ISK vs. ISB: Wer macht was in der Informationssicherheit

Warum Unternehmen klare Rollen in der Informationssicherheit brauchen

Mit Richtlinien wie NIS2 und Standards wie ISO 27001 sowie einer stetig wachsenden Bedrohungslage durch Cyberkriminalität reicht es nicht mehr aus, Informationssicherheit als reines „IT-Projekt“ zu betrachten. Es handelt sich um eine Managementaufgabe im Rahmen eines ganzheitlichen Informationssicherheitsmanagementsystems (ISMS), die sich in jedem Bereich einer Organisation niederschlagen muss. Große Unternehmen und Behörden stehen dabei vor einer organisatorischen Herausforderung: Wie stellt man sicher, dass zentrale Sicherheitsrichtlinien nicht nur auf dem Papier existieren, sondern auch in der Produktion, der Logistik oder der Personalabteilung gelebt werden?

Die Antwort liegt in einer arbeitsteiligen Struktur. Hierbei übernimmt der/die Informationssicherheitsbeauftragte (ISB) die Rolle des strategischen Planers, während die Informationssicherheitskoordinator:innen (ISK) als operative Expert:innen in den jeweiligen Fachbereichen fungieren. Diese Differenzierung ist entscheidend, um den Elfenbeinturm Effekt zu vermeiden, bei dem zentrale Vorgaben in der praktischen Umsetzung im Arbeitsalltag der jeweiligen Abteilungen scheitern.

Der Informationssicherheitsbeauftragte ISB: Strategie, ISMS und Compliance

Der ISB ist die zentrale Schlüsselfigur für die Informationssicherheit im Unternehmen. Diese Rolle ist primär strategisch, beratend und koordinierend ausgelegt. Der ISB ist verantwortlich für das Informationssicherheitsmanagementsystem ISMS und stellt sicher, dass die Organisation ihre Sicherheitsziele erreicht und regulatorische Anforderungen erfüllt.

Die Aufgaben des ISB sind vielfältig und anspruchsvoll:

Entwicklung der Sicherheitsstrategie: Definition der langfristigen Ziele und des Schutzniveaus der Organisation in enger Abstimmung mit der Geschäftsführung.

Erstellung von Richtlinien: Verfassung der übergeordneten Leitlinien und spezifischen Sicherheitsrichtlinien, die als verbindliche Vorgaben für alle Mitarbeitenden dienen.

Zentrales Risikomanagement: Identifikation der kritischen Assets des Unternehmens und Risikobewertung auf einer globalen Ebene im Kontext von IT-Sicherheit und Compliance.

Monitoring und Reporting: Überwachung der Wirksamkeit der getroffenen Maßnahmen und regelmäßige Berichterstattung an die oberste Leitung. Der ISB ist das Bindeglied zwischen der Fachebene und dem Management.

Auditierung und Compliance: Vorbereitung von Zertifizierungen wie ISO 27001 und Sicherstellung, dass rechtliche Anforderungen wie NIS2 eingehalten werden.

Idealerweise ist der ISB als Stabsstelle direkt der Geschäftsführung unterstellt. Dies sorgt für die notwendige Unabhängigkeit, um auch kritische Themen gegenüber der IT oder den operativen Geschäftseinheiten ansprechen zu können.

Der Informationssicherheitskoordinator ISK: Umsetzung und Security Awareness

Während der ISB das Was und Warum der Unternehmenssicherheit definiert, kümmert sich der bzw. die Informationssicherheitskoordinator:in ISK um das Wie vor Ort. Der ISK ist meist ein erfahrener Mitarbeiter aus einem spezifischen Fachbereich und übernimmt diese Rolle zusätzlich zu den fachlichen Aufgaben.

Diese Position ist für den Erfolg eines ISMS von unschätzbarem Wert, da der ISK über das notwendige Prozesswissen verfügt, das einem übergeordneten ISB oft fehlt. Zu den Kernaufgaben gehören:

Umsetzungsunterstützung: Integration der zentralen Richtlinien des ISB in die spezifischen Arbeitsabläufe der eigenen Abteilung.

Lokale Risikoidentifikation: Der ISK erkennt Sicherheitsrisiken dort, wo sie entstehen und meldet diese an das zentrale Risikomanagement.

Mitarbeitersensibilisierung: Der ISK ist erster Ansprechpartner für Kolleginnen und Kollegen bei Sicherheitsfragen und fördert aktiv die Security Awareness im Team.

Asset Management: Unterstützung bei der Erfassung und Klassifizierung der Informationen und Systeme innerhalb des eigenen Fachbereichs.

Vorfallmeldung: Bei Verdacht auf einen Sicherheitsvorfall ist der ISK die Schnittstelle, die eine schnelle und strukturierte Meldung an den ISB sicherstellt.

Unterschied ISB und ISK im Überblick

Obwohl beide Rollen auf dasselbe Ziel hinarbeiten, lassen sie sich anhand klarer Kriterien voneinander abgrenzen:

Perspektive: Der ISB blickt mit einem Weitwinkel auf die gesamte Organisation. Der ISK fokussiert die Details in seinem Fachbereich.

Verantwortung: Der ISB trägt die Gesamtverantwortung für das ISMS. Der ISK trägt die Mitverantwortung für die operative Einhaltung.

Hierarchie: Der ISB ist eine zentrale Funktion mit direktem Berichtsweg zur Geschäftsführung. Der ISK ist dezentral verankert und berichtet fachlich an den ISB.

Zeitaufwand: Der ISB ist in der Regel eine Vollzeitfunktion. Der ISK übernimmt die Rolle meist ergänzend zu seinen eigentlichen Aufgaben.

Zusammenspiel im ISMS: Warum beide Rollen entscheidend sind

Ein ISB ohne ISKs läuft Gefahr, rein theoretische Konstrukte zu produzieren. Richtlinien, die ohne Rücksicht auf die operativen Gegebenheiten verfasst werden, stoßen auf Ablehnung und werden im Arbeitsalltag umgangen. Der ISK sorgt für die notwendige Bodenhaftung und Akzeptanz.

Umgekehrt ist ein ISK ohne zentralen ISB orientierungslos. Ohne eine einheitliche Strategie und klare Vorgaben würde jeder Fachbereich eigene Insellösungen entwickeln, was zu Sicherheitslücken, Compliance Risiken und Ineffizienz führt. Erst durch die Koordination des ISB entsteht ein schlüssiges und auditierbares Sicherheitskonzept.

Fazit: Informationssicherheit strukturiert umsetzen

Die Rollenverteilung zwischen ISB und ISK ist kein bürokratischer Selbstzweck. Sie ist die Antwort auf die Komplexität moderner IT Sicherheitsanforderungen. In einer resilienten Organisation ergänzen sich strategischer Weitblick und operatives Detailwissen zu einem starken Schutzschild.

Indem Unternehmen beide Rollen klar definieren und stärken, erfüllen sie nicht nur Anforderungen wie NIS2 oder ISO 27001. Sie schaffen eine Unternehmenskultur, in der Informationssicherheit und Cyber-Resilience integraler Bestandteil jedes Prozesses sind.

Weiterbildung für ISB und ISK im Bereich Informationssicherheit

Ganz gleich, ob Sie die strategische Gesamtverantwortung übernehmen oder die Sicherheit direkt in Ihrem Fachbereich gestalten möchten eine fundierte Ausbildung im Bereich IT Sicherheit und ISMS ist das Fundament für Ihren Erfolg. Unsere praxiserprobten Seminare bereiten Sie gezielt auf diese anspruchsvollen Aufgaben vor.