Anordnung des Informationssicherheitsbeauftragten (ISB) im Organigramm

Wo sollte der Informationssicherheitsbeauftragte (ISB) idealerweise im Organigramm der Organisation angeordnet sein? Woraus ergeben sich mögliche Interessenkonflikte? Dieser Blog-Artikel gibt Antworten auf diese Fragen.

Die Bezeichnungen des ISB sind in der Praxis unterschiedlich und ergeben sich aus den Gepflogenheiten des Unternehmens bei der Benennung von Stellen und Positionen sowie der Größe und dem Aufbau der jeweiligen Organisation. Beispiele für alternative Titel zum ISB wären: Leiter Informationssicherheit, Vice President Information Security, Information Security Officer (ISO), Chief Information Security Officer (CISO) oder Head of Information Security.

Idealtypische Anordnung des ISB

Die Geschäftsführung trägt im Rahmen ihrer Gesamtverantwortung auch die Verantwortung für die Informationssicherheit. Da sie die damit verbundenen Aufgaben meist nicht selbst wahrnehmen kann, beauftragt sie einen Mitarbeiter des Unternehmens damit: den Informationssicherheitsbeauftragten. Damit ist gleichzeitig geklärt, wer den ISB beauftragt und somit auch, in wessen Auftrag er tätig wird. Der ISB übernimmt damit wichtige Aufgaben, für die  Geschäftsleitung, die weiterhin die Gesamtverantwortung trägt. Es ist daher im Interesse der Geschäftsleitung ihren Beauftragten dicht bei sich zu haben, um sich von der ordnungsgemäßen Aufgabenerfüllung angemessen überzeugen zu können. Der ISB ist aus diesem Grund idealerweise als Stabsstelle bei der Geschäftsleitung angesiedelt.

Alternativer Anordnungen des ISB

Häufig gibt es in Unternehmen bzw. bei der Geschäftsleitung den Wunsch den ISB nicht als Stabsstelle bei der Geschäftsführung anzuordnen. Diese Wünsche sind teilweise verständlich, teilweise aber auch unbillig. Beispiele für mögliche Gründe zur alternativen Anordnung wären:

• Die Geschäftsleitung möchte das “unangenehme” Thema Informationssicherheit nicht so dicht bei sich haben.
• Die Arbeitsbelastung der einzelnen Geschäftsleitungsmitglieder ist bereits sehr hoch. Ein weiteres Thema auf dieser Ebene wird als nicht mehr zu bewältigen angesehen.
• Der (geplante) Inhaber der Stelle “Informationssicherheitsbeauftragter” erfüllt nicht die sonstigen Kriterien für eine Person auf dieser Ebene. Oftmals wird er z.B. als zu jung bzw. unerfahren angesehen.
• Die neue Stabsstelle würde das etablierte und austarierte Machtgefüge destabilisieren.
• Der ISB ist nur Teilzeit-ISB und hat noch weitere Aufgaben innerhalb der Organisation. Dies ist insbesondere in kleineren Unternehmen häufiger anzutreffen.

In diesem Artikel möchte ich zwei in der Praxis beliebte Anordnungen betrachten: der IT-Leiter als ISB und der ISB unterhalb des IT-Leiters. Eine dritte beliebte Kombination, der Datenschutzbeauftragte (DSB) als ISB, bespreche ich in einem späteren Blog-Artikel gesondert.

Zu den typischen Aufgaben des ISB gehören meist u.a.:

• die Erstellung einer Informationssicherheitsstrategie sowie von Richtlinien zur Informationssicherheit
• Informationssicherheitsrisikomanagement
• Überprüfung der Einhaltung der Regelungen der Informationssicherheit

IT-Leiter als ISB

Ein gern genutztes Argument zur Besetzung der Rolle des ISB mit dem IT-Leiter ist, dass Informationssicherheit ein IT-Thema sei und sich der IT-Leiter am besten damit auskenne. Dazu wäre folgendes zu erwidern:

