ISB für KRITIS-Betreiber: Bestellung, Aufgaben und 24/72-Pflichten ab 2026

Seit dem NIS2UmsuCG-Entwurf und der Fortschreibung des BSI-Gesetzes (§ 8a BSIG, § 8b BSIG) gehört der Informationssicherheitsbeauftragte zum operativen Pflichtinventar von KRITIS-Betreibern. Die Diskussion fokussiert sich häufig auf die Regulierung; in der Praxis scheitert Compliance jedoch an der Bestellung, der Berichtslinie und der Beweisführung gegenüber Prüfern und Aufsichten.

Dieser Beitrag betrachtet den ISB ausschließlich aus der Betreiberperspektive: Wer bestellt wen, mit welcher Urkunde, in welcher Eskalationskette? Wie greift die 24/72-Meldelogik im Tagesgeschäft? Und welche Nachweise erwartet das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Audit? Die Antworten orientieren sich am ISO/IEC 27001:2022-Kontrollkatalog und an der CIVAC-Praxis. Frist läuft ab Kenntnis.

Die KRITIS-Welt hat sich verschoben. Mit dem NIS2UmsuCG-Entwurf, dem KRITIS-Dachgesetz und der Fortschreibung des § 8a BSIG fällt eine deutlich größere Betreibergruppe in den Pflichtkreis. Nach Schätzungen des Bundesinnenministeriums sind rund 29.500 Unternehmen in Deutschland NIS-2-betroffen, ein erheblicher Teil davon zugleich KRITIS-relevant. Der Informationssicherheitsbeauftragte ist die personelle Klammer dieser beiden Regime.

Für KRITIS-Betreiber genügt es nicht, einen ISB irgendwo im IT-Bereich anzusiedeln. Das BSI prüft drei Dimensionen: formale Bestellung, fachliche Eignung und organisatorische Unabhängigkeit. Wer hier unscharf bleibt, riskiert im Audit Feststellungen, die bis zur Anordnung eines externen ISB durch die Aufsicht reichen können. Die Erwartungshaltung ist klar dokumentiert.

Die Rolle muss zudem mit dem ISMS verzahnt sein. ISO/IEC 27001:2022 verlangt in Control A.5.2 ausdrücklich klar zugewiesene Informationssicherheitsverantwortlichkeiten. Ohne ISB ist diese Zuweisung in einem KRITIS-Kontext nicht plausibel zu führen, weder gegenüber Wirtschaftsprüfern noch gegenüber dem BSI.

Die Verzahnung mit dem Informationssicherheitsbeauftragten nach CIVAC-Modell stellt sicher, dass Bestellung, Aufgabenkatalog und Meldepfade in einem Workspace zusammenlaufen. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Wichtig: Der ISB ist keine Doppelrolle des IT-Leiters. Eine Personalunion mit operativen IT-Funktionen ist im KRITIS-Kontext nach BSI-Auslegung kritisch, da die ISB-Rolle eine unabhängige Bewertungsperspektive erfordert. Die Trennung muss in der Bestellurkunde und im Organigramm belegt sein.

Der Beitrag konzentriert sich daher auf die operative Umsetzung: Bestellurkunde, Berichtslinie, Schnittstellen zum BSI und Nachweisführung. Die rechtsdogmatische Einordnung von NIS-2 finden Sie im separaten Primer.

Die Bestellung des Informationssicherheitsbeauftragten erfolgt durch die Geschäftsleitung schriftlich. Eine mündliche Beauftragung ist im KRITIS-Kontext nicht ausreichend, da § 8a BSIG die Nachweispflicht der Betreiber fordert. Die Bestellurkunde benennt Person, Geltungsbereich, Aufgaben, Befugnisse, Berichtslinie und Eskalationsweg, jeweils datiert und unterzeichnet.

Die fachliche Eignung umfasst regulatorisches Wissen (BSIG, NIS-2, ISO/IEC 27001:2022), technisches Verständnis der Betreiber-Infrastruktur und Audit-Erfahrung. Das BSI verweist in seinen Orientierungshilfen auf vergleichbare Qualifikationsniveaus wie bei Lead Auditoren ISO/IEC 27001. Zertifizierungen wie TeleTrusT T.I.S.P. oder ISACA CISM gelten als belastbare Indikatoren, sind aber nicht zwingend.

