Von Markus Groß auf Mittwoch, 12. Juni 2024
Kategorie: IT

Der ISB erklärt – Zwischen Feuerwehr und Architekt

W

er sich mit Informationssicherheit beschäftigt, stößt früher oder später auf die Rolle des Informationssicherheitsbeauftragten (ISB). In vielen Unternehmen ist diese Position gesetzlich oder regulatorisch vorgeschrieben, in anderen wird sie freiwillig geschaffen, um dem Thema einen festen Platz zu geben. Der ISB ist dabei ein merkwürdiges Zwitterwesen: Er ist weder reiner Technikexperte noch bloßer Verwalter von Richtlinien. Er ist Übersetzer zwischen Welten, Vermittler zwischen Geschäftsleitung und IT, Wächter über Regeln – und manchmal auch Feuerwehrmann, wenn etwas brennt. Gleichzeitig ist er Architekt, der langfristige Strukturen entwirft, um das Haus der Informationssicherheit stabil und zukunftsfähig zu machen. Genau diese Doppelrolle macht die Funktion anspruchsvoll – und für den Unternehmenserfolg essenziell.

Auftrag, Mandat und rechtlicher Rahmen: Wofür der ISB wirklich verantwortlich ist

Der ISB ist kein „nice to have“, sondern Träger eines klaren Auftrags. Je nach Branche und Größe des Unternehmens ergibt sich dieser aus Normen, Gesetzen und Aufsichtsanforderungen. In Deutschland sind vor allem ISO/IEC 27001, der BSI IT-Grundschutz sowie aufsichtsrechtliche Leitlinien relevant (z. B. BAIT für Banken, VAIT für Versicherungen, KAIT für Kapitalverwaltungsgesellschaften). Hinzu kommen horizontale Anforderungen wie NIS2 (Sicherheits- und Meldepflichten für wichtige/besonders wichtige Einrichtungen), DORA (Resilienz im Finanzsektor), DSGVO (TOMs, 72-Stunden-Meldepflicht bei Datenschutzvorfällen) und – je nach Geschäftsmodell – branchenspezifische Rahmenwerke wie TISAX (Automotive) oder IEC 62443 (OT/Industrie).

Aus diesem Flickenteppich entsteht ein konsistentes Mandat: Der ISB gestaltet und überwacht ein Informationssicherheits-Managementsystem (ISMS), das Risiken systematisch steuert, geeignete Maßnahmen definiert und deren Wirksamkeit nachweist. Er berät die Geschäftsleitung, erstellt Berichte, koordiniert Audits, definiert Standards und begleitet deren Einführung. Wichtig: Der ISB ist die zweite Verteidigungslinie – er steuert und kontrolliert, führt aber die operative IT nicht selbst. Diese Trennung der Verantwortlichkeiten ist Kern moderner Governance.

Rollenabgrenzung: ISB, CISO, DSB, IT-Leitung und die „Three Lines of Defense“

Verantwortung wird missverständlich, wenn Rollen unklar sind. Darum lohnt ein präziser Blick:

Leitplanke: Der ISB sollte nicht dem zu prüfenden Bereich (z. B. direkt dem CIO) unterstellt sein, sondern eine funktionale Berichtslinie zur Geschäftsleitung oder – noch besser – zum Vorstand/Geschäftsführer haben. Nur so kann er Interessenkonflikte proaktiv adressieren.

Governance & Berichtslinien: Wie der ISB Wirkung entfaltet

Ohne Rückhalt von oben bleibt der ISB Mahner in der Wüste. Ein wirksames Setup umfasst:

Kompetenzprofil: Technik, Recht, Business – und vor allem Kommunikation

Der ISB braucht Breite und Tiefe:

Zertifizierungen sind kein Muss, aber oft hilfreich: ISO/IEC 27001 Lead Implementer/Lead Auditor, IT-Grundschutz-Praktiker/Auditor, CISSP/CISM, CCSP (Cloud), CRISC (IT-Risk), ISO 22301 (BCM). Entscheidend bleibt die Fähigkeit, Theorie in wirksame Praxis zu drehen.

Feuerwehrmodus: Wenn es brennt – und wie der ISB vorbereitet

Die Feuerwehr-Analogie passt, sobald ein Vorfall eskaliert. Dann zählt Struktur:

  1. Erstmeldung & Triage: Schweregrad, Scope, betroffene Assets/Standorte, potenzielle Rechtsfolgen (DSGVO, NIS2, vertragliche SLAs).
  2. Stab & Rollen: Incident Manager (operativ), ISB (Governance, Regulatorik, Management-Briefing), DSB/Legal (Datenschutz/Meldungen), PR/HR (Kommunikation), IT/SOC/Forensik (Behebung/Beweise).
  3. Sofortmaßnahmen: Eindämmung (Containment), Protektion von Beweismitteln (Forensik-Sicherung), Notbetrieb (BC/DR), Passwort-/Token-Rotation, Isolierung kompromittierter Konten/Netzsegmente.
  4. Meldeprozesse:
    • NIS2: 24 h Frühwarnung, 72 h Zwischenbericht, Abschlussbericht (30 Tage).
    • DSGVO: 72 h Meldung an Aufsichtsbehörde bei Risiko für Betroffene; Benachrichtigung der Betroffenen je nach Schweregrad.
    • Vertraglich: Kunden/Partner gemäß SLA/AVV.
  5. Kommunikation: Ein Lagebild, eine Stimme. Konsistente, faktenbasierte Updates; keine Spekulation.
  6. Lessons Learned: Nach Stabilisierung Post-Incident-Review, Ursachenanalyse (root cause), Maßnahmenplan mit Fristen/Ownern, Aktualisierung von Playbooks/Kontrollen.

