Wer sich mit Informationssicherheit beschäftigt, stößt früher oder später auf die Rolle des Informationssicherheitsbeauftragten (ISB). In vielen Unternehmen ist diese Position gesetzlich oder regulatorisch vorgeschrieben, in anderen wird sie freiwillig geschaffen, um dem Thema einen festen Platz zu geben. Der ISB ist dabei ein merkwürdiges Zwitterwesen: Er ist weder reiner Technikexperte noch bloßer Verwalter von Richtlinien. Er ist Übersetzer zwischen Welten, Vermittler zwischen Geschäftsleitung und IT, Wächter über Regeln – und manchmal auch Feuerwehrmann, wenn etwas brennt. Gleichzeitig ist er Architekt, der langfristige Strukturen entwirft, um das Haus der Informationssicherheit stabil und zukunftsfähig zu machen. Genau diese Doppelrolle macht die Funktion anspruchsvoll – und für den Unternehmenserfolg essenziell.

Auftrag, Mandat und rechtlicher Rahmen: Wofür der ISB wirklich verantwortlich ist

Der ISB ist kein „nice to have“, sondern Träger eines klaren Auftrags. Je nach Branche und Größe des Unternehmens ergibt sich dieser aus Normen, Gesetzen und Aufsichtsanforderungen. In Deutschland sind vor allem ISO/IEC 27001, der BSI IT-Grundschutz sowie aufsichtsrechtliche Leitlinien relevant (z. B. BAIT für Banken, VAIT für Versicherungen, KAIT für Kapitalverwaltungsgesellschaften). Hinzu kommen horizontale Anforderungen wie NIS2 (Sicherheits- und Meldepflichten für wichtige/besonders wichtige Einrichtungen), DORA (Resilienz im Finanzsektor), DSGVO (TOMs, 72-Stunden-Meldepflicht bei Datenschutzvorfällen) und – je nach Geschäftsmodell – branchenspezifische Rahmenwerke wie TISAX (Automotive) oder IEC 62443 (OT/Industrie).

Die neue NIS2-Richtlinie gilt als Meilenstein in der europäischen Cybersicherheitsgesetzgebung. Sie weitet den Anwendungsbereich deutlich aus, erhöht die Anforderungen und sieht spürbare Sanktionen vor. Für viele Unternehmen ist NIS2 jedoch nicht nur eine regulatorische Vorgabe, sondern auch eine ernsthafte organisatorische und technische Herausforderung. Denn zwischen dem Verständnis der Richtlinie und ihrer praktischen Umsetzung liegen oft Welten. Viele starten motiviert, geraten aber auf halber Strecke ins Stocken – nicht aus bösem Willen, sondern weil die Stolpersteine dort liegen, wo man sie zunächst gar nicht vermutet.

Dieser Beitrag zeigt die häufigsten Fallstricke, erklärt, warum sie gefährlich sind, und beschreibt konkrete Gegenmaßnahmen. Ziel ist, NIS2 nicht nur als Pflicht zu betrachten, sondern als Chance, die eigene Cyber-Resilienz nachhaltig zu stärken – mit klaren Verantwortlichkeiten, gelebten Prozessen und belastbaren Nachweisen.

