Informationssicherheitsbeauftragter (ISB / CISO)

Ein externer Informationssicherheitsbeauftragter, kurz ISB oder CISO, ist die benannte Person, die Informationssicherheitsrisiken, Kontrollen und die Vorfallsbearbeitung steuert. Die Rolle hat sich mit dem Inkrafttreten des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes, NIS-2-UmsuCG, am 06. Dezember 2025 von einer empfohlenen Praxis zur gesetzlichen Pflicht für einen großen Teil der deutschen Wirtschaft entwickelt. Das geänderte BSI-Gesetz regelt die Risikomanagementmaßnahmen in § 30 BSIG, die Meldepflichten mit Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht binnen einem Monat in § 32 BSIG sowie die Verantwortung der Geschäftsleitung in § 38 BSIG. Zwei Kategorien gelten: besonders wichtige Einrichtungen und wichtige Einrichtungen, mit Schwellen von 250 Beschäftigten und 50 Millionen Euro Umsatz für besonders wichtig sowie 50 Beschäftigten und 10 Millionen Euro Umsatz für wichtig. Für Finanzinstitute gilt die EU-Verordnung 2022/2554 über digitale operationale Resilienz, DORA, seit dem 17. Januar 2025 mit Vorgaben zu IKT-Risikomanagement, Vorfallsmeldung und Drittanbieteraufsicht nach Art. 28. Anerkannter Kontrollkatalog ist ISO/IEC 27001:2022 mit 93 Controls in Anhang A, die Übergangsfrist von ISO 27001:2013 endete am 31. Oktober 2025. Bußgelder nach § 60 BSIG reichen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei besonders wichtigen Einrichtungen, und die Geschäftsleitung haftet persönlich für Verstöße gegen die Aufsichtspflicht.

Die Pflicht zur Bestellung eines Informationssicherheitsbeauftragten folgt aus dem NIS-2-UmsuCG seit dem 06. Dezember 2025 und aus sektorspezifischer Regulierung. § 38 BSIG verpflichtet die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen sicherzustellen, dass Cybersicherheits-Risikomanagementmaßnahmen umgesetzt und überwacht werden, was in der Praxis eine benannte Person erfordert. Besonders wichtige Einrichtungen umfassen Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, Abwasser und digitale Infrastruktur mit Schwellen von 250 Beschäftigten oder 50 Millionen Euro Umsatz beziehungsweise 43 Millionen Euro Bilanzsumme. Wichtige Einrichtungen sind Post, Abfallwirtschaft, Chemie, Lebensmittel, Hersteller von Medizinprodukten, Elektronik und Maschinen sowie digitale Anbieter mit 50 Beschäftigten oder 10 Millionen Euro Umsatz. Banken und Versicherer benötigen einen ISB nach MaRisk AT 7.2 sowie BAIT und VAIT seit 2017 und 2018. DORA Art. 5 bis 16 verlangt seit 17. Januar 2025 klare IKT-Risikoverantwortlichkeiten. Im Mittelstand wird die Funktion typischerweise als externer ISB oder CISO as a Service bezogen, um BSI- und BaFin-taugliche Expertise ohne Vollzeitstelle abzudecken.