ISB-Ausbildung: Wege, Anbieter, Kosten und realistische Zeitpläne

Mit dem NIS-2-Umsetzungsgesetz (geplantes Inkrafttreten 2026 in Deutschland) und der ISO/IEC 27001:2022 als gelebter Praxis steigt die Nachfrage nach qualifizierten Informationssicherheitsbeauftragten. Eine staatlich geregelte Ausbildung wie bei der Fachkraft für Arbeitssicherheit gibt es nicht. Anerkannt sind Lehrgänge nach BSI-Standard 200-2 und ISO/IEC 17024-akkreditierte Personenzertifizierungen.

Dieser Beitrag vergleicht die drei marktdominanten Ausbildungswege, listet Anbieter, Kosten und Dauer und zeigt, welcher Weg für welchen Unternehmenstyp passt. Sie erfahren auch, wie CIVAC als Compliance-Plattform und Officer-as-a-Service die operative Übernahme der ISB-Rolle nach der Ausbildung absichert, sei es intern oder über externe Bestellung.

Im Gegensatz zur Fachkraft für Arbeitssicherheit (geregelt in DGUV Vorschrift 2 und Anlage 2) oder zum Betriebsarzt (Approbation und Facharzt für Arbeitsmedizin) ist die ISB-Ausbildung gesetzlich nicht standardisiert. Weder das BSIG noch das NIS-2-Umsetzungsgesetz definieren ein verbindliches Curriculum.

Stattdessen verlangt § 38 des aktuellen NIS-2-Umsetzungsgesetz-Entwurfs eine "angemessene Qualifikation" für die Verantwortlichen für Informationssicherheit in wesentlichen und wichtigen Einrichtungen. Diese Formulierung lässt dem Arbeitgeber Spielraum, übersetzt aber faktisch in zertifizierte Lehrgänge.

Der BSI-Standard 200-2 (IT-Grundschutz-Methodik) liefert die methodische Grundlage. ISO/IEC 27001:2022 und ISO/IEC 27002:2022 ergänzen den internationalen Bezugsrahmen. Beide Welten überschneiden sich, sind aber nicht identisch.

Akkreditierungsstellen wie die Deutsche Akkreditierungsstelle (DAkkS) zertifizieren Personenzertifizierer nach ISO/IEC 17024. Dazu gehören TÜV-Verbände, DEKRA, DGQ und private Anbieter. Nur akkreditierte Zertifikate sind belastbar.

Wer den externen Informationssicherheitsbeauftragten über CIVAC bestellt, übernimmt eine bereits qualifizierte und kontinuierlich fortgebildete Rolle. Die Qualifikationsnachweise sind im Workspace abgelegt.

Bestellurkunde, unterschrieben, abgelegt, belegbar.

Der BSI-IT-Grundschutz-Praktiker ist die behördennahe Ausbildung. Inhalte sind die BSI-Standards 200-1 (ISMS), 200-2 (IT-Grundschutz-Methodik), 200-3 (Risikoanalyse) und 200-4 (Business Continuity Management).

Dauer typisch vier bis fünf Präsenztage plus Selbststudium und Prüfung. Anbieter sind BSI selbst (Akademie), CONTECHNET, datenschutz cert, sowie eine Reihe akkreditierter Schulungspartner. Kosten zwischen 1.800 und 2.400 Euro netto.

Aufbauend folgt der IT-Grundschutz-Berater, der ergänzend Profilerstellung, Strukturanalyse und Schutzbedarfsfeststellung vertieft. Weitere drei bis fünf Tage, Kosten zwischen 2.000 und 2.800 Euro netto. Diese Stufe qualifiziert für die Begleitung von IT-Grundschutz-Audits.

Zielgruppe sind ISBs in Behörden, kommunalen Unternehmen, KRITIS-Betreibern und Sektoren mit BSI-Bezug. Auch private Unternehmen wählen diesen Weg, wenn Kunden im öffentlichen Sektor Auditfähigkeit nach BSI verlangen.