• Informationssicherheit beschäftigt sich mit allen Informationen der Organisation, nicht nur mit denen, die in IT-Systemen verarbeitet werden.
• Der IT-Leiter ist Teil des operativen Bereiches. Seine Abteilung hat den IT-Betrieb sicherzustellen. Dazu stellt sie bestimmte Systeme und Anwendungen zur Verfügung.
  • Der ISB hat eine überwachende und überprüfende Funktion in Bezug auf die Regelungen der Informationssicherheit (s.o.) beim Betrieb dieser Systeme und Anwendungen. Der IT-Leiter überprüft sich in diesem Punkt also selbst.
• Ziele des IT-Leiters können zum Beispiel das planmäßige Abschließen von IT-Projekten sein. Sicherheitsfragen und -bedenken können dem entgegen stehen. Ein Interessenkonflikt entsteht insbesondere, wenn die Zielerfüllung Einfluss auf die Vergütung hat.

ISB unterhalb des IT-Leiters

Nicht besser wird es, wenn der ISB innerhalb der IT also unterhalb des IT-Leiters angeordnet ist. Der ISB hat eine überwachende und kontrollierende Funktion im Auftrag der Geschäftsführung. Meistens ist dies deshalb so geregelt, dass der ISB in seiner Funktion als ISB unmittelbar an die Geschäftsleitung berichtet. Er berichtet also der Geschäftsleitung über Entwicklungen, Probleme, Sicherheitsthemen und Nichtkonformitäten im Verantwortungsbereich seines unmittelbaren Vorgesetzten. Dieser ist dann für seine nächste Mitarbeiterbeurteilung inkl. Gehaltserhöhung zuständig. Der Interessenkonflikt ist mit den Händen zu greifen.

Sind Interessenkonflikte normkonform?

Es stellt sich die Frage, ob die beispielhaft skizzierten Interessenkonflikte in einem ISMS nach ISO 27001 normkonform sind?

Als erstes kommt einem das Control A.5.3 “Aufgabentrennung” in den Sinn. Dieses fordert, dass sich widersprechende Aufgaben und Verantwortungsbereiche voneinander getrennt sind. Das ist bei der ersten Anordnung IT-Leiter als ISB aus den oben dargelegten Gründen sicherlich nicht der Fall und daher grundsätzlich eine Nichtkonformität.

Im zweiten Fall ISB unterhalb des IT-Leiters ist dies schon schwieriger zu beurteilen. Wenn der ISB z.B. in einer kleinen Organisation nur in Teilzeit ISB ist und darüber hinaus weitere Aufgaben in der IT übernimmt, kommen zumindest für diese weiteren Aufgaben widersprechende Verantwortlichkeiten bei operativen Aufgaben und der Überwachung der selben in Betracht.

Ist der ISB in der Anordnung ISB unterhalb des IT-Leiters aber ausschließlich ISB, so sind Aufgaben und Verantwortlichkeiten voneinander getrennt, zumindest in der Person des ISB. Auf der Ebene der IT-Abteilung ist das nicht der Fall. Hier ist wieder der IT-Leiter für das operative IT-Geschäft verantwortlich. Ebenfalls ist er für die überwachende und kontrollierende Tätigkeit seines Mitarbeiters, dem ISB, verantwortlich. Eine Trennung liegt also nicht vor. Damit handelt es sich grundsätzlich um eine Nichtkonformität. Als Grundlage für eine Nichtkonformität käme in diesem Fall auch Kapitel 5.3 in Frage. Dieses fordert u.a., dass die Geschäftsleitung die Verantwortlichkeit und die Befugnis für das Sicherstellen, dass das ISMS die Anforderungen der ISO 27001 erfüllt, zuweisen muss. Das eine solche dysfunktionale Anordnung ein Funktionieren des ISMS sicherstellt, kann man zumindest bezweifeln. Da damit die Funktionsweise des ISMS als Ganzes in Frage gestellt ist, könnte man sogar zum Ergebnis kommen, dass es sich um eine schwerwiegende Nichtkonformität (Hauptabweichung) handelt.

Gerade in kleineren Organisationen ist eine vollständige Trennung der Aufgaben und Verantwortlichkeiten nicht immer zu gewährleisten. Mit der Frage, wie die unerwünschten Folgen abgemildert werden können, beschäftigt sich ein folgender Artikel. Für größere Organisationen können die entschuldigenden Zwänge kleinerer Unternehmen jedoch nicht gelten.

Was Sie auch interessieren könnte:

Seminar:

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!