Der externe ISB: wann er sich rechnet und wann nicht

Auf die Frage, wer im Haus Informationssicherheitsbeauftragter ist, kommt oft eine schnelle Antwort: „Das macht bei uns der IT-Leiter mit.“ Sie ist ehrlich gemeint, und sie beschreibt fast immer eine Rolle, die es auf dem Organigramm gibt und im Alltag nicht. Die eigentliche Frage ist deshalb nicht „intern oder extern“. Sie lautet: Wer hat Zeit für diese Aufgabe, und wer darf der Geschäftsführung Unbequemes sagen?

Was ein ISB tut, und was nicht

Der Informationssicherheitsbeauftragte steuert das ISMS. Er sorgt dafür, dass Risiken bewertet, Maßnahmen geplant und nachgehalten werden, dass Vorfälle ausgewertet werden und dass die Geschäftsführung regelmäßig einen ehrlichen Stand bekommt. Er berät, er prüft, er hält den Zyklus am Laufen.

Was er nicht tut: Firewalls konfigurieren, Patches einspielen, Konten anlegen. Das ist Betrieb, und der liegt bei der IT und der Medizintechnik. Der ISB fragt, ob der Betrieb die richtigen Dinge tut, und ob man das belegen kann.

Die Verantwortung bleibt dabei, wo das Gesetz sie hinlegt. Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Der ISB ist das Werkzeug, mit dem sie das kann. Er ist nicht die Stelle, an die sie es abgibt. Was das für die Haftung heißt, steht auf unserer Seite NIS2-Haftungsfalle.

Das BSIG schreibt Krankenhäusern übrigens keine Rolle mit diesem Namen vor. Ausdrücklich geregelt ist der ISB dort nur für Einrichtungen der Bundesverwaltung, in § 45. Der Blick hinein lohnt trotzdem, weil er beschreibt, was die Rolle braucht, um zu funktionieren: Berichts- und Beratungsaufgaben „unabhängig und weisungsfrei“, ein „unmittelbares Vortragsrecht“ bei der Leitung, und die Beteiligung „bei allen Maßnahmen“, die die Informationssicherheit betreffen. Für ein Krankenhaus ist das keine Pflicht, aber ein guter Maßstab. Häuser, die den B3S umsetzen, sollten zusätzlich prüfen, welche Anforderungen der Standard selbst an die Rolle stellt.

Warum „der IT-Leiter nebenbei“ nicht trägt

Nicht, weil die IT-Leitung es fachlich nicht könnte. Meist kennt sie die Systeme besser als jeder andere im Haus. Das Problem liegt an zwei anderen Stellen.

Erstens der Rollenkonflikt. Wer den Betrieb verantwortet, soll dann bewerten, ob der Betrieb ausreicht. Wer über das IT-Budget verhandelt, soll der Geschäftsführung sagen, dass im eigenen Bereich eine Maßnahme fehlt. Das kann gut gehen, solange nichts schiefgeht. In einer Prüfung und nach einem Vorfall ist es genau die Konstellation, nach der gefragt wird. Wir haben den Punkt schon in ISMS einführen: die ersten 90 Tage in einer Klinik beschrieben.

Zweitens das Wort „nebenbei“. Im Krankenhaus brennt im IT-Betrieb fast immer etwas: ein Schnittstellenfehler, ein Gerätetausch, eine Umstellung im KIS. Die ISB-Aufgaben sind wichtig, aber selten dringend. Sie verlieren deshalb jede Woche gegen den Betrieb. Das Ergebnis ist ein ISMS, das einmal aufgebaut und dann nicht mehr gepflegt wurde.

Intern mit Zeitbudget und Berichtsweg: wann das trägt

Ein interner ISB ist die richtige Lösung, wenn drei Dinge zusammenkommen.

Es gibt eine Person, die fachlich passt und nicht selbst den IT-Betrieb führt: jemand aus dem Qualitäts- oder Risikomanagement, aus der Medizintechnik oder eine eigene Stabsstelle. Diese Person bekommt ein festes, schriftlich zugesagtes Zeitbudget, das nicht bei jeder Engpasslage zurückgenommen wird. Und sie berichtet direkt an die Geschäftsführung, ohne dass der Bericht vorher durch die Abteilung läuft, über die er berichtet.

Der Vorteil liegt auf der Hand: Die Person ist im Haus, kennt die Menschen, sitzt in der Frühbesprechung und hört Dinge, bevor sie in einem Ticket stehen. Der Nachteil ist ebenso deutlich: Fällt sie aus oder geht sie, steht die Rolle leer. Eine Vertretung, die das ISMS wirklich kennt, gibt es in kleineren Häusern selten.

Extern: wann das trägt

Ein externer ISB passt vor allem in drei Lagen.

Es gibt intern niemanden mit Zeit. Das ist keine Schwäche des Hauses, sondern in vielen Häusern schlicht Realität. Eine Rolle, die auf dem Papier besetzt ist und in der Praxis nicht stattfindet, ist schlechter als eine, die jemand von außen wirklich ausfüllt.