Die organisatorische Unabhängigkeit ist der häufigste Auditbefund. Der ISB darf keine Funktionen ausüben, die er selbst kontrollieren müsste. Eine Berichtslinie über den IT-Leiter zur Geschäftsleitung ist daher kritisch; die direkte Anbindung an die Geschäftsleitung ist Standard. CIVAC-Mandate spiegeln diese Linie strukturell in der NIS-2-Umsetzung 2026.

Die Bestellurkunde wird im CIVAC-Workspace abgelegt, versioniert und mit Ablaufdaten versehen. Bestellurkunde, unterschrieben, abgelegt, belegbar. Wechselt der ISB, dokumentiert das System die Übergabe inklusive offener Maßnahmen, Risikoregister-Stand und letzter Meldungen.

Bei der Wahl zwischen internem und externem ISB entscheidet meist die Personaldecke. Für mittelständische KRITIS-Betreiber lohnt der externe ISB, weil er die geforderte Unabhängigkeit strukturell mitbringt. CIVAC bietet beide Modelle: Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.

Empfehlung: Legen Sie die Bestellurkunde in einem System ab, das Audit-fest, dokumentiert und § 8a-BSIG-fest ist, mit Zugriffsprotokoll und Versionshistorie für jede Anpassung.

Der Aufgabenkatalog leitet sich aus § 8a BSIG, Art. 21 NIS-2 und ISO/IEC 27001:2022 ab. In der Praxis lassen sich sieben Kernaufgaben unterscheiden, die im Bestellungsdokument konkret aufgeführt sein sollten. Das BSI prüft die Vollständigkeit dieser Aufgabenbeschreibung als Indikator für die Reife der Organisation.

Erstens: Verantwortung für das Informationssicherheits-Managementsystem (ISMS). Der ISB steuert Aufbau, Pflege und Weiterentwicklung des ISMS nach ISO/IEC 27001:2022 mit seinen 93 Controls. Zweitens: Risikobewertung kritischer Geschäftsprozesse, dokumentiert in einem fortlaufend gepflegten Risikoregister.

Drittens: Steuerung der Sicherheitsvorfallbearbeitung inklusive 24/72-Meldepfad zum BSI. Viertens: Berichtspflicht an die Geschäftsleitung, üblicherweise quartalsweise, mit Eskalationswegen für Soforteskalationen. Fünftens: Schnittstelle zu Aufsichtsbehörden, Wirtschaftsprüfern und externen Auditoren.

Sechstens: Steuerung des Stands der Technik im Sinne von § 8a Abs. 1 BSIG. Der ISB dokumentiert begründete Abweichungen, Schutzbedarfsanalysen und Maßnahmenpläne. Siebtens: Awareness und Schulung, koordiniert mit Personal- und Compliance-Bereich. Diese sieben Aufgaben bilden den Mindeststandard, den auch ein externer ISB im CIVAC-Modell abdeckt.

Im Workspace sind die Aufgaben in Maßnahmenkataloge und Audit-Vorlagen heruntergebrochen, derzeit 490 einsatzbereite Vorlagen für KRITIS-relevante Prozesse. Damit reduziert sich die typische Bestellungsdauer von 2-6 Wochen auf einen CIVAC-SLA von zwei Werktagen.

Wichtig: Der Aufgabenkatalog ist kein Theoriedokument. Jede Aufgabe muss mit einer Evidenzquelle hinterlegt sein, also Sitzungsprotokoll, Bericht, Maßnahmenplan oder Auditfreigabe. Der Prüfer ruft an, der Nachweis liegt bereit.

Die Berichtslinie ist im KRITIS-Kontext mehr als ein Organigramm. Sie ist der Beweis, dass die Informationssicherheit auf Geschäftsleitungsebene verankert ist. Nach § 8a BSIG trägt die Leitung des KRITIS-Betreibers die Verantwortung; der ISB ist ihr unmittelbarer Berichtsempfänger und kann nicht über mehrere Hierarchieebenen verdünnt werden.