Der ISB stellt sicher, dass Runbooks existieren, geübt sind (Tabletop bis technische Vollübung) und Schnittstellen zu BCM/DR nahtlos greifen (RTO/RPO eingehalten, Wiederanlauf getestet).

Architektenmodus: Zielbild, Roadmap, Kontrollen – und ein gelebtes ISMS

Die beste Feuerwehr ist die, die selten ausrücken muss. Dafür braucht es Architektur:

So wird aus „Sicherheit“ nicht eine Liste guter Vorsätze, sondern ein Programm mit Erfolgskennzahlen.

Kernprozesse, die der ISB gestaltet und steuert

Auch wenn der ISB nicht alles operativ betreibt: Er verantwortet das Design, die Wirksamkeitskontrolle und den Nachweis zentraler Prozesse:

Cloud, SaaS, OT: Moderne Angriffsflächen sicher gestalten

Der ISB sorgt dafür, dass Sicherheitsprinzipien in Cloud- und Hybrid-Umgebungen ebenso gelten wie in On-Prem/OT:

KPIs & KRIs: Messen, was wirkt – nicht nur, was dokumentiert ist

Ein ISMS lebt von Zahlen, die Verhalten und Wirksamkeit abbilden. Beispiele:

Diese Kennzahlen gehören auf ein Management-Dashboard und fließen in Zielvereinbarungen/OKRs ein.

Jahresplan und 100-Tage-Programm: Struktur statt Aktionismus

Der ISB arbeitet am besten mit einem Taktplan. Ein erprobtes 100-Tage-Programm:

Darauf folgt ein Quartalsrhythmus: Q-Audits, Management-Review, Maßnahmen-Repriorisierung, Reifegradsteigerungen.

Zusammenarbeit im Alltag: HR, Einkauf, Recht, Facility, Fachbereiche

Sicherheit ist Teamarbeit. Der ISB setzt Ankerpunkte:

Der ISB orchestriert – und schafft so Verbindlichkeit über Bereichsgrenzen hinweg.

Dokumentation & Nachweise: Auditfest, aber leichtgewichtig

Dokumentation ist nicht der Zweck, aber die Eintrittskarte zur Nachweisführung. Gute Praxis:

Wichtig ist Consistency: Was dokumentiert ist, wird in Interviews so gelebt – und umgekehrt.

Häufige Antimuster – und wie man sie vermeidet

Budget & Business Case: Sicherheit als Investition darstellen

Der ISB argumentiert nicht nur mit Risiken, sondern mit Wertbeitrag:

Ein mehrjähriger Plan (z. B. 24 Monate) mit Meilensteinen, KPIs und CAPEX/OPEX-Split schafft Planbarkeit und Akzeptanz.

Karrierepfad und Teamaufbau: Der ISB als Multiplikator

Niemand kann alles allein. Der ISB baut ein Netzwerk:

Perspektivisch wird aus der Einzelrolle ein Scalable Security Office – ohne die Governance-Unabhängigkeit aufzugeben.

Schnittstellen zu NIS2, DORA & Co.: Der ISB als Integrator

Viele neue Regulierungen verlangen genau das, was ein gutes ISMS liefert – plus spezifische Zutaten:

Der ISB entwickelt Mapping-Matrizen (eine Kontrolle – mehrere Anforderungen), um Doppelarbeit zu vermeiden und Audits effizient zu bedienen.

Beispielhafte KPIs/KRIs für den Vorstand: Eine Seite, die überzeugt

Eine solche Übersicht schafft Transparenz und verankert Sicherheit als Managementthema.

Der ISB als Kulturgestalter: Sicherheit, die Menschen mittragen

Technik scheitert, wenn Menschen sie umgehen. Der ISB kuratiert eine Sicherheitskultur, die nicht mit Verboten beginnt, sondern mit Enablement:

So wird Sicherheit Teil des Alltags – nicht nur eine Policy im Intranet.

Fazit: ISB ist Feuerwehr, Architekt – und Dirigent

Der ISB ist weder reiner Feuerwehrmann noch reiner Architekt. Er ist beides – und mehr: Dirigent eines Orchesters aus Technik, Prozessen, Menschen und Regulatorik. Er muss kurzfristig reagieren und langfristig planen, technische Details verstehen und strategische Ziele im Blick behalten, Einzelmaßnahmen umsetzen und gleichzeitig das große Ganze gestalten. Ohne ihn bleibt Informationssicherheit Stückwerk. Mit ihm wird sie zum integrierten Bestandteil der Unternehmensstrategie – messbar, auditfest und wirksam.

Wer die Rolle richtig zuschneidet (unabhängiges Mandat, klare Governance, gelebter PDCA), wer sie mit den richtigen Kompetenzen besetzt (Technik, Recht, Business, Kommunikation) und wer ihr die nötigen Mittel gibt (Team, Budget, Zeit), der bekommt weit mehr als ein Zertifikat: Resilienz, Vertrauen und Handlungsfähigkeit – im Alltag ebenso wie in der Krise. In einer Welt, in der digitale Risiken komplexer und vernetzter werden, ist genau das unverzichtbar.