ISO 27001 ist eine der besten Erfindungen der Informationssicherheit. Und eines der häufigsten Papierregale-Zertifikate.

Der Grund für beides ist dieselbe Rolle: der Informationssicherheitsbeauftragte (ISB). Wo diese Rolle gut besetzt und richtig eingebunden ist, entsteht ein System, das Sicherheit erzeugt. Wo sie nur nominal existiert, entsteht ein Ordner mit Dokumenten, die niemand pflegt und niemand nutzt.

Als externer ISB begleiten wir mehrere Unternehmen bei Erstzertifizierung, Überwachungsaudits und Rezertifizierung. Vier Muster, die den Unterschied machen.

1. ISB ist keine IT-Rolle

Der häufigste Fehler bei der Besetzung: „Wir haben doch einen IT-Leiter, der macht das mit." Der IT-Leiter ist genau die falsche Wahl. Er ist Objekt der Prüfung – nicht der Prüfer. Wenn derselbe Mensch sowohl den Server konfiguriert als auch dessen Sicherheit kontrolliert, gibt es keine belastbare Trennung.

Der ISB gehört organisatorisch zur Geschäftsführung, mit direktem Berichtsweg, unabhängig von IT-Entscheidungen. In kleinen und mittleren Unternehmen ist das praktisch nur mit einer externen Besetzung darstellbar – der interne ISB gerät zwangsläufig in Rollenkonflikte.

Ein interner ISB im Mittelstand ist meistens ein interner Interessenkonflikt mit ISB-Titel.

2. Der ISB gestaltet, nicht dokumentiert

Viele Zertifizierungsprojekte laufen so: Berater erstellt 200 Dokumente, Unternehmen unterschreibt, Auditor prüft, Zertifikat kommt. Zwei Jahre später kennt niemand mehr die Dokumente, und beim nächsten Audit muss das Berater-Ritual von vorne beginnen.

Ein guter ISB dreht die Reihenfolge um: erst der Prozess, dann die Dokumentation. Wir arbeiten mit Prozessverantwortlichen an konkreten Abläufen – Zugangsverwaltung, Backup-Test, Vorfallsmeldung – und dokumentieren am Ende, was gelebt wird. Nicht umgekehrt.

3. Vorfallmanagement ist der wichtigste Prozess

Auditoren interessieren sich weniger für Ihre Policy-Landschaft und mehr für die Frage: Was ist passiert, wie haben Sie es entdeckt, was haben Sie daraus gelernt?

Die meisten Unternehmen haben ein sauberes Incident-Management-Verfahren auf dem Papier – und drei nicht dokumentierte, aber real stattgefundene Vorfälle in den letzten zwölf Monaten. Die Diskrepanz ist der Grund, warum Audits stressig werden.

Als externer ISB etablieren wir eine niederschwellige Incident-Kultur: jede Auffälligkeit wird in wenigen Klicks gemeldet, kategorisiert und – wo relevant – mit einer Lessons-Learned-Zeile versehen. Nach 12 Monaten hat das Unternehmen eine echte Incident-Historie. Das ändert Audit-Gespräche fundamental.

Praxis-Hinweis: Wer beim nächsten Überwachungsaudit die letzten 15 Incidents inklusive Auswertung vorlegen kann, gewinnt mehr Vertrauen als ein Unternehmen mit 300 Policies und Null Ereignissen.

4. Der ISB ist Übersetzer, nicht Aufseher

Die schlechtesten ISB-Mandate sind die, in denen der Beauftragte den Fachabteilungen Regeln aufzwingt. Die besten sind die, in denen er zwischen Sicherheitsanforderung und operativer Realität übersetzt.

Beispiel: Ein Anbieter will einen USB-Stick anschließen, um Daten zu übergeben. Der schlechte ISB sagt „verboten". Der gute ISB fragt: „Welche Daten, mit welchem Zweck, welche Alternative haben wir?" Und findet – idealerweise gemeinsam mit der Fachabteilung – einen Weg, der sicher UND anwendbar ist.

Diese Übersetzungsarbeit ist der Grund, warum externe ISB-Mandate meistens 4–8 Stunden pro Monat brauchen, nicht 40. Es geht nicht um Fleiß, sondern um Klarheit.

Was ein externes ISB-Mandat leistet

  • Vorbereitung der Erstzertifizierung — Gap-Analyse, Aufbau des ISMS, Dokumentation, interne Audits, Begleitung des externen Audits.
  • Betrieb im Zertifizierungszyklus — regelmäßige Managementbewertungen, interne Audits, Incident-Management, Wirksamkeitsprüfungen.
  • Kommunikation mit Auditoren und Kunden — Ansprechpartner für Zertifizierungsstellen, Auskunftsfähigkeit bei Kunden-Audits.
  • Weiterentwicklung — Nachziehen bei neuen Anforderungen (KRITIS, NIS-2, DORA je nach Branche), Vermeidung von Doppelstrukturen.

Wann ein externer ISB sinnvoll ist

Für Unternehmen zwischen 20 und 300 Mitarbeitenden ist eine externe Besetzung fast immer die überlegene Wahl. Sie ist günstiger als eine interne Vollzeitstelle, bringt Erfahrung aus mehreren Mandaten mit, ist frei von internen Politiken und schafft die Rollentrennung, die ISO 27001 verlangt.

Kritisch: die Person muss Zeit haben, in Ihrem Unternehmen präsent zu sein – nicht als abstrakte Signatur, sondern als tatsächlicher Gesprächspartner für IT, Fachbereich und Geschäftsführung.

Wenn Sie über eine ISO-27001-Zertifizierung nachdenken oder mit Ihrer aktuellen Umsetzung unzufrieden sind: Sprechen Sie mit uns. Ein 30-Minuten-Erstgespräch klärt, ob und in welcher Form eine externe Besetzung passt.