Externer ISB: Aufgaben, Kosten und ab wann er sich lohnt

Er macht dasselbe wie ein interner ISB, nur auf Vertragsbasis. Die Hauptaufgabe beschreibt das BSI so: die Leitung bei der Informationssicherheit beraten und bei der Umsetzung unterstützen. Dazu zählt der BSI-Standard 200-2 unter anderem:

Das hängt davon ab, woran Sie sich messen lassen. § 38 BSIG, der die NIS-2-Pflichten regelt, nennt keinen ISB, sondern nimmt die Geschäftsleitung selbst in die Pflicht. Eine allgemeine gesetzliche Bestellpflicht für alle Unternehmen habe ich nicht gefunden. Für Ihre Branche können eigene Vorgaben gelten, das prüfen Sie im Einzelfall.

Wer nach IT-Grundschutz arbeitet, muss laut BSI einen ISB benennen. Die VDA ISA verlangt für TISAX definierte, dokumentierte und zugewiesene Verantwortlichkeiten, qualifizierte Personen und ausreichende Ressourcen. Im AL2-Assessment führt der Prüfer sein Interview mit der Person, die für Informationssicherheit verantwortlich ist. Der Titel ist dabei Nebensache, das BSI nennt selbst mehrere Bezeichnungen. Die Rolle muss besetzt sein.

Die Monatspreise, die ich bei deutschen Anbietern gefunden habe, reichen von 199 bis 4.990 Euro. Das sind Angaben der Anbieter selbst, keine unabhängige Markterhebung, und teils ist nicht angegeben, ob sie netto gelten.

Vergleichen Sie die enthaltenen Stunden, die Vertragslaufzeit und das, was extra berechnet wird. Ein Monatspreis ohne Stundenangabe sagt wenig. Mein Angebot liegt bei ab 790 Euro netto im Monat für bis zu sechs Stunden, remote, mit festem Termin und 24 Monaten Laufzeit. Mehraufwand rechne ich nach Absprache zum Tagessatz von 880 Euro netto ab. Ab dem 1. Januar 2027 kommen 19 Prozent Umsatzsteuer hinzu.

Zum Vergleich mit einer eigenen Stelle: StepStone nennt für angestellte Informationssicherheitsbeauftragte ein Mediangehalt von rund 61.100 Euro brutto im Jahr, in einer Spanne von 53.100 bis 72.600 Euro, ohne Arbeitgeberanteile. Eine Pauschale von 790 Euro ergibt 9.480 Euro im Jahr, eine von 1.890 Euro ergibt 22.680 Euro. Das ist kein direkter Vergleich, denn eine Vollzeitstelle liefert deutlich mehr Stunden und Präsenz. Rechnen Sie deshalb mit den Stunden, die die Rolle in Ihrem Betrieb wirklich braucht.

Eine feste Schwelle nach Mitarbeiterzahl habe ich in keiner Primärquelle gefunden. Das BSI schreibt, ein externer ISB könne insbesondere in kleinen Unternehmen zweckmäßig sein, und verlangt im IT-Grundschutz einen, wenn die Rolle intern nicht besetzt werden kann. Aus meiner Sicht passt er in diesen Fällen:

Steht ein Mitarbeitender mit Zeit, Qualifikation und direktem Zugang zur Geschäftsführung bereit, kann punktuelle Unterstützung von außen reichen. Auch wenn die Geschäftsführung Sicherheitsentscheidungen nicht treffen will, hilft die Rolle wenig: Ein ISB berät und treibt voran, die Gesamtverantwortung bleibt laut BSI bei der Leitung.

Das BSI wünscht sich Wissen und Erfahrung in Informationssicherheit und IT, Kenntnisse der Geschäftsprozesse, Erfahrung im Projektmanagement und Methoden zur Risikoanalyse. Dazu kommt Durchsetzungsvermögen, denn ein ISB muss auch der Leitung widersprechen können. Er braucht das direkte und jederzeitige Vorspracherecht bei der Leitung. Fragen Sie deshalb im Gespräch, wie der Berichtsweg aussieht und wer im Vertretungsfall übernimmt.

Der IT-Grundschutz verlangt, dass der Vertrag alle Aufgaben sowie Rechte und Pflichten umfasst, eine Vertraulichkeitsvereinbarung enthält und eine kontrollierte Beendigung mit Übergabe regelt. Die Umsetzungshinweise des BSI nennen außerdem:

Wer dieselben Systeme administriert, sollte sie nicht als ISB kontrollieren. Das BSI beschreibt dieses Problem ausdrücklich: Kontrollierende sollten nichts überprüfen, was sie selbst konzipiert haben. Deshalb übernehme ich die Rolle nicht dort, wo ich dieselben Systeme selbst betreue, und arbeite mit Ihrem IT-Dienstleister zusammen.