In der Regel berichtet der ISB quartalsweise an die Geschäftsleitung. Themen: Risikoregister-Status, offene Maßnahmen, Auditbefunde, Sicherheitsvorfälle und Schulungsstand. Bei schwerwiegenden Vorfällen greift ein Sondermeldeweg: der ISB informiert unverzüglich, üblicherweise innerhalb von vier Stunden ab Kenntnisnahme, mündlich und schriftlich.

Die Schnittstelle zum Bundesamt für Sicherheit in der Informationstechnik ist beim KRITIS-Betreiber doppelt belegt: regulär über das BSI-Melde- und Informationsportal, im Vorfallsfall über die zugewiesenen Kontaktpersonen nach § 8b BSIG. Der ISB hält die Kontaktdaten aktuell und führt jährliche Funktionstests durch.

Eskalationen sollten in einer Eskalationsmatrix dokumentiert sein: Wer informiert wen, in welcher Frist, mit welchem Kanal. Die Matrix enthält Vertreterregelungen, denn ein KRITIS-Vorfall hält sich nicht an Urlaubspläne. Die Notfallbeauftragten-Rolle ergänzt den ISB in dieser Lage.

Im CIVAC-Workspace ist die Eskalationsmatrix ein konfigurierbares Element. Sie zieht Daten aus dem Bestellungsregister und der Berichtslinie und triggert bei einem Vorfall automatisierte Erinnerungen und Vorlagen. Damit ist der Meldepfad nicht nur dokumentiert, sondern aktiv geschaltet.

Aus regulatorischer Sicht ist die Berichtslinie ein zentraler Auditgegenstand. Sie muss schriftlich belegt, mit Datum versehen und im Auditfall innerhalb von Minuten abrufbar sein. Lose Mail-Threads genügen nicht.

Mit Art. 23 NIS-2 und § 32 NIS2UmsuCG-Entwurf ist die 24/72-Meldelogik der zentrale operative Stresstest für KRITIS-Betreiber. Der ISB ist die Person, die diesen Prozess in Echtzeit führt. Frist läuft ab Kenntnis: spätestens 24 Stunden nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls geht eine Frühwarnung an das BSI, spätestens 72 Stunden später folgt die Vorfallsmeldung.

Die Frühwarnung enthält eine Erstbewertung, ob der Vorfall durch eine rechtswidrige Handlung verursacht wurde oder grenzüberschreitende Auswirkungen haben könnte. Die 72-Stunden-Meldung ergänzt Schweregrad, Auswirkungen und Indikatoren für eine Kompromittierung. Eine Abschlussmeldung folgt innerhalb eines Monats nach Vorfallsmeldung.

Im Tagesgeschäft scheitert die Frist meist nicht am Willen, sondern an unklaren Zuständigkeiten. Wer entscheidet, ob ein Vorfall erheblich ist? Wer triggert die Meldung? Wer pflegt die Kontaktdaten beim BSI? Der ISB beantwortet diese Fragen vor dem Vorfall, nicht währenddessen.

Parallel greift Art. 33 DSGVO mit der 72-Stunden-Frist für Datenpannen. Bei einem Vorfall, der zugleich personenbezogene Daten betrifft, laufen beide Fristen parallel. Der ISB stimmt sich mit dem Datenschutzbeauftragten ab; CIVAC verzahnt beide Rollen über den gemeinsamen Vorfallsmanagement-Workflow.

Der Workspace führt einen Vorfall durch sieben Stufen: Erkennung, Bewertung, Frühwarnung, technische Analyse, 72-Stunden-Meldung, Abschluss, Lessons Learned. Jede Stufe schreibt ein Audit-Artefakt. Audit-fest, dokumentiert, § 8b-BSIG-fest.

Sanktionsrisiko: NIS-2 sieht für wesentliche Einrichtungen Bußgelder bis 10 Mio. Euro oder 2 Prozent des Konzernumsatzes vor, für wichtige Einrichtungen bis 7 Mio. Euro oder 1,4 Prozent. Eine versäumte Frist ist also kein Kavaliersdelikt, sondern Vorstandsrisiko.

KRITIS-Betreiber stehen vor einer organisatorischen Grundsatzentscheidung: interner ISB, externer ISB oder hybrides Modell. Alle drei Varianten sind regulatorisch zulässig; die Eignung hängt von Größe, Betriebsmodell und Vorhandensein qualifizierten Personals ab.