Vorteil: hohe Anerkennung durch deutsche Behörden, methodische Stringenz, lebendige Community über BSI-Foren. Nachteil: stark deutschsprachig, weniger Bezug zu internationaler ISO-Welt, höhere Komplexität der Methodik im Vergleich zu schlankerem ISO-27001-Ansatz.

Audit-fest, dokumentiert, BSI-Standard-200-2-fest.

Der ISO/IEC 27001 Lead Implementer ist der internationale Standardweg. Inhalte sind die Norm ISO/IEC 27001:2022 mit den 93 Annex-A-Controls, Plan-Do-Check-Act-Zyklus, Risikomanagement nach ISO 31000 und Implementierungspraxis.

Dauer in der Regel fünf Präsenztage, abgeschlossen mit zweistündiger Prüfung. Akkreditierte Anbieter sind PECB, BSI Group, TÜV Süd, DEKRA und DNV. Kosten zwischen 2.400 und 3.500 Euro netto inklusive Prüfungsgebühr.

Aufbauend folgt der Lead Auditor, der zusätzlich Audit-Planung, -Durchführung und -Berichtswesen umfasst. Weitere fünf Tage, Kosten ähnlich. Lead Auditor qualifiziert für externe Audits und ist Pflicht für ISO-Zertifizierungsstellen-Auditoren.

Zielgruppe sind ISBs in international tätigen Unternehmen, IT-Dienstleistern, SaaS-Anbietern und Lieferanten von OEMs mit ISO-Pflicht (TISAX, NIS-2-Konformität). Die englischsprachigen Materialien sind in Konzernen oft Pflicht.

Vorteil: weltweite Anerkennung, klar strukturierte Norm, hohe Marktnachfrage. Nachteil: weniger Methodentiefe als BSI-Grundschutz, abstraktere Controls erfordern Übersetzung in den eigenen Kontext.

CIVAC nutzt diesen Weg intern und stellt im Workspace eine Mapping-Vorlage zwischen ISO-Controls und BSI-Bausteinen bereit.

Die TÜV- und DEKRA-zertifizierten ISB-Lehrgänge sind die kompakteste Variante. Sie kombinieren Grundlagen ISMS, ISO 27001, BSI-Grundschutz, Datenschutz-Schnittstelle und rechtliche Rahmenbedingungen in einem Curriculum.

Dauer typischerweise sechs bis acht Präsenztage, oft auch im Blended-Learning-Format mit Online-Modulen. Abgeschlossen mit Prüfung vor einer nach ISO/IEC 17024 akkreditierten Personenzertifizierungsstelle. Kosten zwischen 2.800 und 4.500 Euro netto.

Anbieter sind TÜV Süd Akademie, TÜV Rheinland, TÜV Nord, DEKRA Akademie, DGQ. Die Akkreditierung der Zertifizierungsstelle stellt sicher, dass das Zertifikat objektiv und unabhängig vergeben wird, nicht durch den Lehrgangsanbieter selbst.

Zielgruppe sind ISBs im Mittelstand, in Familienunternehmen und in Branchen mit gemischtem Anforderungsprofil (TISAX, NIS-2, ISO 27001, branchenspezifische Audits). Der Weg gilt als pragmatisch und marktbreit anerkannt.

Vorteil: kompakt, marktnah, dual ausgerichtet (BSI plus ISO), starke Akkreditierung. Nachteil: weniger spezialisiert als die reinen BSI- oder ISO-Wege, je nach Anbieter unterschiedliche Tiefe.

Wer die ISB-Rolle intern besetzt, kombiniert diesen Weg häufig mit projektbezogenen ISO- oder BSI-Vertiefungen.

Die Gesamtkosten einer ISB-Ausbildung liegen je nach Pfad und Zusatzmodulen zwischen 2.000 und 9.000 Euro netto. Hinzu kommen Arbeitsausfallkosten von vier bis zwölf Präsenztagen, also rund 2.000 bis 8.000 Euro je nach Gehaltsstufe.

