Ab wann ist ein ISB vorgeschrieben?

Mit der Umsetzung der EU-Richtlinie NIS-2 in deutsches Recht hat sich der Druck auf Unternehmen, sich professionell mit Informationssicherheit zu beschäftigen, deutlich erhöht. Viele Betriebe müssen nun erstmals ein vollständiges Informationssicherheits-Managementsystem (ISMS) einführen und eine verantwortliche Person für Informationssicherheit benennen – selbst dann, wenn sie kein kritischer Infrastrukturbetrieb sind. Der Titel ist dabei nicht entscheidend: Ob die Position „Informationssicherheitsbeauftragter“, „CISO“ oder „Security Officer“ heißt, spielt juristisch keine Rolle. Entscheidend ist, dass ein Unternehmen eine fachkundige Person benennt, die das ISMS verantwortet und gegenüber der Geschäftsleitung berichten kann.

Besonders streng geregelt ist die Rolle in Bereichen, die bereits vor NIS2 unter das BSI-Gesetz (KRITIS) fielen. Betreiber kritischer Infrastrukturen – darunter Energie, Wasser, Gesundheit, IT- und Telekommunikation, Finanzwesen, Verkehr und Ernährung – müssen einen Informationssicherheitsbeauftragten offiziell benennen und diesen beim Bundesamt für Sicherheit in der Informationstechnik melden. Sie unterliegen zudem regelmäßigen Sicherheitsüberprüfungen und müssen die Wirksamkeit ihres ISMS nachweisen.

Auch der Finanz- und Versicherungssektor ist eindeutig reguliert. Die Vorgaben BAIT (für Banken), VAIT (für Versicherer) und ZAIT (für Zahlungsdienstleister) verpflichten Unternehmen, einen Informationssicherheitsbeauftragten einzusetzen, der organisatorisch unabhängig ist und direkt an die Geschäftsleitung berichtet. Diese Rolle ist fest definiert und zentraler Bestandteil der IT-Governance dieser Branchen.

Im Gesundheitswesen variiert die Pflicht je nach Einrichtung: KRITIS-Krankenhäuser müssen einen ISB benennen, während Anbieter in der Telematik-Infrastruktur durch gematik-Regelwerke („Gesellschaft für Telematikanwendungen der Gesundheitskarte mbH“) ebenfalls einer klaren Sicherheitsverantwortung unterliegen. Hinzu kommt die öffentliche Verwaltung, die in mehreren Bundesländern durch Landes-Informationssicherheitsgesetze verpflichtet ist, eine fachverantwortliche Person für Informationssicherheit zu bestimmen.

Unter dem Strich zeigt sich: Für eine wachsende Zahl von Unternehmen ist ein ISB nicht mehr nur eine Best Practice, sondern eine echte gesetzliche Anforderung. Für IT-Fachkräfte entsteht daraus ein klarer Vorteil: Die Nachfrage nach qualifizierten Spezialisten steigt mit jedem neuen Regulierungsrahmen weiter an – und wer heute in Informationssicherheit einsteigt, bewegt sich in einem der zukunftssichersten Bereiche der gesamten IT-Landschaft.