Start/Externe ISB
Externe ISB
Die Rolle muss besetzt sein. Sie muss nicht bei euch sitzen.
Ein Kunde, eine Ausschreibung oder die Norm selbst verlangt einen Informationssicherheitsbeauftragten. Intern gibt es niemanden mit der Qualifikation — und für eine eigene Stelle ist der Betrieb zu klein. Genau dafür gibt es das externe Mandat.
ab 890 €/Monat · je nach Stundenumfang
Richtpreis · Endpreis, keine Umsatzsteuer (§ 19 UStG)
Wann das gebraucht wird
Die Rolle ist auf dem Papier dem Geschäftsführer zugeordnet, der sie faktisch nicht ausfüllt.
Ein Kunde fragt nach dem Namen des ISB, und ihr müsst improvisieren.
Der Kollege, der es nebenbei macht, hat weder Zeit noch Ausbildung dafür.
Das Zertifikat ist da, aber seit dem Audit hat niemand das ISMS angefasst.
Was drin ist
Benannte Ansprechpartnerin
Eine Person mit Namen und Qualifikation, die ihr Kunden und Auditoren nennen könnt — nicht eine Firma, hinter der wechselnde Leute stehen.
Laufender Betrieb des ISMS
Risikoanalyse aktuell halten, Maßnahmen nachverfolgen, Dokumente pflegen, Managementbewertung vorbereiten. Die Arbeit, die zwischen zwei Audits liegt und sonst liegen bleibt.
Sicherheitsvorfälle
Aufnahme, Einordnung, Dokumentation, Nachbereitung. Inklusive der Frage, ob eine Meldepflicht besteht — und an wen.
Ansprechpartnerin für eure Kunden
Sicherheitsfragebögen von Großkunden, Lieferantenaudits, Nachweise. Das frisst intern oft mehr Zeit als das Zertifikat selbst.
Sensibilisierung
Kurze, regelmäßige Schulungen für das Team statt einer Jahrespflichtübung, die niemand ernst nimmt.
Auditbegleitung
Überwachungsaudits und Rezertifizierung vorbereiten und begleiten.
Ablauf
01
Kennenlernen
Was verlangt wer von euch, und was ist schon da. Danach steht der Stundenumfang, den das Mandat realistisch braucht.
02
Übernahme
Bestandsaufnahme, Übergabe vom bisherigen Zuständigen, Benennung gegenüber Kunden und Zertifizierungsstelle.
03
Laufender Betrieb
Feste Termine, dazwischen erreichbar. Ihr bekommt einen kurzen Bericht, den ihr in die Managementbewertung übernehmen könnt.
Was wir ausdrücklich nicht sind
Drei Punkte, die im Verkaufsgespräch gern unter den Tisch fallen. Wer sie nicht sagt, verkauft leichter — und liefert später etwas anderes, als erwartet wurde.
Wir sind keine Zertifizierungsstelle
Das Zertifikat stellt eine akkreditierte Stelle aus — DEKRA, TÜV, DQS und andere. Wir bereiten darauf vor und begleiten, wir zertifizieren nicht.
Das ersetzt kein Audit
Was wir liefern, ist eine belastbare Selbsteinschätzung mit Belegen. Das Zertifizierungsaudit findet danach statt und kann trotzdem Abweichungen finden.
Unabhängigkeitsregel
Wer euer ISMS aufbaut, darf es nicht selbst zertifizieren — und auch nicht das interne Audit dazu führen, wenn es Grundlage der Zertifizierung ist. Wenn wir beim Aufbau geholfen haben, sagen wir euch vorher, welche Rolle wir danach nicht mehr übernehmen können.
Häufige Fragen
Darf ein Externer diese Rolle überhaupt ausfüllen?
Ja. Die Norm verlangt, dass Verantwortung und Befugnisse zugewiesen sind — nicht, dass die Person angestellt ist. Wichtig ist, dass sie tatsächlich Zugang zur Leitung hat und gehört wird; das schreiben wir in den Vertrag.
Was ist der Unterschied zum Datenschutzbeauftragten?
Der Datenschutzbeauftragte schützt personenbezogene Daten und ist gesetzlich geregelt. Der Informationssicherheitsbeauftragte schützt alle schützenswerten Informationen des Betriebs — auch Konstruktionsdaten, Kalkulationen, Verträge. Beide Rollen überschneiden sich, ersetzen sich aber nicht.
Brauchen wir das wegen NIS2?
Möglicherweise. NIS2 trifft mehr Betriebe als die Vorgängerregelung und verlangt unter anderem, dass die Leitung Risikomanagement nachweislich verantwortet. Ob ihr betroffen seid, hängt an Branche und Größe — das klären wir im Erstgespräch, bevor jemand ein Mandat verkauft. Wenn der Kunde den Lieferanten-Fragebogen schon geschickt hat: Fragebogen-Review, 299 €.
Was passiert, wenn ihr ausfallt?
Eine ehrliche Antwort dazu gehört in den Vertrag, nicht auf eine Website. Wir regeln Vertretung und Übergabe schriftlich, bevor das Mandat beginnt.
Erstgespräch, bevor jemand ein Angebot schreibt.
Wir klären, wer das Zertifikat eigentlich verlangt, bis wann, und was ihr schon habt. Wenn der Termin nicht zu halten ist, erfahrt ihr das dort — nicht drei Monate später.