Der interne ISB hat den Vorteil tiefer Kenntnis der eigenen Prozesse. Nachteile: Personalrisiko bei Ausfall, schwierige Unabhängigkeit bei kleinen Teams, hoher Schulungs- und Zertifizierungsaufwand. Für Betreiber mit weniger als 1.500 Mitarbeitenden ist die Personalunion oft die einzige Option, was im Audit häufig Feststellungen produziert.

Der externe ISB löst das Unabhängigkeitsproblem strukturell. Er bringt Audit-Erfahrung aus mehreren Mandaten mit und ist nicht in interne Linienkonflikte verstrickt. Risiko: kulturelle Distanz und unklare Verfügbarkeit im Vorfallsfall. Beide Risiken adressiert CIVAC durch SLAs, hinterlegte Bereitschaftszeiten und einen festen Hauptansprechpartner.

Das hybride Modell kombiniert einen internen Ansprechpartner mit der externen Senior-Rolle. Der interne Kollege übernimmt operative Aufgaben, der externe ISB die fachliche und regulatorische Verantwortung. Diese Konstellation ist in KRITIS-Kontexten häufig der pragmatische Weg.

Welche Variante auch gewählt wird, die Bestellung muss eindeutig sein. Doppelbestellungen ohne klare Aufgabenteilung produzieren Auditbefunde. CIVAC dokumentiert die Aufteilung im Workspace, ergänzt um Vertretungsregelungen und Übergabeprotokolle. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.

Die Rollenübersicht zeigt die vollständigen 25 Beauftragten-Mandate, die CIVAC abdeckt, einschließlich Betriebsarzt, Datenschutz und Compliance, die im KRITIS-Kontext häufig parallel benötigt werden.

Wirtschaftlich rechnet sich der externe oder hybride Weg meist ab Mitarbeiterzahl 250 plus KRITIS-Schwellwert. Die ersparten Recruiting-, Schulungs- und Vertretungskosten überschreiten die externe Mandatsgebühr regelmäßig.

Audit-Vorbereitung ist im KRITIS-Kontext kein Projekt, sondern Tagesgeschäft. Das BSI prüft im Zwei-Jahres-Rhythmus nach § 8a Abs. 3 BSIG die Umsetzung des Stands der Technik. Der ISB ist erster Ansprechpartner und Hauptverantwortlicher für die Nachweisführung.

Die wichtigsten Audit-Artefakte: Bestellurkunde, Aufgabenkatalog, Berichtslinie, Eskalationsmatrix, Risikoregister, Vorfallsregister, Schulungsnachweise, Kontaktdatenpflege BSI, Ergebnisdokumentation der letzten Audit-Zyklen sowie Maßnahmenstand. Jedes Artefakt muss datiert, versioniert und verantwortet sein.

Die Prüfer arbeiten mit Stichproben. Sie wählen einzelne Vorfälle, einzelne Risiken oder einzelne Maßnahmen und verfolgen den vollständigen Bearbeitungspfad. Wer hier eine Lücke hat, riskiert eine Wesentlichkeitsfeststellung mit Nachbesserungspflicht innerhalb gesetzter Frist.

Die häufigsten Audit-Schwächen sind: Bestellurkunde ohne Datum, fehlende Vertretungsregelung, nicht aktualisierte Kontaktdaten beim BSI, Risikoregister ohne Bewertungskriterien, Vorfälle ohne Lessons Learned. Diese Mängel sind vermeidbar, wenn der Workspace die Pflichten von Anfang an strukturiert.

CIVAC stellt 490 Audit-Vorlagen bereit, die mit den BSI-Prüfkatalogen und ISO/IEC 27001:2022-Annex-A-Controls abgeglichen sind. Sie lassen sich pro Mandant anpassen, ohne den Grundstandard zu verlassen. Der Prüfer ruft an, der Nachweis liegt bereit.

Empfehlung: Üben Sie den Auditfall einmal jährlich als Trockenlauf. Der ISB führt eine interne Stichprobe durch, dokumentiert Befunde und schließt sie. Das Vorgehen reduziert die Befundquote im realen BSI-Audit empirisch um über die Hälfte.

