierung nach ISO 27001 ist auf dieser Basis nicht möglich.“

Wer ein Zertifikat braucht, muss von Anfang an höher ansetzen. Für alle anderen ist die Basis-Absicherung ein ausdrücklich vorgesehener Einstieg.

Die Softwarekosten ordnen sich daneben ein: KaitoSec nennt auf der Preisseite bei jährlicher Abrechnung ab 240 Euro im Monat für Standard, ab 575 Euro für Professional und 29 Euro je zusätzlichem Benutzer und Monat; was ISMS-Software kostet, ordnet diese Größen ein.

Was übernimmt ein ISMS-Werkzeug und was bleibt zwingend Aufgabe eines Menschen?

Ein ISMS-Werkzeug übernimmt Registerpflege, Fristen, Nachweisverknüpfung und Berichte. Es übernimmt keine der fünf Pflichten, die die Normen an eine Person binden: Benennung, Vorspracherecht, Risikoentscheidung, unabhängige Prüfung und die Schulungsteilnahme der Geschäftsleitung nach § 38 Absatz 3 BSIG. Diese fünf Pflichten lassen sich an keine Software abgeben.

Im Einzelnen:

1. Die Benennung der verantwortlichen Person trifft die Leitungsebene selbst (BSI-Standard 200-2, Kapitel 3.1).
2. Kein Werkzeug hat ein Vorspracherecht bei der Leitung, der Informationssicherheitsbeauftragte braucht es (BSI-Standard 200-2, Kapitel 4.4).
3. Die Risikoentscheidung trifft die Geschäftsleitung, die deren Umsetzung auch überwachen muss (§ 38 Absatz 1 BSIG).
4. Ein Werkzeug prüft sich nicht selbst; Prüfung verlangt kompetente, unabhängige Personen (BSI-Standard 200-2, Kapitel 10.3).
5. An Schulungen teilnehmen müssen die Geschäftsleitungen persönlich, nicht deren Software (§ 38 Absatz 3 BSIG).

Was übrig bleibt, ist Wiederholungsarbeit, und dort trägt ein Werkzeug tatsächlich. Eine Maßnahme wird einmal gepflegt und für mehrere Rahmenwerke als Nachweis verknüpft, statt für jede Prüfung neu zusammengesucht zu werden (Compliance-Mapping). Richtlinien laufen mit Geltungsbereich, Freigabe und Review-Datum statt als Dateiliste im Laufwerk (Richtlinienmanagement). Wiedervorlagen und Verantwortliche hängen an der Maßnahme selbst.

Je weniger Personen ein ISMS tragen, desto mehr hängt an der Nachvollziehbarkeit. Wer Informationssicherheitsbeauftragter, Datenschutzbeauftragter und Notfallbeauftragter zugleich ist, muss die Schnittstellen zwischen diesen Rollen belegen können, mit Datum und Freigabe. KaitoSec verknüpft die Rollenzuordnung deshalb mit den Maßnahmen, damit im Audit sichtbar bleibt, wer was entschieden hat.

Ein Werkzeug verlagert die Zeit, die das ISMS kostet. BSI-Standard 200-2 verlangt von der Leitungsebene ausreichende Ressourcen an Personal, Zeit und Finanzmitteln, und ISO/IEC 27001 formuliert dieselbe Pflicht in Klausel 7.1 (englische Originalfassung):

„The organization shall determine and provide the resources needed for the establishment, implementation, maintenance and continual improvement of the information security management system.“

Keine der beiden Quellen nennt Stellenanteile, Budgethöhe oder eine eigene Sicherheitsabteilung. Beide verlangen, dass die benannte Person die Zeit für die Aufgabe wirklich hat.

Was tun, wenn die ISB-Rolle intern nicht zu besetzen ist?

BSI-Standard 200-2 sieht die externe Besetzung ausdrücklich vor: Können wesentliche Rollen wie der Informationssicherheitsbeauftragte nicht durch interne Mitarbeitende wahrgenommen werden, müssen qualifizierte Externe beauftragt werden. Für kleine Unternehmen und Behörden nennt der Standard den externen ISB ausdrücklich als zweckmäßige Lösung. KaitoSec bietet diese Rolle als vCISO-Retainer ab 576 Euro im Monat an.

„Wenn wesentliche Rollen wie der ISB nicht durch interne Mitarbeiter wahrgenommen werden können, müssen hierfür qualifizierte Externe beauftragt werden. […] Insbesondere in kleinen Unternehmen oder Behörden kann es unter Umständen zweckmäßig sein, die Rolle des Informationssicherheitsbeauftragten nicht durch einen eigenen Mitarbeiter zu besetzen, sondern hierfür auf die Dienstleistung eines externen ISB zurückzugreifen.“

Die externe Besetzung ist damit kein Notbehelf, sondern der vom Standard vorgesehene Weg. Begründet wird er damit, dass internen Sicherheitsexperten in der Praxis häufig die Zeit fehlt, alle sicherheitsrelevanten Einflussfaktoren zu analysieren. Das Hinzuziehen Externer ist zu dokumentieren, damit die Leitungsebene die erforderlichen Ressourcen bereitstellt.