Beispielrechnungen aus der Praxis: Mittelständischer Maschinenbauer mit ISO-Ambition und TISAX-Pflicht: TÜV-ISB plus ISO 27001 Lead Implementer ergibt 5.500 bis 7.000 Euro netto, zehn bis dreizehn Präsenztage über sechs Monate.

Kommunaler Versorger mit BSI-Pflicht: BSI-Praktiker plus Berater plus ISO Lead Implementer ergibt 6.500 bis 8.500 Euro netto, dreizehn bis fünfzehn Präsenztage über neun Monate. SaaS-Anbieter international: zwei ISO-Lead-Zertifizierungen, 5.000 bis 7.000 Euro netto.

Realistischer Zeitplan vom Kursstart bis zur operativen Übernahme: drei bis sechs Monate. Davon Theorie zwei bis vier Wochen netto, Prüfung und Wartezeit auf Zertifikat zwei bis vier Wochen, parallele Einarbeitung in das eigene ISMS zwei bis fünf Monate.

Fortbildungspflicht: ISO-17024-Zertifikate verlangen Rezertifizierung alle drei bis fünf Jahre mit Nachweis kontinuierlicher Weiterbildung, typisch 40 Stunden pro Zyklus. BSI-Zertifikate erfordern ähnliche Refresher.

CIVAC-SLA: Wer die externe ISB-Bestellung über CIVAC nutzt, hat innerhalb von zwei Werktagen einen qualifizierten ISB im Mandat, statt zwei bis sechs Wochen Suchprozess.

Kein Lehrgang ersetzt Berufserfahrung. Die Norm-Inhalte sind in vier bis zwölf Tagen vermittelbar, die operative Praxis nicht. Typische Lücken nach der Ausbildung betreffen Stakeholder-Management, Eskalation, juristische Schnittstellen und Toolauswahl.

Stakeholder-Management: Wie verhandelt der ISB Schutzmaßnahmen mit dem Vertrieb, dessen Salesforce-Konfiguration eine Risikoabweichung darstellt? Wie holt er Budget bei der CFO ab, wenn das Risiko unsichtbar ist? Diese Soft-Skills sind in Curricula randständig.

Eskalation: Welche Schritte folgen, wenn die Geschäftsleitung eine empfohlene Maßnahme ablehnt? § 130 OWiG-Risiken, Dokumentationspflicht nach ISO 27001 Klausel 9.3 (Management Review), arbeitsrechtliche Grenzen einer Whistleblower-Meldung. Hier hilft Praxis, nicht Theorie.

Juristische Schnittstellen: DSGVO, NIS-2-UmsuCG, BSIG, Telekommunikationsgesetz, Geschäftsgeheimnisgesetz, Strafgesetzbuch §§ 202a bis 203, Geheimschutzverordnung. Diese Themen werden in ISB-Kursen angerissen, nicht durchdrungen.

Toolauswahl: SIEM, GRC, Asset Management, Vulnerability Scanner, Patch Management. Jede Toolkategorie hat zehn bis fünfzig Anbieter. Die Auswahl ist ein eigenes Projekt mit Marktrecherche, RFI, RFP, PoC.

CIVAC liefert hier den Mehrwert nach der Ausbildung: 490 Audit-Vorlagen, vorkonfigurierte Berichtslinie, Eskalationspfade und Lieferantenbewertung.

Die Entscheidung zwischen interner Qualifizierung und externer Bestellung folgt drei Kriterien: Größe und Branche, Budget über Vollkostenbetrachtung, strategische Bedeutung der Rolle.

Größe und Branche: Ab etwa 250 Mitarbeitenden und in regulierten Branchen (Finanz, Energie, Gesundheit) rechnet sich eine interne ISB-Rolle. Bei kleineren Strukturen oder gemischten Pflichtenkreisen ist externe Bestellung effizienter.

Vollkostenbetrachtung: Eine interne ISB-Rolle kostet bei sechs- bis achtwöchiger Initialqualifikation, Personalkosten, Fortbildung, Tools und Vertretungsregelung typischerweise 120.000 bis 180.000 Euro pro Jahr. Externe Bestellung beginnt bei 18.000 Euro pro Jahr.

