Informationssicherheitsbeauftragter

Leistungen

Ansprechpartner für alle Fragen der Informationssicherheit

Die Bestellung eines Informationssicherheitsbeauftragten (ISB) ist für Unternehmen verpflichtend, sofern sie ein zertifizierungsfähiges Informationssicherheitsmanagementsystem (ISMS) betreiben möchten. Unabhängig von einer Zertifizierung nach Standards wie ISO 27001, BSI IT-Grundschutz oder TISAX^® (VDA ISA) kann die Etablierung dieser Position sinnvoll sein, um das Managementsystem kontinuierlich weiterzuentwickeln, aktuelle Risiken im Blick zu behalten, eine zentrale Anlaufstelle für alle Fragen der Informationssicherheit zu haben und Interessenskonflikten bei internen Audits auszuschließen.

Die Tätigkeiten eines Informationssicherheitsbeauftragten umfassen im Wesentlichen folgende Punkte:

• Beratung der Geschäftsleitung und Mitarbeitenden bei informationssicherheitsbezogenen Fragen.
• Erarbeitung von Vorschlägen zur Verbesserung des ISMS.
• Unterstützung der Geschäftsleitung und Fachabteilungen bei der Erarbeitung, Überprüfung und Anpassung von Dokumenten des ISMS.
• Untersuchung von Informationssicherheitsvorfällen.
• Regelmäßige Durchführung von internen Audits zur Überprüfung der Informationssicherheit.
• Aufrechterhaltung der notwendigen Fachkunde.
• Sensibilisierung und Schulung der Mitarbeitenden

Intern oder extern – eine Frage der Ressourcen

Mit der Benennung eines internen ISB können für viele Unternehmen verschiedene Problemstellungen entstehen, weil:

• Viel Zeit des beauftragten Mitarbeitenden gebunden wird oder zusätzliches Personal für die Tätigkeit als ISB eingestellt werden muss.
• Interessenkonflikte zwischen der IT-Verantwortung und deren Überwachung im Rahmen des Managementsystems vorliegen können.
• Die notwendige Fachkunde in rechtlichen, technischen und branchenspezifischen Informationssicherheitsbelangen zunächst erworben, dauerhaft aufrecht erhalten und bedarfsgerecht vertieft werden muss.

Daher ist es für viele Unternehmen effektiver und ressourcenschonender, einen externen Informationssicherheitsbeauftragten (eISB) zu benennen. So kann auch eine Übernahme von Haftungsrisiken bei falscher Beratung und eine gesicherte Vertretung im Urlaubs- und Krankheitsfall realisiert werden.