Externer Informationssicherheitsbeauftragter — die Rolle, nicht die Planstelle.

NIS2, ISO 27001 und TISAX® fordern übereinstimmend dasselbe: eine benannte, erreichbare und mit Ressourcen ausgestattete Verantwortung für Informationssicherheit. In Unternehmen zwischen zwanzig und zweihundert Mitarbeitenden gibt es dafür selten eine passende Stelle — die Aufgabe landet dann bei der IT-Leitung, die schon eine Vollzeitrolle hat. Wir übernehmen das Mandat: als benannter ISB, mit festem Berichtsweg an Ihre Geschäftsleitung.

Mandat besprechen NIS2-Kontext ansehen

3 Regelwerke, eine Rolle

67 % der MSPs bieten vCISO an (2025)

1–4 Tage im Monat, typisch

§ 38 BSIG — Pflicht der Leitung

Ausgangslage

Die Rolle ist gefordert. Besetzt ist sie fast nie.

Nicht aus Nachlässigkeit — sondern weil sie für die meisten Unternehmen zu groß für nebenbei und zu klein für eine eigene Stelle ist.

„Macht die IT-Leitung mit“

Wer den Betrieb verantwortet, kann ihn nicht unabhängig bewerten. Diese Doppelrolle fällt spätestens im Audit auf — und führt dazu, dass Sicherheitsarbeit immer hinter dem Tagesgeschäft zurücksteht.

Dokumente ohne Betrieb

Ein extern erstelltes Richtlinienpaket besteht kein Audit, wenn niemand es fortschreibt. Assessoren prüfen nicht, ob ein ISMS existiert, sondern ob es gelebt wird — daran scheitern Zertifizierungen häufiger als an Technik.

Die Leitung berichtet an sich selbst

§ 38 BSIG verlangt Billigung und Überwachung durch die Geschäftsleitung. Ohne jemanden, der ihr regelmäßig und strukturiert berichtet, ist diese Pflicht praktisch nicht erfüllbar — und im Zweifel nicht belegbar.

Kein Ansprechpartner für Kunden

Sicherheitsfragebögen, Auditanfragen und Lieferkettenprüfungen brauchen einen Adressaten mit Sachkenntnis. Fehlt er, wandern diese Anfragen durchs Haus und werden zu langsam oder zu vage beantwortet.

Vergleich

Drei Wege, dieselbe Pflicht zu erfüllen.

Die Frage ist selten, ob die Rolle gebraucht wird — sondern in welcher Form sie zur Unternehmensgröße passt.

	Intern angestellt	Externes Mandat (vCISO)	Nebenbei durch die IT
Verfügbar ab	drei bis neun Monate Suche	zwei bis vier Wochen	sofort — nominell
Kosten	Vollzeitstelle plus Weiterbildung	Bruchteil davon, an den Bedarf gekoppelt	versteckt — in Überstunden und liegengebliebenem Betrieb
Unabhängigkeit	gegeben, sofern nicht der IT unterstellt	strukturell gegeben	nicht gegeben — Betrieb bewertet sich selbst
Zertifizierungserfahrung	abhängig von der Person	aus vielen Verfahren, nicht aus einem	meist keine
Skaliert bei Auditdruck	nein — die Stelle bleibt gleich groß	ja — Umfang wird angepasst	nein — der Betrieb leidet zuerst
Sinnvoll ab	etwa 200 Mitarbeitenden	etwa 20 bis 200 Mitarbeitenden	nur als Übergangslösung

Der Markt bestätigt diese Rechnung: Der Anteil der Managed Service Provider mit vCISO-Angebot stieg laut dem State-of-the-vCISO-Report 2025 von 21 auf 67 Prozent binnen eines Jahres. Nicht, weil das Modell neu wäre — sondern weil die Regulierung inzwischen bei Unternehmensgrößen ankommt, die sich eine eigene Sicherheitsabteilung nie leisten konnten.

Leistungen

Was im Mandat enthalten ist.

Keine Beratung auf Zuruf, sondern eine Rolle mit festen Terminen, festen Ergebnissen und einem festen Berichtsweg.

Steuerung

Ein ISMS, das jemand tatsächlich führt.

Pflege von Risikoregister, Maßnahmenplan und Richtlinien im laufenden Betrieb — mit festen Terminen statt anlassbezogener Aufwallungen kurz vor dem Audit.

Managementbericht

Die Grundlage, auf der Ihre Leitung entscheidet.

Quartalsbericht an die Geschäftsleitung: Risikolage, Stand der Maßnahmen, offene Entscheidungen — dokumentiert und damit als Nachweis der Überwachungspflicht nach § 38 BSIG verwendbar.

Audit

Der, der im Audit neben Ihnen sitzt.

Vorbereitung und Begleitung von ISO-27001-Zertifizierungen und TISAX®-Assessments, Bearbeitung von Abweichungen und Kommunikation mit Auditoren — aus der Perspektive eines Lead Auditors.

Vorfall

Im Ernstfall die ruhige Stimme.

