Der Informationssicherheitsbeauftragte ist die Person, die im Unternehmen für die Informationssicherheit zuständig ist. Abgekürzt wird die Rolle ISB.
- Informationssicherheitsbeauftragter
Die Person, die im Unternehmen für die Informationssicherheit zuständig ist.
Beispiel: „Der Informationssicherheitsbeauftragte berichtet unmittelbar an die Geschäftsführung.“Auch: ISB, Chief Information Security Officer, CISO. Die englische Bezeichnung meint in großen Häusern eine Leitungsfunktion, die deutsche eher eine Stabsrolle.
Abgrenzung zum Datenschutzbeauftragten: Der achtet auf den Umgang mit personenbezogenen Daten. Der ISB auf die Sicherheit aller Informationen, auch der nicht personenbezogenen.
Was ein Informationssicherheitsbeauftragter tut
Vier Aufgaben, von denen nur eine technisch ist. Die Richtlinien aufsetzen und pflegen, siehe Security Policy. Risiken erfassen und bewerten. Vorfälle begleiten und aufarbeiten. Und die Mitarbeiter schulen. Die Umsetzung selbst liegt bei der IT; der ISB prüft, berichtet und drängt.
Warum die Rolle unabhängig sein muss
Weil sie sonst gegen sich selbst prüft. Wer die Systeme betreibt und zugleich ihre Sicherheit beurteilt, hat jeden Anreiz, Befunde klein zu halten; deshalb berichtet der ISB in aller Regel an die Geschäftsführung und nicht an die IT-Leitung. In kleineren Häusern lässt sich das selten sauber trennen, und dann ist die ehrlichere Lösung eine externe Rolle für die Prüfung.
Wann die Rolle Pflicht ist
Wenn eine Vorgabe von außen es verlangt. Für Betreiber, die unter das BSI-Gesetz fallen, und für Häuser, die eine Zertifizierung nach einer Sicherheitsnorm anstreben, ist eine benannte Zuständigkeit vorgeschrieben; dasselbe verlangen große Auftraggeber zunehmend von ihren Lieferanten. Für alle anderen ist sie freiwillig, und die Frage ist weniger die Rolle als der Name: Irgendwer muss zuständig sein, sonst ist es niemand.