Das Haus ist in der Aufbauphase. Die ersten Monate eines ISMS verlangen Methode: Geltungsbereich, Erfassung, Risikobewertung, erste Nachweise. Wer das schon mehrfach gemacht hat, spart dem Haus Umwege. Danach kann die Rolle nach innen wandern, wenn dort jemand aufgebaut wurde.

Mehrere Häuser gehören zusammen. In einem Verbund oder einer Trägergruppe lohnt es sich, Methode, Vorlagen und Berichtsformat einmal zu bauen und in jedem Haus gleich zu führen. Ein externer ISB kann diese Klammer bilden, während vor Ort jeweils jemand die Fäden hält.

Ein externer ISB passt dagegen schlecht, wenn er nur als Unterschrift gedacht ist. Wer einmal im Quartal kommt, einen Bericht abgibt und sonst nicht erreichbar ist, erfüllt eine Formalie. Die Aufgabe erfüllt er nicht. Und wer das Haus nicht kennt, bewertet Risiken am Schreibtisch statt mit der Fachseite.

Die Mischform: in der Praxis oft die stabilste

Oft ist eine Kombination sinnvoll: Ein externer ISB trägt Methode, Berichterstattung und fachliche Bewertung. Im Haus gibt es eine benannte Ansprechperson mit kleinerem Zeitbudget, die Termine organisiert, Nachweise sammelt, Meldungen aus den Stationen aufnimmt und weiß, wen man wofür anruft.

Das löst beide Schwächen zugleich. Der externe ISB ist nicht auf sich allein gestellt, und die interne Person muss nicht alles können. Fällt eine Seite aus, bleibt die andere.

Was im Vertrag mit einem externen ISB stehen muss

Wer die Rolle nach außen gibt, sollte vier Punkte ausdrücklich regeln.

Erreichbarkeit. Wie schnell ist der ISB im Normalfall erreichbar, und wie im Vorfall? Die Frist der Meldepflicht läuft ab Kenntnis im Haus, nicht ab dem nächsten Beratungstag (siehe Meldepflicht in 24 Stunden). Der ISB muss nicht der sein, der meldet, aber er muss eingebunden werden können.

Berichtsweg. Der ISB berichtet direkt an die Geschäftsführung, regelmäßig und anlassbezogen, und zwar schriftlich. Der Bericht geht nicht über die IT-Leitung.

Vertretung. Wer übernimmt bei Urlaub oder Krankheit, und kennt diese Person das Haus? Ein Einzelberater ohne Vertretung verlagert das Ausfallrisiko nur.

Präsenz und Beteiligung. Wie oft ist der ISB im Haus, und bei welchen Entscheidungen wird er beteiligt: Beschaffung neuer Systeme, neue Dienstleister, größere Umstellungen. Ein ISB, der von einem neuen Cloud-Dienst erst aus dem Protokoll erfährt, kann ihn nicht mehr beeinflussen.

Hinzu kommen eine Vertraulichkeitsvereinbarung und, falls der ISB Zugriff auf personenbezogene Daten bekommt, eine datenschutzrechtliche Regelung. Welche Form dafür passt, stimmen Sie mit Ihrem Datenschutzbeauftragten ab.

Was sich in beiden Fällen nicht delegieren lässt

Ob intern oder extern: Zwei Dinge bleiben bei der Geschäftsführung. Sie entscheidet, welche Risiken das Haus bewusst trägt, und sie unterschreibt das. Und sie muss nach § 38 Abs. 3 BSIG selbst regelmäßig an Schulungen teilnehmen, um Risiken beurteilen zu können. Ein guter ISB bereitet beides vor. Abnehmen kann er es nicht.

Auch die Dokumentationspflicht aus § 30 Abs. 1 BSIG liegt bei der Einrichtung. Wer mit einem externen ISB arbeitet, sollte darauf achten, dass Nachweise, Risikobewertung und Berichte im Haus liegen und nicht nur beim Dienstleister. Endet die Zusammenarbeit, muss das ISMS weiterlaufen können.

Womit Sie diese Woche anfangen können

Stellen Sie der Geschäftsführung drei Fragen und schreiben Sie die Antworten auf:

Wer ist heute ISB, und wie viele Stunden in einem normalen Monat hat diese Person tatsächlich für die Aufgabe gehabt? Nicht zugesagt, sondern gehabt.

Wann hat die Geschäftsführung zuletzt einen schriftlichen Bericht zur Informationssicherheit bekommen, und von wem?

Wer vertritt den ISB, wenn er drei Wochen ausfällt?

Sind alle drei Antworten klar, haben Sie eine funktionierende Rolle, egal ob intern oder extern. Ist eine davon unklar, wissen Sie, wo Sie ansetzen müssen. Wenn Sie die Antworten mit jemandem von außen durchgehen wollen: Sprechen Sie uns an.