Eingeübte Reaktion auf Sicherheitsvorfälle inklusive der NIS2-Meldeketten mit 24-Stunden-Erstmeldung — vorbereitet, bevor sie gebraucht wird, nicht improvisiert, wenn es brennt.

Lieferkette

Antworten, die Aufträge nicht verzögern.

Bearbeitung von Sicherheitsfragebögen und Lieferkettenanfragen Ihrer Kunden sowie Prüfung der Sicherheitsklauseln in Verträgen, bevor sie unterschrieben werden.

Schulung

Awareness, die über eine Jahrespflicht hinausgeht.

Sensibilisierung der Belegschaft und die von NIS2 geforderte Schulung der Geschäftsleitung — dokumentiert, weil auch die Dokumentation Teil der Pflicht ist.

Unterschied

Ein ISB, der die Maßnahme auch umsetzen kann.

Die meisten vCISO-Mandate enden am Rand der Technik: Es wird eine Richtlinie geschrieben, deren Umsetzung dann jemand anderes schuldet. Bei Apple-Flotten verkürzen wir diesen Weg — was das ISMS verlangt, wird über Mosyle MDM erzwungen und ist im nächsten Audit als Nachweis abrufbar.

Festplattenverschlüsselung und Patchstand als erzwungene Konfiguration, nicht als Bitte
Gerätekonformität als Voraussetzung für Zugriff, kontinuierlich geprüft
Nachweise für Audits direkt aus dem MDM statt aus Screenshots
Ein Ansprechpartner für Sicherheitsanforderung und technische Umsetzung

FAQ

Häufig gestellte Fragen zum Mandat.

Was ist der Unterschied zwischen einem vCISO und einem externen ISB?

In der Praxis meinen beide Begriffe dieselbe Sache aus zwei Blickwinkeln. „Externer Informationssicherheitsbeauftragter“ ist der Begriff, den die deutschen Regelwerke verwenden — er beschreibt die benannte Rolle, die ISO 27001, der VDA-ISA-Katalog und die Umsetzung von NIS2 organisatorisch voraussetzen. „vCISO“ ist der Marktbegriff für dasselbe Mandat, meist mit etwas mehr Gewicht auf Strategie, Budgetberatung und Managementkommunikation. Wir liefern beides in einem Mandat und richten den Schwerpunkt danach aus, ob Sie gerade auf ein Audit zusteuern oder ein Sicherheitsprogramm über Jahre führen.

Übernimmt der externe ISB die Haftung der Geschäftsführung?

Nein — und jeder Anbieter, der das verspricht, sollte Sie misstrauisch machen. § 38 BSIG weist die Billigung der Risikomanagementmaßnahmen und die Überwachung ihrer Umsetzung ausdrücklich der Geschäftsleitung zu; ein Verzicht auf Ersatzansprüche ist gesetzlich ausgeschlossen. Was ein externer ISB leistet, ist etwas anderes und praktisch Entscheidendes: Er versetzt die Geschäftsleitung überhaupt erst in die Lage, ihrer Überwachungspflicht nachzukommen — durch regelmäßige, dokumentierte Berichte, klare Entscheidungsvorlagen und nachvollziehbare Risikobewertungen. Genau diese Nachweise sind es, auf die es im Ernstfall ankommt.

Wie viel Zeit nimmt das im Monat in Anspruch?

Der typische Umfang liegt zwischen einem und vier Tagen im Monat. Ein Unternehmen mit rund fünfzig Mitarbeitenden und bestehendem ISMS kommt im Regelbetrieb meist mit ein bis zwei Tagen aus. In Phasen mit Zertifizierung, TISAX®-Assessment oder einem akuten Sicherheitsvorfall steigt der Bedarf deutlich — und fällt danach wieder. Genau diese Elastizität ist der Kern des Modells: Eine feste Stelle können Sie nicht atmen lassen, ein Mandat schon.

Kann ein Externer die Rolle bei TISAX® überhaupt ausfüllen?

Ja. Der VDA-ISA-Katalog verlangt, dass die Verantwortung für Informationssicherheit klar benannt, mit Ressourcen ausgestattet und in der Organisation verankert ist — er verlangt nicht, dass die Person im Unternehmen angestellt ist. Entscheidend für Assessoren ist, dass die Rolle erreichbar ist, tatsächlich Entscheidungen vorbereitet und über einen dokumentierten Berichtsweg an die Leitungsebene angebunden ist. Ein externes Mandat erfüllt das, sofern es vertraglich sauber geregelt und im ISMS abgebildet ist.

Was passiert, wenn wir später intern besetzen wollen?

Dann ist das ein geordneter Übergang und kein Neuanfang. Alles, was im Mandat entsteht — Richtlinien, Risikoregister, Maßnahmenpläne, Berichtswege, Auditprotokolle — gehört Ihnen und liegt in Ihren Systemen, nicht in unseren. Viele Unternehmen nutzen das Mandat genau so: als Aufbauphase, bis die Organisation groß genug für eine eigene Stelle ist. Wir übergeben an die interne Nachfolge und begleiten die Einarbeitung, wenn das gewünscht ist.

Passend dazu

Leistung