Informationssicherheitsbeauftragter (ISB): Aufgaben, Rolle und Ausbildung

Der Informationssicherheitsbeauftragte (ISB) ist die Person, die im Unternehmen dafür sorgt, dass Informationssicherheit systematisch gesteuert wird: Er oder sie koordiniert das ISMS, berät die Leitung und behält Risiken, Maßnahmen und Vorfälle im Blick. Häufig heißt die Rolle auch CISO oder Information Security Officer.

Diese Seite erklärt, was die Rolle ausmacht, was ISO/IEC 27001 und der BSI IT-Grundschutz dazu verlangen und wie du dich für die Aufgabe qualifizierst. Den größeren Zusammenhang findest du in der Wissenswelt ISO 27001.

Der ISB verantwortet nicht die Sicherheit allein, sondern den Prozess, mit dem das Unternehmen sie herstellt und aufrechterhält. Typische Aufgaben sind:

• Informationssicherheit im Unternehmen fördern und den Sicherheitsprozess steuern und koordinieren
• Leitlinie und Richtlinien erarbeiten und aktuell halten
• Risiken erfassen und bewerten lassen und die Behandlung begleiten
• Sicherheitsvorfälle koordinieren und auswerten
• Schulung und Sensibilisierung der Beschäftigten anstoßen
• bei größeren Projekten und neuen Anwendungen früh beraten
• interne Audits und Zertifizierungen begleiten
• regelmäßig an die Leitung berichten

Das ist die Praxisbeschreibung. Die Aufgaben im Einzelnen legt jedes Unternehmen in seiner Rollenbeschreibung fest.

ISO/IEC 27001 schreibt keine Stelle mit dem Titel „ISB“ vor. Die Norm verlangt aber, dass die oberste Leitung Verantwortung und Befugnis für die relevanten Rollen zuweist und bekannt macht. Dazu gehört, dass jemand dafür zuständig ist, die Konformität des ISMS sicherzustellen und der obersten Leitung über dessen Leistung zu berichten (Klausel 5.3). In der Praxis übernimmt diese Aufgaben fast immer der ISB. Wer die Rolle ausübt, sollte außerdem nachweislich kompetent sein (Klausel 7.2).

Der BSI IT-Grundschutz wird konkreter. Im Baustein ISMS.1 „Sicherheitsmanagement“ des IT-Grundschutz-Kompendiums (Edition 2023) steht als Basis-Anforderung, dass die Institutionsleitung einen ISB benennt. Weitere Anforderungen:

• Der ISB fördert die Informationssicherheit und steuert und koordiniert den Sicherheitsprozess mit.
• Die Leitung stattet ihn mit angemessenen Ressourcen aus und ermöglicht ihm, bei Bedarf direkt an sie selbst zu berichten.
• Er wird bei größeren Projekten und der Einführung neuer Anwendungen und IT-Systeme frühzeitig beteiligt.
• Kann die Rolle nicht intern besetzt werden, bestellt die Leitung einen externen ISB; der Vertrag regelt Aufgaben, Rechte und Pflichten, Vertraulichkeit und eine geordnete Beendigung.
• Die Organisationsstruktur für Informationssicherheit definiert Rollen, qualifizierte Personen mit ausreichenden Ressourcen, Vertretungen und Kommunikationswege.

Mit Grundschutz++ wird die Methodik des BSI weiterentwickelt (siehe BSI IT-Grundschutz). Die genannten Anforderungen beziehen sich auf den bisherigen Stand des Kompendiums.

Auch im Zusammenhang mit NIS2 bleibt die Verantwortung bei der Leitung: Die Geschäftsleitung betroffener Unternehmen muss die Risikomanagementmaßnahmen umsetzen und überwachen und bleibt nach der Gesetzesbegründung auch bei Einschaltung von Hilfspersonen letztverantwortlich (§ 38 BSIG, mehr dazu unter NIS2-Schulung für die Geschäftsleitung). Der ISB ist die Person, die der Leitung diese Aufgabe fachlich ermöglicht.

Es muss keine neue Stelle entstehen. Je nach Größe nimmt eine Person die Rolle neben anderen Aufgaben wahr, oder ein externer ISB übernimmt sie, wie es auch der IT-Grundschutz vorsieht. Zwei Praxisregeln:

• Zeit und Vertretung: Plane ausreichend Zeit ein und benenne eine Vertretung. Eine Rolle, die nur auf dem Papier existiert, trägt in keinem Audit.
• Interessenkonflikte vermeiden: Wer Sicherheitsmaßnahmen umsetzt und gleichzeitig deren Wirksamkeit bewerten soll, hat einen Rollenkonflikt. Das ist eine Praxisempfehlung, kein Zitat aus einer der genannten Quellen. Besonders heikel ist die Personalunion mit der IT-Leitung.

Beide Rollen werden oft verwechselt. Der Datenschutzbeauftragte hat gesetzlich geregelte Aufgaben nach DSGVO und BDSG und überwacht den Schutz personenbezogener Daten. Der ISB schützt alle Informationen des Unternehmens, nicht nur personenbezogene, und baut das Sicherheitsmanagement auf. Beide arbeiten eng zusammen; ob eine Person beide Rollen übernehmen sollte, ist wegen möglicher Interessenkonflikte im Einzelfall zu prüfen. Mehr zur Datenschutzrolle findest du in der Wissenswelt Datenschutz.

Eine gesetzlich vorgeschriebene Ausbildung zum ISB kennen wir nicht. Entscheidend ist, dass du die Aufgabe fachlich ausfüllen kannst und das nachweisen kannst. Ein typischer Weg:

1. Grundlagen: Mit der Schulung ISO 27001 Foundation lernst du die Norm, das ISMS und Anhang A kennen.
2. Vertiefung zur Rolle: In der Schulung ISO 27001 Chief Information Security Officer baust du ein ISMS verantwortlich auf und steuerst es: Risikomanagement, Maßnahmen aus Anhang A, internes Audit, Managementbewertung und Incident Management. Vier Tage live online, mit Online-Prüfung zum Zertifikat „ISO 27001 CISO“.
3. Alternativ oder ergänzend: Wer nach dem IT-Grundschutz des BSI arbeitet, besucht die Schulungen zum IT-Grundschutz-Praktiker und -Berater (siehe BSI IT-Grundschutz).
4. Praxis: Der größte Teil entsteht im Betrieb: Risikoanalyse, Audits, Vorfälle, Gespräche mit Leitung und Fachbereichen.

Hinweis: Dieser Überblick dient der Orientierung und ersetzt keine Rechtsberatung. Stand: Oktober 2026.

Stand: Oktober 2026. Wir stützen uns vorrangig auf Primärquellen:

• BSI: IT-Grundschutz-Kompendium, Baustein ISMS.1 Sicherheitsmanagement, Edition 2023 (Anforderungen ISMS.1.A4 bis A6)
• ISO/IEC 27001:2022, Informationssicherheits-Managementsysteme, ISO-Katalog
• BSIG § 38 Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen
• Gesetzentwurf der Bundesregierung, Bundestags-Drucksache 21/1501 (Begründung zu § 38)