Was macht ein Informationssicherheitsbeauftragter?
Informationssicherheitsbeauftragte, oft kurz ISB genannt, sind dafür zuständig, dass vertrauliche Daten, Produktionsanlagen und IT-Systeme angemessen geschützt sind. Sie bauen ein Informationssicherheits-Managementsystem nach ISO 27001 oder IT-Grundschutz des BSI auf und halten es aktuell. Dazu gehören Schutzbedarfsfeststellungen, Risikoanalysen und Richtlinien etwa zu Passwörtern, Zugriffsrechten oder mobilen Geräten. Sie prüfen, ob Maßnahmen umgesetzt werden, bereiten interne und externe Audits vor, berichten an die Geschäftsführung und schulen Beschäftigte gegen Phishing und Social Engineering. Bei einem Sicherheitsvorfall koordinieren sie die Bewertung, die Meldung an Behörden und die Nacharbeit. In der Nahrungs- und Genussmittelindustrie kommt die Absicherung der Produktionstechnik hinzu: Steuerungen von Abfüll- und Verpackungsanlagen, Kühlketten und Warenwirtschaft hängen zunehmend am Netz, und große Hersteller fallen unter die Vorgaben für kritische Infrastrukturen im Sektor Ernährung. Selbst konfigurieren ISB meist wenig, sie steuern und kontrollieren, während die IT-Abteilung oder Dienstleister umsetzen.
Wie wird man Informationssicherheitsbeauftragter?
Einen geschützten Ausbildungsweg gibt es nicht. Üblich ist ein Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit, alternativ eine IT-Ausbildung, etwa zum Fachinformatiker, mit mehreren Jahren Berufserfahrung in Administration, Netzwerktechnik oder IT-Revision. Viele kommen als Quereinsteiger aus dem IT-Betrieb, dem Datenschutz oder dem Qualitätsmanagement. Fast immer erwartet werden Zertifikate wie ISO 27001 Lead Implementer oder Lead Auditor, IT-Grundschutz-Praktiker, CISM oder CISSP. Die Lehrgänge dauern wenige Tage bis einige Wochen, setzen aber praktische Erfahrung voraus, um sie sinnvoll anwenden zu können.
Was der Beruf verlangt
Die Rolle sitzt zwischen Fachabteilungen, IT und Geschäftsführung. ISB müssen Maßnahmen durchsetzen, die Geld kosten oder Abläufe verlangsamen, und stoßen dabei häufig auf Widerstand, ohne selbst Weisungsbefugnis zu haben. Viel Zeit geht in Dokumentation, Abstimmungen und Nachweise für Audits, was nicht jedem liegt, der aus der Technik kommt. Vor Zertifizierungsaudits und bei Vorfällen steigt der Druck deutlich; dann sind auch Einsätze am Abend oder Wochenende möglich, in manchen Unternehmen mit Rufbereitschaft. Die Verantwortung ist hoch, die Ressourcen sind in kleineren Betrieben oft knapp, und nicht selten ist die Stelle eine Einzelposition oder wird neben anderen Aufgaben wahrgenommen. Gesetzliche Vorgaben und Angriffsmethoden ändern sich laufend, was ständige Weiterbildung verlangt.
Aussichten
Die Nachfrage ist hoch und dürfte weiter steigen. Die NIS-2-Umsetzung weitet die Pflichten zur Informationssicherheit auf deutlich mehr Unternehmen aus, auch auf mittelgroße Lebensmittelhersteller, und Kunden aus Handel und Industrie verlangen zunehmend Nachweise wie ISO 27001 oder TISAX. Erfahrene Fachkräfte sind knapp. Entwicklungswege führen zur Leitung eines Sicherheitsteams, zur Position des Chief Information Security Officer, in die IT-Revision oder in die Beratung. Manche arbeiten als externe ISB für mehrere kleinere Unternehmen, angestellt bei einem Dienstleister oder selbstständig.