ISB als Steuerungsfunktion Cyberresilienz ist kein IT-Insel-Thema

Anbieter zum Thema

intersoft consulting services gmbh

cidaas by Widas ID GmbH

secunet Security Networks AG

Cyberresilienz scheitert im Mittelstand selten an Schutzmaßnahmen, sondern an fehlendem Überblick über kritische Systeme, Abhängigkeiten und Ausfallfolgen. Informationssicherheit ist daher eine Führungsaufgabe, nicht nur eine IT-Aufgabe.

Geschäftsführungen kennen ihre wirtschaftlichen Risiken meist gut, doch für die eigene IT-Landschaft fehlt streckenweise Transparenz. Dem Management fehlt eine ganzheitliche Betrachtung der Sicherheitslage. Wenn Informationssicherheit als Aufgabe der Führungsebene verstanden wird, erfordert sie eine Funktion, die Risiken für die Unternehmensleitung aufbereitet und ihre Bearbeitung systematisch nachverfolgt. Diese Rolle übernimmt der externe Informationssicherheitsbeauftragte (ISB). Er schafft die Verbindung zwischen Analyse, organisatorischer Umsetzung und den Entscheidungen der Geschäftsführung.

Führung in der digitalen Bedrohungslage

Warum Cyber-Resilienz Chefsache ist

Der ISB bewertet Risiken, entwickelt Handlungsempfehlungen und verfolgt deren Bearbeitung. Er bewertet den Umsetzungsstand und informiert die Geschäftsführung über verbleibende Risiken und offene Entscheidungen. Die operative Umsetzung liegt bei den Fachbereichen und der IT.

Dafür benötigt die Unternehmensleitung ein verdichtetes Sicherheitslagebild statt technischer Einzelbefunde. Aussagekräftig ist kein einzelner Security Score, sondern eine Kombination aus transparenten Bewertungen und entscheidungsrelevanten Kennzahlen. Sie muss erkennen lassen, welche Risiken kritische Geschäftsprozesse gefährden und wo weiterer Handlungsbedarf besteht. Auf dieser Grundlage können Verantwortlichkeiten, Maßnahmen und Berichtswege so strukturiert werden, dass Fortschritte für die Geschäftsführung nachvollziehbar bleiben und Informationssicherheit nicht in einzelnen Projekten feststeckt.

Empfehlungen für Sicherheitsverantwortliche

Diese Maßnahmen sollten CISOs bis Ende 2026 anstoßen

Informationsrisiken sichtbar machen

Eine belastbare Informationssicherheitsstrategie beginnt bei einer Bestandsaufnahme vorhandener Infrastrukturen. Gerade in gewachsenen Strukturen finden sich alte Rechner oder Anwendungen, die weiterhin zentrale Funktionen übernehmen und zum Beispiel Produktionsanlagen oder Gebäudetechnik steuern. Solange solche Abhängigkeiten unbekannt bleiben, kennt niemand die damit verbundenen Risiken.

Auf die Bestandsaufnahme folgt die Risikoanalyse, bei der Verantwortliche Eintrittswahrscheinlichkeit und mögliche Auswirkungen anhand definierter Kriterien bewerten. Ziel ist kein vermeintlich objektiver Zahlenwert, sondern eine nachvollziehbare Einschätzung, die sich bei vergleichbarer Ausgangslage wiederholen und gegenüber der Geschäftsführung begründen lässt.

Welches Sicherheitsniveau angemessen ist, ergibt sich aus dem konkreten Risikoprofil des Unternehmens. Geschäftsziele und Kritikalität der Prozesse spielen dabei ebenso eine Rolle wie Kundenanforderungen und verfügbare Mittel. Risikomanagement soll also nicht maximalen Schutz um jeden Preis erzeugen, sondern ein Sicherheitsniveau, das Gefährdung und wirtschaftlichen Aufwand in tragfähige Balance bringt.

Intransparenz ist das eigentliche Sicherheitsrisiko

Quantensicherheit beginnt mit einer Bestandsaufnahme

Resilienz braucht Praxisbezug

Dokumentierte Prozesse zu Notfällen und Wiederanlaufplänen schaffen noch keine Widerstandsfähigkeit. Erst im Praxistest stellt sich heraus, ob Zuständigkeiten klar sind, Kommunikationswege funktionieren und vorgesehene Ersatzverfahren unter realistischen Bedingungen tragen.

