Externer Informationssicherheitsbeauftragter
Wir übernehmen die Rolle des ISB in Ihrem Unternehmen: ISMS aufbauen und betreiben, NIS2-Betroffenheit klären, Risiken steuern und die Geschäftsleitung schulen. Ohne Interessenkonflikt, mit fester Vertretung, ab 490 € im Monat.
Im ISB-Mandat enthalten
- Benennung als externer ISB
- ISMS-Aufbau & laufender Betrieb
- NIS2-Betroffenheitsprüfung & Meldewesen
- Risikomanagement & interne Audits
- Schulung der Geschäftsleitung
Kurz beantwortet: Ein externer Informationssicherheitsbeauftragter (ISB) ist eine unternehmensfremde Fachkraft, die den Aufbau und Betrieb der Informationssicherheit verantwortet. Zu den Aufgaben gehören das Informationssicherheits-Managementsystem (ISMS), Risikoanalysen, Sicherheitsrichtlinien, Awareness-Schulungen, interne Audits sowie die Berichterstattung an die Geschäftsleitung. Anders als der Datenschutzbeauftragte schützt der ISB alle Unternehmensinformationen.
Was der ISB konkret übernimmt
ISMS aufbauen
Leitlinie, Geltungsbereich, Rollen und Prozesse – strukturiert in der ISMS-Plattform statt in verstreuten Dokumenten. Mehr zum ISMS →
Risiken steuern
Identifikation der Informationswerte, Bewertung der Risiken, Festlegung und Nachverfolgung der Maßnahmen.
NIS2 umsetzen
Betroffenheitsprüfung, BSI-Registrierung, Maßnahmen nach § 30 BSIG und ein eingeübter Meldeprozess. Mehr zu NIS2 →
Richtlinien schreiben
Passwörter, Zugriffe, Homeoffice, mobile Geräte, Dienstleister, Notfall – verständlich und im Alltag anwendbar.
Awareness schaffen
Schulungen für Belegschaft und Geschäftsleitung, weil Phishing und Social Engineering die häufigsten Einfallstore bleiben.
Audits begleiten
Interne Audits, Managementbewertung und die Vorbereitung auf Kundenaudits, TISAX oder ISO 27001.
Intern oder extern?
| Kriterium | Interner ISB | Externer ISB von CMD |
|---|---|---|
| Fachkunde | Muss aufgebaut und laufend aktualisiert werden | IHK-zertifiziert, laufende Fortbildung inklusive |
| Auslastung | Im Mittelstand selten eine volle Stelle | Bedarfsgerecht, fester Monatsbeitrag |
| Interessenkonflikt | Häufig, da meist in der IT angesiedelt | Ausgeschlossen – wir prüfen unabhängig |
| Werkzeuge | ISMS-Software muss beschafft werden | ISMS-Plattform im Mandat enthalten |
| Ausfallsicherheit | Urlaub und Krankheit unterbrechen | Team mit fester Vertretungsregelung |
| Erfahrung | Nur das eigene Unternehmen | Viele Mandate und Branchen |
Häufiger Anlass: Der Kunde fragt nach
Die meisten Mandate beginnen nicht mit einem Sicherheitsvorfall, sondern mit einem Lieferantenfragebogen. Ein Konzernkunde will wissen, wie Sie Informationen schützen – und plötzlich müssen 60 Fragen belastbar beantwortet werden.
Mit einem ISMS und einem benannten ISB sind diese Fragebögen in Stunden statt Wochen beantwortet, weil die Nachweise bereits existieren. Das ist der unterschätzte Nebeneffekt: Informationssicherheit wird vom Kostenblock zum Vertriebsargument.
Häufige Fragen zum externen Informationssicherheitsbeauftragten
Was macht ein Informationssicherheitsbeauftragter?
Er verantwortet den Aufbau und Betrieb der Informationssicherheit: ISMS, Risikomanagement, Richtlinien, Awareness-Schulungen, interne Audits und die Berichterstattung an die Geschäftsleitung. Anders als der Datenschutzbeauftragte schützt er alle Unternehmensinformationen, nicht nur personenbezogene Daten.
Ist ein ISB gesetzlich vorgeschrieben?
Eine allgemeine Pflicht besteht nicht. NIS2 verlangt jedoch Risikomanagementmaßnahmen und weist der Geschäftsleitung ausdrücklich Verantwortung zu – dafür braucht es in der Praxis eine zuständige Rolle. Bei einer ISO-27001-Zertifizierung ist sie ohnehin erforderlich.
Was kostet ein externer ISB?
Bei CMD ab 490 € monatlich zzgl. USt., inklusive ISMS-Plattform, NIS2-Betroffenheitsprüfung und Begleitung bis zur ISO-27001-Reife. Der genaue Preis richtet sich nach Größe, Geltungsbereich und Reifegrad.
Worin unterscheidet sich der ISB vom Datenschutzbeauftragten?
Der Datenschutzbeauftragte überwacht die Einhaltung der DSGVO und schützt personenbezogene Daten. Der ISB schützt alle Informationen hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit – auch Konstruktionsdaten, Kalkulationen oder Verträge. Beide Rollen ergänzen sich; wir übernehmen sie auf Wunsch gemeinsam.
Warum extern statt intern?
Fachkunde muss aufgebaut und laufend aktuell gehalten werden, die Rolle ist im Mittelstand selten ausgelastet, und ein interner ISB steht oft im Interessenkonflikt zur IT-Leitung, die er prüfen soll. Extern entfallen diese Probleme, und Sie erhalten Erfahrung aus vielen Mandaten.
Was ist der Unterschied zwischen ISB und CISO?
Inhaltlich fast nichts, sprachlich einiges. ISB ist der Begriff aus dem BSI-Umfeld und der ISO 27001, CISO der international übliche Titel für dieselbe Rolle. In größeren Unternehmen trägt der CISO stärker die strategische und berichtende Seite, der ISB stärker die Umsetzung im Managementsystem. Wir übernehmen beides – mehr dazu auf der Seite zum externen CISO.
Brauchen wir einen IT-Sicherheitsbeauftragten oder einen ISB?
Der IT-Sicherheitsbeauftragte wird oft als technische Rolle verstanden, der ISB als übergreifende. In der Praxis verlangen Kunden, Zertifizierer und Versicherer eine benannte Person, die für Informationssicherheit insgesamt verantwortlich ist – nicht nur für die Technik. Diese Rolle füllt der ISB aus.
Verlangt NIS-2 einen Informationssicherheitsbeauftragten?
Die Richtlinie schreibt die Rolle nicht ausdrücklich vor. Sie verlangt aber Risikomanagement, Meldeprozesse, Lieferkettensicherheit und Schulungen – und nimmt die Geschäftsleitung ausdrücklich in die Pflicht. In der Praxis lässt sich das ohne eine benannte verantwortliche Person nicht nachweisen.
Was kostet ein externer ISB im Vergleich zu einer internen Stelle?
Bei uns beginnt die Betreuung bei 490 € im Monat. Eine interne Besetzung bedeutet Ausbildung, laufende Fortbildung, Werkzeuge und Vertretungsregelung – und bindet eine Fachkraft, die im Mittelstand meist ohnehin knapp ist.
Wo steht Ihre Informationssicherheit?
Wir schauen gemeinsam auf Ihre Ausgangslage und sagen Ihnen ehrlich, was nötig ist – und was warten kann.