Die Grenze verläuft bei der Verantwortung. Ein externer Informationssicherheitsbeauftragter übernimmt die operative Arbeit, nicht die Pflichten der Geschäftsleitung aus § 38 BSIG. Diese Pflichten bleiben persönlich, unabhängig davon, wer die Rolle ausfüllt.

Eine benannte interne Ansprechperson bleibt trotzdem nötig, weil auch ein externer Informationssicherheitsbeauftragter einen qualifizierten Vertreter braucht. Für punktuelle Arbeit statt einer laufenden Rolle beginnt ein Beratungstag remote bei 1.150 Euro.

KaitoSec hält auf der eigenen Preisseite fest, dass sich die Plattform auch ohne Beratung betreiben lässt. Die externe Rolle ist damit eine Option, keine Bedingung. Wer die eigene Rollenverteilung gegen die Matrix aus diesem Artikel halten möchte, kann das in einem Demo-Gespräch durchgehen.

Häufig gestellte Fragen zu ISMS-Rollen ohne eigenes Security-Team

Braucht ein Unternehmen ohne Security-Team einen CISO?

Nein. BSI-Standard 200-1 verlangt in Kapitel 7.2 mindestens eine benannte Person, die den Informationssicherheitsprozess fördert und koordiniert. CISO, Informationssicherheitsbeauftragter und Informationssicherheitsmanager sind laut BSI-Standard 200-2 Bezeichnungen derselben Rolle, keine drei Stellen. Eine Pflicht zum benannten Beauftragten entsteht aus dem BSI IT-Grundschutz oder aus Vertrags- und Ausschreibungsanforderungen, nicht aus ISO/IEC 27001.

Ab welcher Größe reicht eine Person für das ISMS nicht mehr aus?

Die BSI-Standards nennen keine Beschäftigtenzahl als Schwelle. Laut BSI-Standard 200-2, Kapitel 4.5, hängt die Ausprägung des IS-Management-Teams von Größe, angestrebtem Sicherheitsniveau und vorhandenen Ressourcen ab; im Extremfall besteht das Team aus zwei Personen, dem Informationssicherheitsbeauftragten und seinem Stellvertreter. Der praktische Engpass ist deshalb selten die ISB-Rolle selbst, sondern die Vertretung und die Prüfung.

Kann der Datenschutzbeauftragte die ISB-Rolle mitübernehmen?

Ja. BSI-Standard 200-2 hält in Kapitel 4.4 fest, dass beide Rollen sich nicht grundsätzlich ausschließen. Klar definierte Schnittstellen und beidseitige direkte Berichtswege zur Leitungsebene sollten vorliegen; sichergestellt sein muss, dass genügend freie Ressourcen für beide Aufgaben da sind. Für konfliktträchtige Themen regt BSI-Standard 200-2 zusätzlich an zu prüfen, ob sie nachrichtlich an die Revision gehen sollten.

Muss das interne Audit von einer externen Person durchgeführt werden?

Nicht zwingend extern, aber unabhängig von der geprüften Arbeit. BSI-Standard 200-2 hält in Kapitel 10.3 fest, dass Vollständigkeits- und Plausibilitätskontrollen nicht durch die Ersteller der Konzepte vollzogen werden sollten. Wo eine Person das ISMS allein aufgebaut hat, bleiben drei Wege: der qualifizierte Vertreter, eine andere interne Person ohne Konzepturheberschaft oder eine externe Prüfung.

Welche Pflichten kann die Geschäftsführung an einen externen ISB abgeben?

Die operative Arbeit, nicht die Verantwortung. § 38 BSIG verpflichtet Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen persönlich dazu, die Risikomanagementmaßnahmen nach § 30 umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Bei Pflichtverletzung haften sie der eigenen Einrichtung nach dem anwendbaren Gesellschaftsrecht. Ein externer ISB ändert an dieser persönlichen Pflicht nichts.

Wie viel Arbeitszeit kostet der Betrieb eines ISMS pro Jahr?

Die einzige amtliche Größenordnung stammt aus dem Gesetzentwurf zur NIS2-Umsetzung: rund 1.100 Arbeitsstunden jährlich für eine wichtige und rund 2.752 Stunden für eine besonders wichtige Einrichtung. Die Zahl ist eine Schätzung im Gesetzgebungsverfahren, keine Messung, deckt alle zehn Maßnahmenkategorien nach § 30 Absatz 2 BSIG ab und gilt für NIS2-betroffene Einrichtungen.