Der ISB steht im KRITIS-Kontext nicht allein. Datenschutzbeauftragter (DSB), Compliance-Beauftragter, Notfallbeauftragter und teils Geldwäschebeauftragter überschneiden sich in Aufgaben und Berichtswegen. Eine saubere Rollenmatrix verhindert Doppelarbeit und Verantwortungslücken.

Mit dem DSB gibt es die engste Schnittstelle. Bei Sicherheitsvorfällen mit personenbezogenen Daten greift Art. 33 DSGVO mit 72-Stunden-Frist parallel zur NIS-2-Meldelogik. Der ISB liefert die technische Analyse, der DSB führt die Meldung an die Datenschutzaufsicht. CIVAC verzahnt beide über den gemeinsamen Vorfallsworkflow.

Der Compliance-Beauftragte adressiert Themen wie Auftragsverarbeitung, Lieferketten-Governance, Hinweisgebersystem und Sanktionsmanagement. ISB und CO stimmen sich bei Sicherheitsvorfällen ab, die strafrechtlich relevant sein können, etwa Datenexfiltration oder Sabotage.

Der Notfallbeauftragte steuert die Business Continuity, der ISB die Informationssicherheit. Beide Rollen treffen sich im Krisenfall in einer Stabsstruktur, die im Vorfeld trainiert und dokumentiert sein muss. Die Notfallbeauftragten-Rolle wird oft als externe Co-Funktion bestellt.

Bei Finanzdienstleistern, Energieversorgern und Telekommunikationsbetreibern kommt der Geldwäschebeauftragte hinzu. Die Schnittstelle ist schmal, aber bei systemischen Angriffen relevant. CIVAC führt die Rollenmatrix im Workspace, inklusive Berichts-, Eskalations- und Vertretungsregeln.

Die Rollenmatrix muss in der Bestellurkunde des ISB referenziert sein. Wer welche Aufgabe übernimmt und wer im Vorfall führt, sollte vor dem Vorfall geklärt sein, nicht während. Der CIVAC-Workspace pflegt die Matrix als lebendes Dokument, auditbereit und versioniert.

Empfehlung: Halten Sie mindestens einmal jährlich eine Rollenkonferenz mit allen Beauftragten ab. Sie ist ein zentraler Auditnachweis für die organisatorische Reife.

Die Pflichten des ISB im KRITIS-Kontext sind klar, die operative Umsetzung anspruchsvoll. Wer Bestellurkunde, Berichtslinie, 24/72-Meldepfad und Auditnachweise sauber führt, reduziert das Sanktionsrisiko und schafft die Grundlage für eine belastbare BSI-Auditierung nach § 8a BSIG.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service. Der Workspace stellt Bestellurkunden, 490 Audit-Vorlagen, Berichtslinien-Templates, den 24/72-Meldepfad und das Vorfallsregister bereit. Alle Module sind auf ISO/IEC 27001:2022-Kontrollen und KRITIS-Prüfanforderungen abgestimmt, gehostet in EU-Datenresidenz.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Für KRITIS-Betreiber, die personell knapp aufgestellt sind, übernimmt ein erfahrener CIVAC-ISB die Rolle vollständig, inklusive Bestellurkunde, Quartalsberichten und Auditbegleitung. Für Betreiber mit eigenem Personal liefert der Workspace die Struktur.

Der CIVAC-SLA für die Bestellung liegt bei zwei Werktagen statt der klassisch üblichen zwei bis sechs Wochen. Damit kann ein KRITIS-Betreiber regulatorische Pflichten umsetzen, bevor die nächste Prüfungsrunde beginnt. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Aus dem Lesen einen Auftrag machen: Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de/faq. Im Erstgespräch klären wir Geltungsbereich, Bestellungsmodell und Zeitplan, ohne Pflichten zu erzeugen.

Hinweis: CIVAC ist eine deutsche Compliance-Plattform und nicht mit dem mexikanischen CIVAC (Impfstoffforschung) verbunden. Unsere Mandate liegen vollständig im deutschen und europäischen Regulierungsrahmen, insbesondere BSIG, NIS-2, DSGVO und ISO/IEC 27001:2022.