Häufig zeigt die Praxis, dass funktionierende Abläufe stark vom Wissen einzelner Mitarbeitender abhängen. Solange genau diese Personen verfügbar sind, wirkt die Organisation gut vorbereitet, doch wenn sie ausfallen, treten Lücken zutage. In Übungen müssen Zuständige deshalb prüfen, ob auch weniger erfahrene Mitarbeitende definierte Abläufe umsetzen und den Betrieb aufrechterhalten können.

Cyber-Resilienz braucht Blick auf die ganze Systemarchitektur

Fünf Schichten für effektive Cyber-Resilienz

Kein Backup ohne funktionierendes Recovery

Die meisten Mittelständler sichern regelmäßig ihre Daten. Doch längst nicht jedes Unternehmen prüft, ob sich diese Sicherungen im Ernstfall vollständig und innerhalb eines vertretbaren Zeitraums zurückspielen lassen.

Ein Backup allein belegt noch keine Wiederanlauffähigkeit. Ausschlaggebend bleibt, welche Daten im Ernstfall zur Verfügung stehen, welchen Aktualitätsstand sie besitzen und wie schnell geschäftskritische Systeme erneut ihren Betrieb aufnehmen. Deshalb sollten Unternehmen ihre Wiederherstellungsprozesse regelmäßig in praxisnahen Tests erproben. Erst ein erfolgreich getestetes Recovery macht sichtbar, welchen Beitrag die Datensicherung zur Resilienz leistet.

Ransomware-Recovery

Wenn Backups die Schwachstellen wiederherstellen

Informationssicherheit bleibt ein People Business

Technik und Prozesse schützen ein Unternehmen nur dann zuverlässig, wenn die Beschäftigten im entscheidenden Moment richtig handeln. Pauschale Sicherheitsschulungen reichen nicht, nötig ist Wissen, das zum jeweiligen Arbeitsalltag und zu den konkreten Risiken passt.

Ein Busfahrer in einem kommunalen Verkehrsbetrieb begegnet anderen Gefahren als ein Administrator in der IT. Für den Fahrer spielen etwa der sichere Umgang mit mobilen Endgeräten, Zugangskarten oder verdächtigen Nachrichten eine wichtige Rolle. Wer dagegen zentrale Systeme überwacht oder administriert, muss Angriffszeichen erkennen, Sicherheitsvorfälle einordnen und die vorgesehenen Abläufe im Ernstfall sicher beherrschen.

Ebenso wichtig ist eine funktionierende Meldekultur. Wer eine verdächtige Nachricht geöffnet, Zugangsdaten preisgegeben oder eine ungewöhnliche Systemreaktion bemerkt hat, muss den Vorfall schnell und ohne unnötige Hürden melden können. Schweigen kostet im Sicherheitsvorfall wertvolle Zeit. Je früher die zuständigen Stellen informiert sind, desto schneller lassen sich Angriffswege schließen und Folgeschäden begrenzen.

Cybersecurity Awareness Month 2026

Awareness unter Pflicht- und KI-Druck

Wann ein externer ISB Sinn ergibt

Ein Zusammenspiel aus interner Schulung und Expertise mit einem ISB, der von außen auf die IT-Strukturen blickt, ist essenziell. Der spezifische Vorteil des externen Modells liegt in zusätzlicher methodischer Expertise und in Erfahrungen aus unterschiedlichen Organisations- und Risikokonstellationen. Ein externer ISB kann Bewertungen mit größerer Distanz vornehmen und Erkenntnisse aus verschiedenen Projekten und Sicherheitsvorfällen einbringen. Gleichzeitig erhält das Unternehmen Fachkompetenz in einem Umfang, der zum tatsächlichen Bedarf passt, ohne dafür zwingend eine eigenständige Vollzeitfunktion aufbauen zu müssen.

