Externer Informationssicherheitsbeauftragter und vCISO: Aufgaben, Kosten und Grenzen

Ein externer Informationssicherheitsbeauftragter (ISB) oder virtueller CISO (vCISO) übernimmt die Rolle der Sicherheitsverantwortlichen im Zeitkontingent statt in Vollzeit. Abgerechnet wird meist als monatliche Pauschale mit festen Stunden oder Tagen pro Monat. Die Verantwortung für Informationssicherheit bleibt dennoch bei der Geschäftsleitung, denn sie lässt sich nicht auslagern. Dieser Beitrag erklärt Aufgaben, Preislogik und Vertragspunkte. Alle Beträge sind Rechenbeispiele.

Was ein externer ISB tut

Die Aufgaben entsprechen im Kern denen einer internen Stelle:

• Strategie und Leitlinie: Informationssicherheitsziele mit der Geschäftsleitung abstimmen, Leitlinie erstellen und aktuell halten.
• Risikomanagement: Risiken erfassen, bewerten und Maßnahmen priorisieren.
• Richtlinien und Prozesse: Regeln für Zugriffe, Passwörter, Datensicherung, Lieferanten und Notfälle entwickeln.
• Awareness: Schulungen für Mitarbeitende planen und begleiten.
• Vorfallmanagement: Meldewege festlegen, im Ernstfall koordinieren.
• Nachweise und Audits: Unterlagen für Kunden, Zertifizierer und Behörden vorbereiten.
• Berichte: Regelmäßig der Geschäftsleitung Bericht erstatten.

Die Begriffe sind nicht einheitlich geschützt. Der Titel ISB, ISO (Information Security Officer), CISO oder vCISO bezeichnet je nach Firma ähnliche Rollen. Wichtiger als der Titel ist die schriftliche Aufgabenbeschreibung.

Abgrenzung zu anderen Rollen

Besonders wichtig ist die Trennung: Wer Systeme betreibt, sollte deren Sicherheit nicht allein bewerten. Auch die Rolle der oder des Datenschutzbeauftragten sollte nicht mit der des ISB in einer Person zusammenfallen, wenn dadurch Interessenkonflikte entstehen können. Lassen Sie das im Einzelfall prüfen.

Preismodelle

1. Stundenkontingent pro Monat: Beispielsweise 8 oder 16 Stunden. Planbar, aber bei Überschreitung gelten Zusatzsätze.
2. Pauschale mit festem Leistungskatalog: Monatliche Gebühr für definierte Aufgaben wie Berichte, Schulungen und Audits.
3. Projektbasiert: Aufbau von Leitlinie, Risikoanalyse und Prozessen als Einmalprojekt, danach Reduktion auf Betreuung.
4. Tagessatz nach Bedarf: Flexibel, aber ohne Planbarkeit der Jahreskosten.

Rechenbeispiel (illustrativ)

Ein Unternehmen mit 40 Beschäftigten vereinbart ein Kontingent von 2 Personentagen pro Monat. Der Beispielsatz im Rechenmodell liegt zwischen 1.000 und 1.800 Euro je Tag.

1. Monatlich: 2 × 1.000 = 2.000 Euro bis 2 × 1.800 = 3.600 Euro
2. Jährlich: 24.000 bis 43.200 Euro
3. Zum Vergleich: Eine interne Teilzeitstelle verursacht neben dem Gehalt Nebenkosten, Weiterbildung und Vertretungsaufwand. Der Vergleich ist daher individuell zu rechnen.

Diese Zahlen zeigen die Rechnung, nicht die Preise am Markt. Mit dem Aufwandsrechner können Sie das Modell mit eigenen Werten durchspielen.

Was Sie vertraglich regeln sollten

• Aufgabenkatalog: Welche Leistungen sind enthalten, welche kosten extra?
• Erreichbarkeit: Reaktionszeit bei Rückfragen und bei Vorfällen, Vertretung bei Urlaub und Krankheit.
• Weisungsrechte und Befugnisse: Was darf die externe Person entscheiden, was nur empfehlen?
• Vertraulichkeit: Geheimhaltungsvereinbarung und, falls personenbezogene Daten sichtbar werden, Auftragsverarbeitung. Lesen Sie Verträge mit Dienstleistern: AVV, Geheimhaltung, Haftung.
• Haftung: Höhe, Ausschlüsse und Berufshaftpflichtversicherung des Anbieters.
• Laufzeit und Kündigung: Kurze Mindestlaufzeit zu Beginn, damit Sie die Zusammenarbeit erst testen können.
• Übergabe: Alle Dokumente gehören Ihnen und müssen bei Vertragsende in bearbeitbarer Form übergeben werden.

Wann ein externer ISB sinnvoll ist

• Sie haben keine Fachkraft für Informationssicherheit und brauchen eine strukturierte Einführung.
• Kunden oder Gesetz verlangen eine benannte verantwortliche Person oder Nachweise.
• Eine Zertifizierung nach ISO 27001 oder ein NIS2-Vorhaben steht an, siehe ISO 27001 Beratung: Aufwand und Kosten.
• Eine interne Stelle ist geplant, aber noch nicht besetzt.

Weniger sinnvoll ist das Modell, wenn die Geschäftsleitung kaum Zeit für die Zusammenarbeit einplant. Ein ISB kann nur wirken, wenn Entscheidungen getroffen und Maßnahmen umgesetzt werden.

Typische Fehler

• Titel ohne Befugnis: Ein ernannter ISB ohne Zugang zur Geschäftsleitung bleibt wirkungslos.
• Papierprojekt: Viele Richtlinien, wenig Umsetzung.
• Unklare Abgrenzung zur IT: Aufgaben fallen zwischen die Zuständigkeiten.
• Kontingent verfällt: Prüfen Sie, ob nicht genutzte Stunden angerechnet werden.
• Keine Ergebniskontrolle: Vereinbaren Sie quartalsweise Ziele, etwa umgesetzte Maßnahmen oder abgeschlossene Schulungen.

Wann Sie sich beraten lassen sollten

Wenn die Rolle gesetzlich oder vertraglich gefordert ist, etwa im Rahmen von NIS2, Branchenstandards oder Kundenaudits, klären Sie die Anforderungen vorab mit Ihrer Rechtsberatung. Fragen zur Trennung von Datenschutz und Informationssicherheit können Sie mit der Datenschutzaufsichtsbehörde Ihres Landes oder einer Fachanwältin klären.

Häufige Fragen

Ist ein externer ISB gesetzlich vorgeschrieben?

Eine allgemeine Pflicht für alle Unternehmen gibt es nicht. Einzelne Gesetze, Branchenstandards und Kundenverträge verlangen aber Verantwortliche für Informationssicherheit. Prüfen Sie Ihre konkrete Lage.

Kann der IT-Leiter die Rolle übernehmen?

Möglich, aber problematisch, weil er dann seine eigene Arbeit kontrolliert. Eine Trennung ist in der Regel besser.

Wie viele Stunden braucht ein kleines Unternehmen?

Das hängt von Ausgangslage und Zielen ab. Zu Beginn ist der Aufwand höher, später genügen oft wenige Stunden im Monat. Vereinbaren Sie eine Überprüfung des Kontingents nach einem halben Jahr.

Quellen und weiterführende Stellen

• Bundesamt für Sicherheit in der Informationstechnik (BSI) — Hinweise zur Rolle des Informationssicherheitsbeauftragten im IT-Grundschutz
• Allianz für Cyber-Sicherheit — Materialien für Unternehmen
• Bundesbeauftragte für den Datenschutz und die Informationsfreiheit — Informationen zur Rolle der Datenschutzbeauftragten