vCISO und externer Informationssicherheitsbeauftragter

Der Informationssicherheitsbeauftragte (ISB) ist die im deutschsprachigen Raum etablierte Rolle nach BSI IT-Grundschutz: Er steuert und koordiniert den Sicherheitsprozess, unterstützt die Leitung bei der Sicherheitsleitlinie, koordiniert die Erstellung des Sicherheitskonzepts, untersucht sicherheitsrelevante Vorfälle und berichtet direkt an die oberste Leitung (BSI-Standard 200-2, Kapitel 4.4). Der BSI-Standard nennt Chief Information Security Officer (CISO) und Informationssicherheitsmanager (ISM) als häufige alternative Titel derselben Rolle; im internationalen Sprachgebrauch steht CISO darüber hinaus häufig für eine strategische Führungsrolle mit Sicherheitsstrategie-, Budget- und Organisationsverantwortung, oft mit eigenem Team und Sitz direkt unter der Geschäftsleitung. In der Praxis überschneiden sich beide Profile stark, in kleineren Organisationen nimmt häufig eine Person beide Perspektiven wahr. Wichtig ist weniger der Titel als die klare Zuweisung von Aufgaben, Befugnissen und Berichtswegen.

ISO/IEC 27001:2022 verlangt in Kapitel 5.3, dass die oberste Leitung Verantwortlichkeiten und Befugnisse für sicherheitsrelevante Rollen zuweist und kommuniziert – insbesondere für die Konformität des ISMS mit dem Standard und für die Berichterstattung über dessen Leistung an die oberste Leitung; Annex-A-Control 5.2 fordert ergänzend definierte Sicherheitsrollen. Einen bestimmten Titel wie „CISO“ schreibt der Standard nicht vor. NIS2 (Richtlinie (EU) 2022/2555) verpflichtet in Art. 20 die Leitungsorgane wesentlicher und wichtiger Einrichtungen, die Risikomanagementmaßnahmen nach Art. 21 zu billigen und ihre Umsetzung zu überwachen; sie können für Verstöße verantwortlich gemacht werden und müssen an Schulungen teilnehmen. In Deutschland setzt das seit dem 6. Dezember 2025 geltende neue BSIG (NIS2-Umsetzungsgesetz) diese Pflichten um: § 38 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die Risikomanagementmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen.

Der Kern der Rolle ist die Steuerung des gesamten Sicherheitsprozesses: Mitwirkung an Sicherheitsstrategie und Leitlinie, Aufbau und Pflege des Richtlinienwerks sowie Koordination des Sicherheitskonzepts. Dazu kommen das Risikomanagement (Methodik, Risikoanalysen, Maßnahmenpläne und deren Nachverfolgung), die Initiierung und Koordination von Sensibilisierungs- und Schulungsmaßnahmen sowie die Untersuchung sicherheitsrelevanter Vorfälle. Gegenüber der Leitung verantwortet die Rolle das Management-Reporting – Statusberichte, Kennzahlen und die Zuarbeit zur Managementbewertung nach ISO/IEC 27001 Kapitel 9.3. Hinzu kommen die sicherheitsseitige Begleitung von Projekten und Beschaffungen sowie die Vorbereitung interner und externer Audits.

Der BSI-Standard 200-2 sieht in Kapitel 4.11 ausdrücklich vor, wesentliche Rollen wie den ISB durch qualifizierte Externe wahrnehmen zu lassen, wenn sie intern nicht besetzt werden können – insbesondere in kleinen Unternehmen und Behörden kann der Rückgriff auf einen externen ISB zweckmäßig sein. Häufige Auslöser sind fehlendes qualifiziertes Personal, eine Rolle, die keine Vollzeitstelle trägt, oder eine kurzfristig zu überbrückende Vakanz. Auch die geforderte Unabhängigkeit spricht mitunter dafür: Das BSI warnt ausdrücklich vor Rollenkonflikten, wenn der ISB in die IT-Abteilung integriert ist und seine Kontrollaufgaben nicht frei von Beeinflussung wahrnehmen kann; die Personalunion mit dem Datenschutzbeauftragten hält das BSI für nicht unkritisch und nur bei klar definierten Schnittstellen beider Aufgaben für vertretbar. Externe Rolleninhaber bringen zudem Erfahrung aus vielen Organisationen und Zertifizierungsverfahren mit. Voraussetzung ist, dass intern ein Ansprechpartner benannt wird und der Externe Zugang zu Gremien, Informationen und Entscheidungswegen erhält – ohne Einbindung bleibt die Rolle wirkungslos.

In der Praxis haben sich drei Grundmodelle etabliert. Beim Kontingentmodell übernimmt der externe vCISO/vISB die Rolle dauerhaft mit einem festen monatlichen Stunden- oder Tageskontingent – planbar für Regelaufgaben wie Risikomanagement, Reporting und Awareness, ergänzt um vertraglich definierte Reaktionszeiten für Vorfälle. Das Interim-Modell überbrückt eine Vakanz mit hoher Präsenz, ist klar befristet und endet mit der Nachbesetzung oder Übergabe. Projektbezogene Modelle begleiten ein Vorhaben mit definiertem Ziel, etwa den ISMS-Aufbau bis zur Zertifizierungsreife; hybride Varianten kombinieren die externe Rollenübernahme mit dem Coaching einer internen Nachwuchskraft bis zur Übergabe. Unabhängig vom Modell gehören eine schriftliche Bestellung, eine Rollen- und Schnittstellenbeschreibung, Vertretungsregelungen und Vertraulichkeitsvereinbarungen zur sauberen Umsetzung.

Weder intern noch extern lässt sich die Verantwortung für Informationssicherheit vollständig abgeben: Nach BSI-Standard 200-2 verbleibt die Gesamtverantwortung bei der obersten Leitungsebene – sie entscheidet über den Umgang mit Risiken und stellt die Ressourcen bereit, auch wenn sie operative Aufgaben delegiert. NIS2 Art. 20 und § 38 BSIG adressieren die Billigung bzw. Umsetzung und Überwachung der Risikomanagementmaßnahmen sowie die Schulungsteilnahme ausdrücklich an die Leitungsorgane selbst; § 38 Abs. 2 BSIG knüpft daran eine Innenhaftung der Geschäftsleiter nach den Regeln des Gesellschaftsrechts. Ein externer vCISO/vISB berät, steuert den Sicherheitsprozess und bereitet Entscheidungen vor – die Risikoakzeptanz, die Freigabe der Leitlinie und die Budgetentscheidung trifft die Geschäftsleitung selbst. Seriöse Betriebsmodelle machen diese Arbeitsteilung explizit, etwa über definierte Eskalations- und Berichtswege und eine dokumentierte Entscheidungsvorlage je Risiko.