Strategische Bedeutung: Wenn Informationssicherheit ein USP gegenüber Kunden ist (etwa SaaS-Anbieter), gehört die Rolle ins Unternehmen. Wenn sie eine reine Compliance-Pflicht ist, lohnt sich Externalisierung mit klarer Berichtslinie.

Hybridmodell: Interner CISO als strategischer Ansprechpartner, externer ISB für operative Umsetzung und Audit-Begleitung. Dieses Modell entlastet die interne Rolle und sichert Spezialwissen, ohne die Verantwortung zu verlagern.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Beide Modelle nutzen dasselbe System mit EU-Datenresidenz, ISO/IEC 27001:2022 ISMS und revisionssicherem Audit-Ordner.

Eine ISB-Ausbildung ist Ausgangspunkt, kein Endzustand. Die Bedrohungslage verändert sich, Normen werden novelliert, Tools entwickeln sich. Wer fünf Jahre nicht weiterlernt, verliert die operative Anschlussfähigkeit.

ISO-17024-Zertifikate verlangen formale Rezertifizierung. Der typische Drei-Jahres-Zyklus umfasst 40 Stunden Weiterbildung, dokumentierte ISB-Tätigkeit und eine schriftliche Erneuerungsprüfung. Wer den Nachweis nicht erbringt, verliert die Zertifikatsführung.

Hochwertige Fortbildungsformate sind die jährliche it-sa in Nürnberg, die BSI-IT-Grundschutz-Tage, der ISACA-Cyber-Security-Summit, Webinare des Bundesamts für Sicherheit in der Informationstechnik und herstellerunabhängige GRC-Konferenzen.

Empfehlenswerte Vertiefungen sind: ISO/IEC 27017 (Cloud Security), ISO/IEC 27018 (Datenschutz in Public Cloud), ISO/IEC 27701 (Privacy ISMS), CISM (Certified Information Security Manager), CISSP (Certified Information Systems Security Professional).

Im Berufsalltag bedeutet die Rolle vier bis sechs Stunden tägliche Steuerungsaufgaben: ISMS-Pflege, Sitzungen mit IT und Fachbereichen, Vorfallbearbeitung, Lieferantenbewertung, Audit-Vorbereitung, Reporting an die Geschäftsleitung.

Der Prüfer ruft an, der Nachweis liegt bereit. Wer die Rolle über CIVAC führt, hat Sitzungsprotokolle, Maßnahmenstand und Reife-Kennzahlen jederzeit im Workspace abrufbar.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service mit zwei Bereitstellungsmodellen für die ISB-Rolle. Modell eins: Sie qualifizieren intern und lizenzieren den Workspace für Ihren ISB. Modell zwei: Sie bestellen einen externen CIVAC-ISB für das Mandat.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. In beiden Fällen erhalten Sie 490 Audit-Vorlagen, das vorkonfigurierte ISMS nach ISO/IEC 27001:2022, den NIS-2 24/72-Meldepfad, EU-Datenresidenz und revisionssichere Berichtslinie.

Für interne ISBs nach erfolgter Ausbildung: Der Workspace beschleunigt den Aufbau des ISMS, ersetzt Excel-Wildwuchs durch strukturierte Workflows und liefert Audit-Reife in Wochen statt Monaten. Die 93 Annex-A-Controls sind vorkonfiguriert.

Für externe ISB-Bestellung: Ein qualifizierter CIVAC-ISB übernimmt Mandat, Bestellurkunde, Berichtslinie und operative Steuerung. SLA: zwei Werktage vom Vertragsschluss bis zur Mandatsübernahme, statt zwei bis sechs Wochen Suchprozess.

Typische Einstiegssituationen: Erstbesetzung nach NIS-2-Betroffenheitsprüfung, Vakanzüberbrückung nach Personalwechsel, Multi-Standort-Rollout, ISO-27001-Erstzertifizierung, Krisenmodus nach Sicherheitsvorfall. Lesen Sie weiter in der CIVAC-FAQ.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de.