In der Welt der Informationssicherheit gibt es ein Prinzip, das so grundlegend ist, dass es in fast jedem Lehrbuch, in jeder Norm und in jeder Schulung vorkommt. Es besteht aus drei scheinbar einfachen Begriffen: Vertraulichkeit, Integrität und Verfügbarkeit. Diese „drei magischen Worte“ sind mehr als nur Fachvokabular – sie sind das Fundament, auf dem jede Sicherheitsstrategie aufbaut. Wer sie versteht, begreift, was Informationssicherheit im Kern bedeutet. Und wer sie ignoriert, riskiert, dass alle technischen Maßnahmen und organisatorischen Regeln am Ende wirkungslos bleiben. Diese drei Prinzipien – oft als CIA-Triade (Confidentiality, Integrity, Availability) bezeichnet – tauchen in verschiedenen Kontexten auf: in der ISO-27001-Norm, im BSI-IT-Grundschutz, in NIST-Publikationen, in Unternehmensrichtlinien und sogar in Gesetzen (etwa in der DSGVO, die ausdrücklich Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten verlangt). Sie sind universell anwendbar, unabhängig davon, ob es um den Schutz von Kundendaten in einer Bank, den Quellcode einer Softwarefirma, die Rezeptur eines Pharmaunternehmens, den Einsatzplan einer Feuerwehr oder die Steuerungsdaten einer Produktionsanlage geht. Dennoch werden sie in der Praxis häufig nur oberflächlich behandelt – als Theorieblock, den man schnell abhakt, bevor es zu „spannenden“ Themen wie Firewalls, Cloud-Security oder Penetrationstests kommt. Genau hier verschenken Organisationen Potenzial: Die Triade ist kein Aufsatzthema, sondern ein scharfes Werkzeug, das Prioritäten schafft, Architekturentscheidungen lenkt, Messgrößen definiert und Krisenentscheidungen vereinfacht.

Vertraulichkeit: Kontrolle darüber, wer was wann sehen darf

Vertraulichkeit bedeutet, dass nur diejenigen auf eine Information zugreifen können, die dazu berechtigt sind – nicht mehr und nicht weniger. Klingt banal, ist aber in einer vernetzten Welt eine immense Herausforderung. Früher genügte ein verschlossener Aktenschrank und eine Zugangsliste. Heute leben Daten verteilt über Rechenzentren, SaaS-Dienste, Clouds und mobile Endgeräte, oft über Ländergrenzen hinweg und eingebettet in komplexe Lieferketten. Ein einziger ungesicherter Zugang – sei es ein schwaches Passwort, eine offene API, eine falsch konfigurierte Cloud-Bucket, ein ausgeleiteter Zugriffstoken oder ein kompromittiertes Nutzerkonto – kann dazu führen, dass sensible Informationen in falsche Hände geraten. In regulierten Branchen ist der Verlust der Vertraulichkeit nicht nur peinlich, sondern teuer und potenziell existenzbedrohend: Bußgelder, Schadensersatz, Vertragsstrafen, Auflagen, Marktvertrauensverlust. Vertraulichkeit entsteht aus einer Kette von Bausteinen: Identitäts- und Zugriffsmanagement (MFA, rollen- und attributbasierte Berechtigungen, „least privilege“, Just-in-Time-Privilegien), sauberes On- und Offboarding, starke Authentisierungsverfahren (phishing-resistente Methoden wie FIDO2), durchgängige Verschlüsselung (in Ruhe, in Bewegung, bei Verarbeitung – z. B. über Hardware-Sicherheitsmodule oder vertrauliches Rechnen), Geheimnisverwaltung (Schlüssel, Tokens, Zertifikate), Protokollierung und Alarme auf untypische Zugriffe, Data-Loss-Prevention und Data-Governance (Klassifizierung, Labeling, Richtlinien), sowie physische Maßnahmen (Zutritt, Begleitpflicht, Sichtschutz, sichere Entsorgung). Entscheidend ist, dass Vertraulichkeit nicht nur „technisch“ gedacht wird: Auch Prozesse (z. B. Maker-Checker-Freigaben), Verträge (z. B. mit Dienstleistern) und Kultur (z. B. „Clean Desk“, „Need-to-know“, Meldekultur) gehören dazu.