Damit dieses Modell funktioniert, müssen Mandat, Zuständigkeiten und Informationswege eindeutig geregelt sein. Der externe ISB benötigt direkten Zugang zur Unternehmensleitung sowie zu den Informationen und Fachbereichen, die er für seine Bewertungen braucht. Ebenso klar sollte festgelegt sein, wer Entscheidungen trifft, Maßnahmen umsetzt und über deren Abschluss berichtet. Fehlen diese Strukturen, bleibt auch ein fachlich erfahrener externer ISB auf punktuelle Empfehlungen beschränkt.

Ein externer Informationssicherheitsbeauftragter übernimmt keine operative IT-Verantwortung. Administration, Systembetrieb und technische Umsetzung verbleiben bei der internen IT beziehungsweise den beauftragten Dienstleistern. Auch innerhalb des Unternehmens braucht es weiterhin eine feste Ansprechperson, die Abläufe kennt, Informationen zusammenführt und den Zugang zu relevanten Fachbereichen sicherstellt.

Mehrwert statt Mehraufwand

Vorteile von externen Datenschutz­beauftragten

Interne Zuständigkeiten bleiben relevant

Will ein Unternehmen Informationssicherheit dauerhaft systematisieren, kann der externe ISB den Aufbau und die Weiterentwicklung eines Informationssicherheitsmanagementsystems (ISMS) methodisch begleiten. Das ISMS schafft den organisatorischen Rahmen, in dem Risiken nach festgelegten Kriterien bewertet, Verantwortlichkeiten geregelt und Maßnahmen kontinuierlich überprüft werden. ISO 27001 kann dafür einen geeigneten Bezugsrahmen liefern. Eine Zertifizierung allein schafft jedoch noch keine belastbare Sicherheitsorganisation. Maßgeblich ist, ob die definierten Prozesse im Unternehmensalltag funktionieren und regelmäßig an veränderte Risiken angepasst werden.

Der notwendige Aufwand richtet sich dabei nach der Unternehmensgröße, bestehendem Reifegrad, der Komplexität der System- und Prozesslandschaft sowie dem individuellen Risikoprofil. Ein Unternehmen mit dokumentierten Zuständigkeiten und etablierten Sicherheitsprozessen startet deshalb an einem anderen Punkt als eine Organisation, in der kritische Abhängigkeiten zunächst transparent gemacht werden müssen.

Regulatorische Anforderungen wie NIS2 erhöhen den Bedarf an einer solchen Governance zusätzlich. Wo Rollen, Risikobewertungen und Nachweise bereits in einem etablierten Managementsystem verankert sind, lassen sich zusätzliche Pflichten strukturiert in vorhandene Prozesse integrieren. Fehlen diese Grundlagen, muss ein Unternehmen regulatorische Anforderungen und organisatorischen Aufbau parallel bewältigen. Der Handlungsdruck steigt damit gerade dort, wo Informationssicherheit bislang vorwiegend technisch und punktuell behandelt wurde.

Security-Insider Podcast – Folge 112

NIS 2 braucht im Mittelstand pragmatische Ansätze

Cyberresilienz entsteht nicht durch eine einzelne technische Maßnahme. Entscheidend ist, dass ein Unternehmen seine kritischen Abhängigkeiten kennt, Risiken nachvollziehbar bewertet und auf Störungen vorbereitet ist. Informationssicherheit muss dafür dauerhaft auf Managementebene gesteuert werden. Der ISB schafft die organisatorische Verbindung zwischen dieser Steuerung und ihrer Umsetzung. Genau dort beginnt Cyberresilienz als unternehmerische Aufgabe.

Über den Autor: Ralf Lüneburg ist Managing Consultant für Informationssicherheit bei der intersoft consulting services AG. Seit mehr als 20 Jahren begleitet er Unternehmen beim Aufbau und der Weiterentwicklung von Informationssicherheitsmanagementsystemen. Als zertifizierter ISO-27001- und ISO-22301-Lead-Auditor verfügt er über umfassende Erfahrung in der Prüfung und Umsetzung regulatorischer Anforderungen. Zu seinen Schwerpunkten zählen der BSI-IT-Grundschutz, NIS-2, KRITIS, Business Continuity Management und die Sicherheit Infrastrukturen.

Stufenweiser Weg zur ISO-zertifizierten IT-Sicherheit

Informationssicherheit muss für KMU nicht gleich ISO 27001 sein

(ID:51014464)