Digitale Resilienz ist in den letzten Jahren zu einem festen Begriff in der Finanzwelt geworden. Unternehmen sprechen darüber in Strategiepapieren, Beratungsfirmen verwenden ihn in Hochglanzpräsentationen, und auch Regulierungsbehörden betonen immer wieder seine Bedeutung. Doch während Resilienz lange Zeit vor allem als gutes Ziel galt – als eine Art Leitlinie, an der man sich orientieren konnte – hat sich die Situation mit dem Digital Operational Resilience Act, kurz DORA, grundlegend verändert. Aus der Theorie ist eine gesetzliche Pflicht geworden, und die EU hat dafür fünf zentrale Säulen definiert, die jedes betroffene Unternehmen umsetzen muss. Diese Säulen sind nicht nur Überschriften in einem Gesetzestext, sondern bilden ein verbindliches Gerüst, das alle relevanten Aspekte abdeckt, um den Betrieb auch unter digitalen Extrembedingungen aufrechtzuerhalten. Wer sie versteht, erkennt schnell: Es geht nicht nur um Technik, sondern um ein Zusammenspiel aus Prozessen, Organisation und Kultur.

Der Gesamtzusammenhang: Warum DORA digitale Resilienz neu definiert

DORA ist keine weitere „IT-Compliance-Checkliste“, sondern ein Rahmenwerk, das das Zusammenspiel von Risikomanagement, operativem Betrieb, Lieferkette, Testkultur und sektorweitem Lernen in den Mittelpunkt stellt. Der Kernunterschied zu älteren Regelwerken: DORA verlangt Wirksamkeit. Es genügt nicht, Policies zu schreiben oder Tools zu beschaffen. Entscheidend ist, ob ein Institut seine kritischen Dienstleistungen auch dann liefern kann, wenn Teile der IT gestört, angegriffen oder extern beeinträchtigt werden. Messbar wird das an Reaktionszeiten, Wiederanlauf, Qualität der Kommunikation, Stabilität der Lieferkette und geübten Notfallabläufen. Die fünf Säulen bilden dafür die Struktur – die Umsetzung wird am Ergebnis gemessen.

Wenn über Informationssicherheit gesprochen wird, fällt ein Name fast immer: ISO 27001. Für viele klingt es nach einem dieser kryptischen Kürzel, die nur Berater, Auditoren und IT-Abteilungen verstehen. Manche halten es für eine rein formale Zertifizierung, eine Pflichtübung, um Kunden oder Aufsichtsbehörden zufriedenzustellen. Doch hinter der nüchternen Bezeichnung steckt weit mehr: ISO 27001 ist ein weltweit anerkannter Standard, der den Rahmen vorgibt, wie Organisationen ihre Informationssicherheit systematisch planen, umsetzen, überwachen und verbessern können. Wer ihn richtig versteht, erkennt, dass es nicht nur um IT geht, sondern um ein strategisches Managementsystem, das tief in die Organisation hineinwirkt. ISO 27001 macht Informationssicherheit mess-, steuer- und auditierbar und bringt damit Ordnung in ein Feld, das sonst leicht zur Ansammlung isolierter Maßnahmen verkommt.

Ein kurzer Blick zurück: Von BS 7799 zur globalen Referenz

Um zu verstehen, warum ISO 27001 so wichtig ist, lohnt ein Blick zurück. In den 1990er-Jahren wuchs die Erkenntnis, dass Informationssicherheit nicht nur aus technischen Maßnahmen wie Firewalls und Virenscannern bestehen kann. Unternehmen bauten globale Lieferketten auf, verarbeiteten Daten grenzüberschreitend und setzten immer stärker auf vernetzte Systeme. Gleichzeitig nahmen Angriffe zu, der Markt professionalisierte sich. Die British Standards Institution veröffentlichte 1995 den BS 7799, den direkten Vorläufer von ISO 27001. Ziel war es, einen strukturierten, nachvollziehbaren Ansatz für das Management von Informationssicherheit zu schaffen – mit klaren Rollen, Prozessen und Nachweisen. 2005 wurde der Standard zusammen mit der International Organization for Standardization weiterentwickelt und als ISO/IEC 27001 international etabliert. Seitdem gab es wichtige Anpassungen, zuletzt 2022: ISO/IEC 27001:2022 passt Terminologie, Struktur und Anhang A an die modernisierte ISO/IEC 27002:2022 an.